CISAら6機関がサービス障害時の対外発信ガイダンスを公開 — Cloudflare大規模障害を教訓に「透明性と法執行整合」を強調

要点

• 米CISAは2026年9月2日、FBIおよび英・豪・加・NZのサイバー当局と共同でガイダンス「Communicating Under Pressure: Best Practices for Service Providers」を公開した。PDFはCISAサイトでTLP:CLEARとして配布されている。
• 対象はITとOTのサービス停止であり、原因がサイバー攻撃か人為ミス・機器故障・自然災害かを問わず、顧客や重要インフラ運用者が運用影響を最小化できるよう、適時・正確・対象者別に発信することを目的とする。
• ガイダンスは2025年11月18日のCloudflare大規模障害を教訓として参照し、推測や不確実性が被害を拡大させると指摘している。

ガイダンスが求める事前準備

CISAらは、障害発生後の場当たり的な発信ではなく、平時からの体制整備を重視している。指針が挙げる中核要素は次のとおりである。

• 発信計画の策定: 障害の閾値ごとに誰へ何を伝えるかを定義し、ステータスページ、顧客・パートナー通知、規制当局向け報告のテンプレートを用意する。
• 横断的なインシデントチーム: エンジニアリング／運用、広報、法務、リスク・コンプライアンス、顧客対応と営業を同一チームに組み込み、政府対応の窓口も明確化する。
• 役割と権限の明確化: インシデント統括、コミュニケーション統括、対外スポークスパーソンを指名し、代替担当と承認経路を事前に決める。
• 並行するワークストリーム: 技術班が原因究明と復旧、広報が対外発信、経営層が戦略と規制対応を担い、単一の情報集約窓口と定例同期で事実を一元化する。
• 代替通信手段の確保: 通信サービス自体が途絶する可能性を想定し、バックアップ手段を計画に組み込む。

ガイダンスは、重要インフラのOTシステムを隔離・復旧するCISAの「CI Fortify」イニシアチブとも連携し、サービスの可用性変更を透明に伝えることが信頼維持につながるとしている。

効果的なメッセージの原則

指針は、メッセージ作成時の原則を明確性・説明責任・透明性に集約している。CISAらは次の点を推奨している。

• 事実の要約から始める: 判明していること、未判明のこと、調査中のことを分けて率直に伝える。マーケティング的な誇張やPR色の強い表現を避ける。
• 対象者別に調整する: 顧客、パートナー、規制当局、一般利用者など受け手ごとに必要な技術情報と行動指針を変える。
• 頻度と反復: 新情報が得られるたびに逐次更新し、状況変化を継続的に知らせる。
• 根因分析と技術情報の提供: 事後に原因と再発防止策をエンドユーザーへ説明する。
• 法規制・捜査との整合: 対外発信が捜査や封じ込めを妨げたり、攻撃者に戦術変更を促したりしないよう、法執行機関や法務要件と事前に調整する。原因が未確定の段階では断定的な結論を公表しない。

指針は、地政学的緊張の高まりを背景に、確認された原因を冒頭で明確にし「何であり何でないか」を伝えることが、憶測の拡散を抑えるうえで重要だと述べている。一方で、サイバー攻撃が疑われる場合は、透明性と捜査保全のバランスを取る必要があるとしている。

背景と位置づけ

本ガイダンスは、CISAがFBI、英NCSC、豪ACSC、加CCCS、NZ NCSCと共同で策定したもので、米国におけるベストプラクティスを反映している。豪州企業に適用される報告義務は豪州法に依拠するため、豪ACSCは豪州の報告制度（cyber.gov.auやSOCI法の運用）を別途参照するよう補足している。情報はTLP:CLEARとして制限なく共有できる。

CISAのウェブページでは、ガイダンス本体のPDF（9ページ、Publication: September 2, 2026）へのリンクと概要が公開されている。PDFの作成日は2026年9月1日、配布は9月2日である。

日本の組織への示唆

サービスを提供する側の組織は、障害の技術的復旧と並行して「いつ・誰に・何を・どの手段で伝えるか」を事前に決めておくことが、顧客や取引先の混乱と二次的な風評拡大を抑える。指針が示すように、閾値別の発信基準、代替通信手段、法務・広報を含む承認フローを文書化し、演習で検証する体制が有効である。

出典: CISA「Communicating Under Pressure: Best Practices for Service Providers」ページおよび同ガイダンスPDF（2026年9月2日公開、著作者: CISA / FBI / ASD’s ACSC / Canadian Centre for Cyber Security / NCSC-NZ / NCSC-UK）

• https://www.cisa.gov/resources-tools/resources/communicating-under-pressure-best-practices-service-providers
• https://www.cisa.gov/sites/default/files/2026-09/joint-guidance-communicating-under-pressure-508c.pdf

出典

• CISA「Communicating Under Pressure: Best Practices for Service Providers」リソースページ — https://www.cisa.gov/resources-tools/resources/communicating-under-pressure-best-practices-service-providers
• CISAら共同ガイダンスPDF（TLP:CLEAR, 9ページ, 2026年9月2日公開）— https://www.cisa.gov/sites/default/files/2026-09/joint-guidance-communicating-under-pressure-508c.pdf