TL;DR
- 報告書が「事実の列挙」で終わると「で？」と言われる
- 3つの視点（ペルソナ・トリアージ・アクション提案）を加えるだけで報告書が変わる
- テンプレート付きですぐに使える
対象読者
- セキュリティコンサルタント（特に経験1-5年目）
- 社内でセキュリティ週次報告を書いている方
- 報告書の質を上げたいが、何を変えればいいかわからない方
背景: なぜ「事実の列挙」だけでは不十分なのか
セキュリティ報告書でよくあるパターン:
1. Google Chromeに脆弱性（CVE-2026-XXXX）。悪用確認済み。
2. Fortinet製品に脆弱性。修正バージョンへの更新推奨。
3. 警察庁が脅威情勢レポートを公開。
4. n8nにRCE脆弱性。Zerobotによる悪用観測。
以上、ご確認のほどお願いいたします。
事実として正確。しかし読む側にはこんな疑問が残る:
- 4つのうち、どれが一番重要？
- うちの環境に該当するの？
- いつまでに対応すればいい？
これらの疑問に答えていない報告書は、読まれはするが、行動には繋がらない。
報告書を変える3つの視点
視点1: 読み手は誰か？（ペルソナの特定）
同じ情報でも読む人によって必要な粒度が違う。
| 読み手 | 知りたいこと | 報告に含めるべき要素 |
|---|---|---|
| 現場担当者 | 影響範囲、対処手順 | パッチ適用手順、影響する端末数 |
| 管理者 | リスクレベル、対応進捗 | リスク評価、期限、承認事項 |
| 経営層 | 事業への影響 | ビジネスインパクト、対応コスト |
部長が読むなら部長の関心事に合わせて書く。 技術的詳細より、リスクレベルと対応方針が重要。
視点2: 優先順位をつけているか？（トリアージ）
5つの脆弱性が並んでいるとき、全てが同じ重要度ということはまずない。
| 判断軸 | 高優先度 | 低優先度 |
|---|---|---|
| 悪用の有無 | 攻撃が観測されている | 理論的な脆弱性のみ |
| 自社環境との関連 | 使用中の製品に該当 | 使用していない製品 |
| 影響の大きさ | RCE、認証バイパス | 条件付きの情報漏洩 |
| 対応の緊急性 | パッチ未提供 | パッチ提供済み |
重要度の判断をコンサルタントがしないなら、その報告書は単なるコピペだ。
視点3: 「だからどうする」が書いてあるか？（アクション提案）
報告の最後に、以下の3要素を含むアクション提案を書く:
| 要素 | 内容 | 例 |
|---|---|---|
| What | 具体的な対応内容 | Chrome全端末を最新版に更新 |
| When | 対応期限 | 悪用確認済みのため48時間以内 |
| Who | 対応責任者 | 情報システム部にて対応 |
実践: Before / After
Before（事実の列挙型）
2026年3月第4週 セキュリティ週次報告
1. Google Chromeに境界外書き込みの脆弱性。悪用が確認されている。
2. 複数のFortinet製品に脆弱性。修正済みバージョンへの更新推奨。
3. 警察庁が脅威情勢レポートを公開。
4. n8nにRCE脆弱性。Zerobotによる悪用観測。
以上、ご確認のほどお願いいたします。
After（分析と提案型）
2026年3月第4週 セキュリティ週次報告
## 最優先対応（48時間以内）
**Google Chrome — 境界外書き込みの脆弱性（CVE-2026-XXXX）**
- リスク: 高。攻撃の悪用が実環境で確認済み
- 影響: 当社では全端末（約200台）でChromeを使用
- 対応: 情報システム部にてChrome最新版への一斉更新
- 期限: 3月28日（金）中
## 通常対応（1週間以内）
**n8n リモートコード実行の脆弱性**
- リスク: 中。Zerobot悪用あるが、当社ではn8n未使用
- 対応: 利用有無を念のため確認。該当なしなら対応不要
- 期限: 4月4日（金）
**Fortinet製品の脆弱性**
- リスク: 中。当社VPN機器（FortiGate）が該当の可能性
- 対応: 対象バージョン確認後、パッチ適用
- 期限: 4月4日（金）
## 参考情報（対応不要）
**警察庁 脅威情勢レポート**
- ランサムウェア被害増加、サプライチェーン攻撃深刻化
- 次回経営報告時に引用推奨（セキュリティ投資の根拠として）
違いの比較
| 項目 | Before | After |
|---|---|---|
| 優先順位 | なし（並列） | 緊急/通常/参考に分類 |
| 自社への影響 | 不明 | 端末数・製品名まで明記 |
| 対応内容 | 「更新推奨」 | 誰が・何を・いつまでに |
| 読後の行動 | 「で？」 | 「承認します」 |
テンプレート
## [期間] セキュリティ週次報告
### 最優先対応（48時間以内）
**[脆弱性/脅威名]**
- リスク: [高/中/低]。[判断根拠1行]
- 影響: [自社環境への具体的な影響]
- 対応: [誰が・何を]
- 期限: [いつまでに]
### 通常対応（1週間以内）
（同形式）
### 参考情報（対応不要・情報共有）
**[レポート名]**
- [概要1行]
- [活用方法の提案]
### 次週の予定
- [フォローアップ事項]
まとめ
報告書の質を変えるのは、情報量ではなく視点だ。
- 誰が読むかを意識する
- 優先順位をつける
- **「だからどうする」**を書く
この3つを加えるだけで、「で？」と言われる報告書が「承認します」と言われる報告書に変わる。
関連記事
セキュリティ情報の「読み解き方」を体系的に学ぶ3軸分析フレームワーク:
タグ: #Security #セキュリティ #報告書 #初心者 #ビジネス
関連イベント
この「3軸分析」を実際に体験できるオンライン勉強会を開催しています。JPCERT/CC Weekly Reportを題材に、30分で読み解き方を実践します。
- 次回: 2026年4月9日（木）12:10〜12:40
- 形式: Zoomオンライン（無料）
- 申込: connpass
毎週の実践例はnoteで配信中
この記事で紹介したフレームワークを、毎週のJPCERT/CC Weekly Reportに適用した実践例をnoteメンバーシップで配信しています。
- 3軸分析の詳細テキスト（背景・目的・効果）
- ペルソナ別行動シミュレーション（現場担当者・管理者・経営者）
- PDF完全版レポート、インフォグラフィック
初月無料で試せます。
▼ noteメンバーシップ
https://note.com/yuusan_security/membership
▼ 無料記事・プロフィール
https://note.com/yuusan_security
最終更新: 2026-08-15