情報セキュリティ・インシデントを報告した時の経営層の反応

発生を検知したら、速やかに対応しつつ、ＣＩＳＯなど経営層に報告するのが基本です。
筆者の経験上、「怒る」という反応をする方もいらっしゃいました。まあ、ＣＳＩＲＴが叱られるのは仕方ないと考えていますが、
発生させた従業員に対して、叱る、罰を与える、的なことをするのは、よく考えたほうが良いと考えます。
原因がヒューマンエラーで、本人自身がショックを受けているケースが多く、その場合は、最悪、離職につながることもあるからです。
また、叱られるということで、インシデントの発生を「隠す」ことや気が付かなかったことにすることにもつながりかねません。
そのあたりは、今後、ケース別に検討していきたいと思います。

一方、上位団体への報告を求められる組織もありますね。
だいたい、厳しい反応が多かったかと思います。
ＣＳＩＲＴが引き起こしたケースでなくても、風当たりが強いことが多いので、つらい思いをすることもあります。