インシデントの報告が何年たっても全くない組織がある。これは良いことだろうか？「インシデントの報告がないということは問題がないのだから良いことだ」と考えても不思議ではない。このような場合、経営陣によるマネジメントレビューにおいても「インシデントがないということは、情報セキュリティマネジメントの活動が有効である」と結論付けていることが多い。

　一見、問題がないようにも思える。しかし、本当にこれで安心できる組織になるだろうか？今回はインシデントの報告のあり方について、考察してみたい。