改善タスクが止まる理由。実施する人と完了を確認する人を決める

「権限を見直す」で終わらせず、どの対象を誰が変え、何を見て完了とするかを決める。

指摘の名前を、そのまま作業名にしない

NISTのプロファイルの考え方は、現在と目標の状態を整理する際の参照になります。SONAEは、見つかった差を、担当が着手できる具体的な作業へ分ける方法を提案します。例えば権限を改善するという指摘だけでは、どのサービスの誰の権限を、何の業務に合わせて変えるかが分かりません。対象、理由、変えたい状態、実施する範囲を最初に書き、担当が推測で大きな変更を進めないようにしましょう。

実施の担当と、業務の判断を分ける

設定を変更できる人と、その権限が業務に必要か判断する人は同じとは限りません。IT担当、資料や業務の所有者、承認する責任者を対応させます。外部の支援先へ依頼する場合も、会社側の判断を丸ごと委ねたことにしません。一人が複数の役割を持つ小規模な会社では、どの立場で何を決めたかを残すだけでも引継ぎがしやすくなります。担当全員という表記を避け、次に動く人を明確にします。

完了の条件を、作業前に合意する

対象の設定が変わったこと、必要な担当が利用できること、不要な共有が残らないことなど、確かめる条件を具体的にします。架空の共有フォルダーでは、外部リンク一件の見直しと、業務担当が正規の経路で使える確認を組にします。操作ボタンを押した記録だけで、反映や業務への影響まで確認したことにしません。確認する人と使う情報を決め、機密の画面を必要以上に複製しない証拠の残し方も用意しましょう。

着手できない理由を、状態として残す

所有者の回答待ち、契約の制約、停止時間の調整、別の変更の完了待ちなどを、未対応という一つの欄へ押し込めません。依存する課題と、待っている判断を記録します。期限を過ぎたときに担当を責めるだけでは、同じ停止が続きます。自分の権限で進められない場合に、誰へいつ上げるかを合意します。優先度は指摘の名称だけでなく、影響する仕事と公開範囲、利用する情報、代替措置を踏まえて責任者が判断します。

残すリスクにも、期限と責任者を付ける

すぐに変えられない設定は、暫定の制限、監視、利用範囲の縮小など、可能な対応と限界を確認します。何もしないまま対応済みへ変えたり、担当者だけが黙って容認したりしません。リスクを残す判断をする責任者、理由、期限、見直す条件を記録します。費用や業務上の都合がある場合も、影響と選択肢を見える形にします。課題を一覧から消すことが、実際の危険をなくすことと同じではない点に注意しましょう。

確認待ちを経て、次の担当へ引き継ぐ

実施後は、作業結果、確認者、確認した範囲、残る条件を記録して閉じます。NCSCの対応計画でも、作業や判断の追跡が扱われており、引継ぎの記録を残す際の参考になります。完了の目安は、別の担当が何を変え、なぜ閉じたかを説明できることです。後から設定が変わる可能性がある対象には、次の定期確認も付けます。改善タスクの管理表を安全性の保証書にせず、会社が継続して判断するための道具として使いましょう。

相談前の確認表

• 指摘を着手できる作業へ分ける
• 実施と完了確認の役割を明記する
• 依存と判断待ちを状態で残す
• 例外と閉じる根拠を追えるようにする

参考資料（確認日：2026年10月23日）：NIST：CSF 2.0 Profiles ↗ ／ NCSC：Your cyber incident response processes ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。