経営チーム向けランサムウェア机上演習
四つの状況変化、判断記録、改善計画を使った危機対応の討議演習です。編集可能な進行担当者用資料をダウンロードできます。
この独自シナリオで、不確実な状況における連携を確認します。権限の不足、根拠のない前提、復旧の依存関係を明らかにすることが目的です。会議での合意は討議の証拠ですが、技術的な対策や復旧手順が機能する証明にはなりません。
演習を準備する
状況変化を提示する進行担当者と、参加者の実際の行動を記録する観察者を決めます。インシデント調整、セキュリティ、基盤運用、事業責任、対外説明の役割を含めてください。
対象サービスと対応計画の版を一つ選びます。判断マトリクス、連絡先、依存関係図を用意し、架空の名前と資料を使ってください。
目安として約90分を確保します。範囲の合意に10分、四回の討議に60分、振り返りに20分です。目的に合わせて調整し、速さだけで評価しないでください。
演習の境界と中止条件
- これは討議演習です。シナリオを再現するために実際の権限を変更したり、ファイルを実行したり、対外送信や実顧客データの利用をしたりしないでください。
- 提案された行動が実システムに及ぶ、または合意範囲を超える場合、誰でも一時停止を求められます。境界を確認してから続けてください。
- 実際の運用インシデントが発生した場合は演習を止め、正式な対応手順を使います。演習記録や模擬メッセージには明確な表示を付けてください。
架空の開始状況
あるB2B供給会社は、出荷の繁忙期に注文確認サービスを利用しています。顧客がエラーを報告し、担当者はどの注文が受理されたか把握できません。原因と影響範囲は不明です。以下の状況変化は進行担当者が提示する架空の演習資料であり、実在の組織についての観察ではありません。
状況変化を順番に提示する
一度に一つのラウンドを開きます。15分という区切りは進行の目安であり、対応期限ではありません。次へ進む前に、判断、権限、利用できる証拠、次の確認を記録してください。
入力内容はこのページ内に保持され、ブラウザーでファイルを作成するために使われます。閉じたり再読み込みしたりする前にダウンロードしてください。サイトは入力済みワークシートを保存しません。
サービス、計画の版、進行担当者、観察者、参加役割、合意した境界を記載してください。
00 minサービス停止
注文サービスが利用できません。サポートには三件の報告がありますが、影響する注文数は不明です。通常のインシデント責任者とは連絡がつきません。
- 誰がインシデントを宣言し、調整を引き継ぎ、代理者を呼び出しますか。
- 手作業で注文を受けるか新規受付を止めるかを選ぶ前に、何を知る必要がありますか。
何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。
提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。
15 min未確認の恐喝主張
進行担当者が模擬の身代金要求文と、異常な特権セッションの報告を提示します。データの窃取やアクセスの全範囲を示す証拠はまだありません。
- どの封じ込めが許可されており、どの証拠を失う可能性がありますか。
- 誰が主張を評価し、真偽が不明な間も顧客説明の正確さを保ちますか。
何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。
提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。
30 min復旧の依存関係
バックアップ一覧には最近のコピーがありますが、この演習で復元は実証されていません。復旧には信頼性が疑われているIDサービスも必要です。運用側は早期再起動を求めています。
- ID、データ、サービスを復旧する前に、どの証拠が必要ですか。
- 誰が制限付き運用を受け入れ、どの監視結果や切り戻し条件で停止しますか。
何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。
提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。
45 min説明を求める圧力
大口顧客が復旧時刻を求め、記者が未確認のスクリーンショットに言及しています。次のシフトが来ますが判断記録は不完全です。
- 影響と不確実性を伝え、根拠のない約束を避ける説明を誰が承認しますか。
- どの判断、約束、証拠を次のシフトと経営責任者に引き継ぐ必要がありますか。
何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。
提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。
振り返りを改善行動につなげる
討議で示されたこと、発言だけだったこと、未検討のことを区別します。記録や観察した行動を引用し、根拠のない準備度の点数を付けないでください。
不足ごとに責任者、次の行動、期限、完了を確認する証拠を記載します。未解決の依存関係も見える状態にしてください。
どの変更や是正措置の完了をきっかけに再演習し、何を示す必要があるかを定めます。フォローアップの担当者も合意してください。
討議の結果は、実際のインシデントで復旧、検知、説明が機能することを証明しません。技術的な主張は、別途承認されたテストで確認してください。ダウンロードした記録を保管し、是正措置を完了扱いにする前に確認してください。
方法と参考資料
演習設計の一次資料を参照した独自シナリオとワークシートです。CISAやNISTの公式演習パッケージではありません。