TL;DR

報告書が「事実の列挙」で終わると「で？」と言われる
3つの視点（ペルソナ・トリアージ・アクション提案）を加えるだけで報告書が変わる
テンプレート付きですぐに使える

対象読者

セキュリティコンサルタント（特に経験1-5年目）
社内でセキュリティ週次報告を書いている方
報告書の質を上げたいが、何を変えればいいかわからない方

背景: なぜ「事実の列挙」だけでは不十分なのか

セキュリティ報告書でよくあるパターン:

1. Google Chromeに脆弱性（CVE-2026-XXXX）。悪用確認済み。
2. Fortinet製品に脆弱性。修正バージョンへの更新推奨。
3. 警察庁が脅威情勢レポートを公開。
4. n8nにRCE脆弱性。Zerobotによる悪用観測。

以上、ご確認のほどお願いいたします。

事実として正確。しかし読む側にはこんな疑問が残る:

4つのうち、どれが一番重要？
うちの環境に該当するの？
いつまでに対応すればいい？

これらの疑問に答えていない報告書は、読まれはするが、行動には繋がらない。

報告書を変える3つの視点

視点1: 読み手は誰か？（ペルソナの特定）

同じ情報でも読む人によって必要な粒度が違う。

読み手	知りたいこと	報告に含めるべき要素
現場担当者	影響範囲、対処手順	パッチ適用手順、影響する端末数
管理者	リスクレベル、対応進捗	リスク評価、期限、承認事項
経営層	事業への影響	ビジネスインパクト、対応コスト

部長が読むなら部長の関心事に合わせて書く。 技術的詳細より、リスクレベルと対応方針が重要。

視点2: 優先順位をつけているか？（トリアージ）

5つの脆弱性が並んでいるとき、全てが同じ重要度ということはまずない。

判断軸	高優先度	低優先度
悪用の有無	攻撃が観測されている	理論的な脆弱性のみ
自社環境との関連	使用中の製品に該当	使用していない製品
影響の大きさ	RCE、認証バイパス	条件付きの情報漏洩
対応の緊急性	パッチ未提供	パッチ提供済み

重要度の判断をコンサルタントがしないなら、その報告書は単なるコピペだ。

視点3: 「だからどうする」が書いてあるか？（アクション提案）

報告の最後に、以下の3要素を含むアクション提案を書く:

要素	内容	例
What	具体的な対応内容	Chrome全端末を最新版に更新
When	対応期限	悪用確認済みのため48時間以内
Who	対応責任者	情報システム部にて対応

実践: Before / After

Before（事実の列挙型）

2026年3月第4週 セキュリティ週次報告

1. Google Chromeに境界外書き込みの脆弱性。悪用が確認されている。
2. 複数のFortinet製品に脆弱性。修正済みバージョンへの更新推奨。
3. 警察庁が脅威情勢レポートを公開。
4. n8nにRCE脆弱性。Zerobotによる悪用観測。

以上、ご確認のほどお願いいたします。

After（分析と提案型）

2026年3月第4週 セキュリティ週次報告

## 最優先対応（48時間以内）

**Google Chrome — 境界外書き込みの脆弱性（CVE-2026-XXXX）**
- リスク: 高。攻撃の悪用が実環境で確認済み
- 影響: 当社では全端末（約200台）でChromeを使用
- 対応: 情報システム部にてChrome最新版への一斉更新
- 期限: 3月28日（金）中

## 通常対応（1週間以内）

**n8n リモートコード実行の脆弱性**
- リスク: 中。Zerobot悪用あるが、当社ではn8n未使用
- 対応: 利用有無を念のため確認。該当なしなら対応不要
- 期限: 4月4日（金）

**Fortinet製品の脆弱性**
- リスク: 中。当社VPN機器（FortiGate）が該当の可能性
- 対応: 対象バージョン確認後、パッチ適用
- 期限: 4月4日（金）

## 参考情報（対応不要）

**警察庁 脅威情勢レポート**
- ランサムウェア被害増加、サプライチェーン攻撃深刻化
- 次回経営報告時に引用推奨（セキュリティ投資の根拠として）

違いの比較

項目	Before	After
優先順位	なし（並列）	緊急/通常/参考に分類
自社への影響	不明	端末数・製品名まで明記
対応内容	「更新推奨」	誰が・何を・いつまでに
読後の行動	「で？」	「承認します」

テンプレート

## [期間] セキュリティ週次報告

### 最優先対応（48時間以内）
**[脆弱性/脅威名]**
- リスク: [高/中/低]。[判断根拠1行]
- 影響: [自社環境への具体的な影響]
- 対応: [誰が・何を]
- 期限: [いつまでに]

### 通常対応（1週間以内）
（同形式）

### 参考情報（対応不要・情報共有）
**[レポート名]**
- [概要1行]
- [活用方法の提案]

### 次週の予定
- [フォローアップ事項]

まとめ

報告書の質を変えるのは、情報量ではなく視点だ。

誰が読むかを意識する
優先順位をつける
**「だからどうする」**を書く

この3つを加えるだけで、「で？」と言われる報告書が「承認します」と言われる報告書に変わる。

関連記事

セキュリティ情報の「読み解き方」を体系的に学ぶ3軸分析フレームワーク:

JPCERT/CC Weekly Reportを「読み解く」ための3軸分析フレームワーク

タグ: #Security #セキュリティ #報告書 #初心者 #ビジネス

関連イベント

この「3軸分析」を実際に体験できるオンライン勉強会を開催しています。JPCERT/CC Weekly Reportを題材に、30分で読み解き方を実践します。

次回: 2026年4月9日（木）12:10〜12:40
形式: Zoomオンライン（無料）
申込: connpass

毎週の実践例はnoteで配信中

この記事で紹介したフレームワークを、毎週のJPCERT/CC Weekly Reportに適用した実践例をnoteメンバーシップで配信しています。

3軸分析の詳細テキスト（背景・目的・効果）
ペルソナ別行動シミュレーション（現場担当者・管理者・経営者）
PDF完全版レポート、インフォグラフィック

初月無料で試せます。

▼ noteメンバーシップ
https://note.com/yuusan_security/membership

▼ 無料記事・プロフィール
https://note.com/yuusan_security

最終更新: 2026-08-15