3.演習例

企業端末がマルウェア感染に侵された演習例（一部）を挙げて説明します。

写真を拡大

上記の演習フローは、情報システム部とCSIRTが受講者となった例です。

1）ファシリテーターがランサム被害にあった担当として振る舞い、自分のPCが制御不能（ロックされた）となった事象を情報システム部に報告します。
2）情報システム部は、被害対象となったPCに対する情報取集アクションをインシデント対応マニュアルに沿って指示します。（資産管理番号、ロックされた画面など）
3）次にランサム被害の可能性が高いため、情報システム部はCSIRTチームに一次報告を上げます。それを受け取ったCSIRTチームは、端末の隔離指示を返します。
4）その後、トリアージ作業に移り、さらなる詳細情報を取得するため、外部のセキュリティアプリ会社に情報取得のためのアクション問い合わせを指示します。
5）ファシリテーターはセキュリティアプリ会社として振る舞い、情報取得のための指示を返します。

上記のように、受講対象者は起きてしまったインシデントに対して、なるべく具体的な指示が早急に出せるかどうかが演習のキーファクターになってきます。ファシリテーターは各アクションの対応内容をチェックします。より早く、明確な指示がないと収束に時間がかかるようにファシリテーターは振る舞います。

4.演習行方

演習の結果は受講者のアクションの素早さや指示の正確さによって結果が異なります。例えば、演習対象システムがマルウェア感染の疑いのある状態に陥ったとします。しかし、このシステムを停止すると企業の売り上げにダメージを与えてしまうリスクがあります。

いつ、どのような手段でリスクを回避しながらインシデントレスポンスをしなければならないか？受講者の対応によって結果は左右されます。対応を間違えると長期にわたってシステム復旧ができなくなるといったBAD ENDのシナリオも存在します。

5.演習結果

演習結果の評価レポートについて説明します。下記はアライドテレシスで行っているサイバーセキュリティ演習―DECIDE（R） Platform―のサンプルレポートです。

写真を拡大


評価レポートは下記の内容が記載されています。
１）演習評価対象の説明
演習対象組織と対象システムの内容が記載されます。
２）演習で行った攻撃内容と全体評価
今回行った攻撃の具体的内容とそれに対応した部門の総合評価です。ここには会社全体に対する今後の改善ポイントなどが記載されます。
３）シナリオ別評価
シナリオ別評価には詳細な評価内容―インシデントレスポンスアクション時の評価―が記載されており、また部門ごとの改善ポイントやインシデント対応マニュアルの改善ポイントなども記載されます。また演習対応に対するGoodポイントも記載されます。

演習結果の評価レポートは、組織ごとに用意されているインシデント対応マニュアルの改善のツールとして活用いただくことを推奨します。

このようにサイバー攻撃対応演習は、有事の際にどのように振る舞えるか、といった組織の現状を知るには非常に有効です。しかしながら、実践するには演習企画側に多くの経験と準備が必要になります。