そのインシデント対応、墓穴を掘っていませんか？
セキュリティ対策製品を販売する会社がデータのバックアップに利用していたサーバが不正アクセスされ、顧客情報が流出、データを取得したとみられる犯人から金銭を要求された。という事件が発生。
セキュリティを生業とする会社がこうしたインシデントを起こしてしまうのは、セキュリティ対策に関する知識や姿勢を疑われてしまうだけに致命的とも言えますが、今回、それ以上にまずいなあと思ったことは、顧客に500円分のクオカードを配ったということ。
500円の金券を配るというお詫びの仕方は、多くの会社が過去の前例に倣ったために、今やスタンダードともいえるような対応になっていますが、このような対応は本当に正しいのでしょうか？
そんなもの誰も要求していないのに・・・
ちなみに、500円のクオカード、顧客の多くがそれを求めたのでしょうか？というと、そんなことはないでしょう。
顧客側からすれば、別に欲しかったわけでもない500円の金券が一方的に配られてきたわけで、しかも、500円という金額を見て、
「別に欲しい訳じゃあないけど、たったこれっぽっちかよ。」
と思ったはずです。
インシデントを起こした会社側からすれば、『せめてものお詫びの気持ち』なのかもしれませんが、顧客側はそうは思っていないはずです。
つまり、顧客から求められてもいないことを一方的にやって、却って顧客からそっぽを向かれる結果を自ら招いている。ということで、『墓穴を掘る』とはまさにこういうことだと思います。
順番を間違えてはいけない
クオカードを配ること自体は悪いことでは無いと思いますが、このケースでは、実行するタイミングを完全に間違えています。
今回のケースで真っ先にやるべき事は、事件に巻き込まれることになった顧客の不安を取り除く努力をするということであり、何よりも必要なことは顧客に情報を開示する。ということでしょう。
恐喝事件に発展しているので警察の関与もあり、開示できることと、できないことはあると思いますが、そういった点も含めてきちんと説明責任を果たすことが何よりも重要なことだと思います。
どうしてこのようなことになったのか？
自らの恥をさらすのはつらいことかもしれませんが、自社で起きたことは、他社でも起きる可能性は十分あります。自らを他山の石とし、
一体何が問題だったのか？
同じ事を起こさないためにはどういったことをすべきなのか？
をしっかり検証し、それを公表することこそ、やるべき事だと思います。セキュリティを生業とする会社であれば尚更でしょう。
そうして、やるべき事をやった上で、『せめてものお詫びの気持ち』としてクオカードを配るということなら、顧客側にも受け入れてもらいやすいはずです。
それがいきなりクオカードを配ったのでは、「500円ぽっちで幕引きを図るつもりか！」と思われても仕方ありません。やるべきことの順番を間違えてはいけないのです。
そのベクトルは自分に向いていないか？を考えよう
インシデントを起こした会社側としては、『お客様のため』にクオカードを配ったつもりかもしれませんが、顧客が求めてもいないものを配っているのですから、それは完全に『自己満足』でしかありません。
お客様のため。と言いながら、実際には自己満足でしかないのですから、ベクトルとしてはあさっての方向を向いてしまっていることになります。
500円のクオカードを配るのだって、それなりの手間と費用がかかります。それだけのものをかけて自己満足を得る代わりに、顧客の信頼を失うなんて、事業活動としては間違っていますよね。
けれど、こうした間違いは意外とありがちで、不祥事対応では特にありがちです。過去、対応を誤ったために会社自体が無くなってしまったり、社長が辞任しなければならなくなったといったケースは、幾つも思い浮かぶはずです。
インシデントは誰にでも起こりうる可能性があるだけに、いざという時の為に備えてあらかじめ準備をしておくことも必要だと思いますが、何よりも大事なことは、どんな時でも、
思考のベクトルが相手を向いているか？
本当にそれは相手のために、今自分がすべきことなのか？
を考えることを忘れないことだと思います。
→次の記事へ（ 標的型攻撃は防ぐのは困難。って言われているけど、本当にそうなの？ ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
