仕事関係 — コンセプト記事
— サイバー事故の文書を、会議室で一度動かしてみる —
対応手順書を作っても、それだけでは本番で使えるかは分かりません。 答えを先に言うと、会議室で「いまこういう状況です、どうしますか」と状況を順に出し、文書のとおりに判断できるかを確かめるのが机上訓練です。システムは実際には止めません。
この記事を読むとできること
想定している使い方
情報セキュリティ委員会の事務局が、経営陣や部門長を交えた訓練を計画するときのたたき台にすることを想定しています。 訓練で試す文書（対応手順書・報告義務の一覧・経営判断の原則・部門別カード）は、関連する項目の記事で扱っています。
読む目安：約9分 ・ 仕事関係のコンセプト記事 ・ 図2枚
手順書は、机の上で読むと筋が通って見えます。ところが実際に動かすと、夜間の連絡先が古い、決める人が不在のときの代わりが決まっていない、報告の期限をいつから数えるかで意見が割れる、といった穴が次々に見つかります。文書の穴は、一度動かしてみて初めて見つかります。
本番で穴に気づくと、その場で議論が始まり、時間を失います。訓練で見つければ、文書を直すだけで済みます。机上訓練は、システムを止めずに、判断の流れだけを確かめられる、もっとも手軽な方法です。
図の見方：上の段は、手順書を作って承認したところで終わる場合です。本番で初めて穴に気づき、その場の議論で時間を失います。下の段は、会議室で状況を順に出し、文書のとおりに判断できるかを試す場合です。訓練で穴が見つかるので、文書を直して本番に備えられます。
part 1 — 目安 1〜2か月前
まず、選んだ筋書きを、時間を追って配る状況の紙（訓練の途中で「いまこうなりました」と渡す知らせ）に分けます。数字やシステムの名前は、自社の実情に合わせて置き換えます。参加者には日時と「関係する文書を一度読んでおくこと」だけを伝え、筋書きは伝えません。
✓ ここまでの確認：状況の紙と問いがそろい、評価役が決まっている
part 2 — 目安 当日2〜3時間
冒頭の10分で決まりを伝えます。実際の役職で判断すること、「分からない」も答えとして記録すること、個人を責めないことの3つです。次に、状況の紙を1枚ずつ配り、参加者が文書を見ながら話し合って決めます。記録役は、判断した時刻と内容と判断した人を残します。
✓ ここまでの確認：どの状況でも、誰が何を決めたかが記録に残っている
part 3 — 目安 当日の最後の30分
最後に、「迷ったところ」と「文書に書いていなかったこと」を全員から出してもらいます。評価役は、評価シートに沿って講評します。うまくいったことより、迷ったことの方が価値のある収穫です。
✓ ここまでの確認：直すべき文書と箇所の候補が、一覧になっている
part 4 — 目安 2週間以内
事務局が訓練の報告書をまとめ、文書の改訂の案と一緒に委員会へ出します。連絡先の誤りのような小さな直しは、その場で済ませます。権限や方針に関わる直しは、委員会や取締役会で決めます。
✓ ここまでの確認：改訂した文書が承認され、次の訓練の筋書きが決まっている
3時間で、事故の最初の5日ほどをたどる筋書きです。下の図は、状況を配る順番を上から並べたものです。
図2 状況を配る順番（金曜の夜から水曜まで）
図の見方：上から順に、金曜の夜の検知、システムの停止と脅しの文、侵入の経路と持ち出しの痕跡、攻撃者のサイトへの掲載、取引先からの問い合わせ、バックアップの暗号化と値下げの提示、と状況を配ります。各段の下の行が、その場面で確かめることです。色を濃くした土曜と日曜の場面で、法務と広報がもっとも試されます。
土曜の場面では、「従業員の情報数千件（マイナンバーを含む）と顧客の情報数万件を送り出した痕跡がある」のように具体的な数字を出すと、個人情報保護法と、マイナンバーの扱いを定めた法律（マイナンバー法）の両方に気づけるかを試せます。数字は訓練用の架空のもので、自社の規模に合わせて決めます。
話し合いが早く終わったときのために、揺さぶりも用意しておきます。社長が海外への出張中で連絡がつかない、社内のメールも使えない、従業員が SNS に「会社の端末が全部止まった」と書き込んだ、などです。代わりの人の順番や、連絡の手段が決まっているかを確かめられます。
評価は「できた／迷った／できなかった」の3段階で十分です。「できなかった」は個人の問題ではなく、文書か体制の穴として扱います。表の右に「気づいたこと」と「直す文書」の欄を足して使います。
| 観点 | 基準 |
|---|---|
| 連絡 | 夜間や休日でも、時間の目安の内に責任者へ届いた |
| 重大度の判定 | 迷わずに区分を決め、状況に応じて見直した |
| 権限 | 決めるべき人が決めた。「承認待ち」で止まらなかった |
| 拡大の防止 | 切り離しと証拠の保全の手順が、正しく出た |
| 報告の義務 | 報告先と期限を漏れなく挙げ、「知った時」を特定した |
| 公表と開示 | 方針に沿って時期と内容を決めた。上場会社なら、事故を知った人の株の売買を止めた |
| 事業の継続 | 優先順位と代わりの手段で、取引先に答えられた |
| 身代金 | 原則と例外の手続きに沿って判断し、記録した |
| グループ | 子会社への指示と報告の経路が働いた |
| 記録 | 判断の時刻・内容・判断した人が残った |