取り返しがつかない、または第三者に悪用されうる状態にあった
当てはまるもの
- 実在の利用者や顧客のお金・個人情報・データに、実際の被害が出た
- 消えたデータや送られた情報を、元に戻せない
- 秘密情報やシステムが、気づくまでの間、第三者に悪用されうる状態にあった（実害が確認されていなくても含む）
掲載例
- カード情報の大量窃取
- APIキーがGitの履歴に平文で残った
- 解約したドメインを公開サイトが読み込み続けていた
← 事故ログへ重大点数 8–10/10 中程度点数 5–7/10 軽微点数 1–4/10
編集の基準
深刻度の基準
各事故の「重大・中程度・軽微」と10点満点の点数は、この基準で決めています。情報をお寄せいただくときは、下の3つの観点が分かるように書いていただけると、より正確に格付けできます。
判定の3つの観点
- 影響の範囲被害は自分の手元だけか、利用者・顧客・第三者にまで及んだか
- 元に戻せるか消えたもの・漏れたもの・払ったものを取り戻せたか
- 気づくまでの時間発生から気づくまで、どれだけの間そのままだったか
3つの区分
実害はあったが範囲が限られ、手間をかけて元に戻せた
当てはまるもの
- 被害は運用者自身の範囲にとどまり、復旧できた
- ただし復旧に時間や費用がかかった、気づくまで日単位かかった、または安全装置が黙って外れていた
- 他人の判断や手続きに影響したが、訂正できた
掲載例
- 定期ジョブが5日間黙って止まっていた
- APIキーがログに表示され、すぐ差し替えた
- 読み取り禁止の設定が黙って無効になっていた
影響が小さく、すぐ気づいて短時間で戻せた
当てはまるもの
- 作業の中断・やり直し・利用上限の消費などで済んだ
- 気づくまでが短く、元に戻すのも簡単だった
- 実害が出る前に防げた（ニアミス）
掲載例
- レビューの並列実行で利用上限を数分で使い切った
- ページ翻訳で画面が壊れた
区分の中の点数は、3つの観点のうち当てはまるものが多いほど、また影響が広く長いほど上の端に寄せます。
補足
- 検証環境や研究者の実証で、実在の利用者に被害が出ていないものは「起こりえた被害」で判定し、実運用より1区分下げてよい。
- 報道だけで確かめられない事故（未検証）は、報道された内容で判定し、記事に「未検証」と明記する。
- 原因と対策が具体的に書かれているほど判定が正確になる。投稿では3つの観点を書いてもらえると助かります。