# 経営チーム向けランサムウェア机上演習 https://ja.kinlevi.com/resources/ransomware-tabletop-exercise この独自シナリオで、不確実な状況における連携を確認します。権限の不足、根拠のない前提、復旧の依存関係を明らかにすることが目的です。会議での合意は討議の証拠ですが、技術的な対策や復旧手順が機能する証明にはなりません。 ## 演習を準備する - 状況変化を提示する進行担当者と、参加者の実際の行動を記録する観察者を決めます。インシデント調整、セキュリティ、基盤運用、事業責任、対外説明の役割を含めてください。 - 対象サービスと対応計画の版を一つ選びます。判断マトリクス、連絡先、依存関係図を用意し、架空の名前と資料を使ってください。 - 目安として約90分を確保します。範囲の合意に10分、四回の討議に60分、振り返りに20分です。目的に合わせて調整し、速さだけで評価しないでください。 ## 演習の境界と中止条件 - これは討議演習です。シナリオを再現するために実際の権限を変更したり、ファイルを実行したり、対外送信や実顧客データの利用をしたりしないでください。 - 提案された行動が実システムに及ぶ、または合意範囲を超える場合、誰でも一時停止を求められます。境界を確認してから続けてください。 - 実際の運用インシデントが発生した場合は演習を止め、正式な対応手順を使います。演習記録や模擬メッセージには明確な表示を付けてください。 ## 架空の開始状況 あるB2B供給会社は、出荷の繁忙期に注文確認サービスを利用しています。顧客がエラーを報告し、担当者はどの注文が受理されたか把握できません。原因と影響範囲は不明です。以下の状況変化は進行担当者が提示する架空の演習資料であり、実在の組織についての観察ではありません。 ## サービス、参加者、演習範囲 サービス、計画の版、進行担当者、観察者、参加役割、合意した境界を記載してください。 [演習中に記入してください] ## 状況変化を順番に提示する 一度に一つのラウンドを開きます。15分という区切りは進行の目安であり、対応期限ではありません。次へ進む前に、判断、権限、利用できる証拠、次の確認を記録してください。 ### 00 min — サービス停止 注文サービスが利用できません。サポートには三件の報告がありますが、影響する注文数は不明です。通常のインシデント責任者とは連絡がつきません。 - 誰がインシデントを宣言し、調整を引き継ぎ、代理者を呼び出しますか。 - 手作業で注文を受けるか新規受付を止めるかを選ぶ前に、何を知る必要がありますか。 #### 判断、権限、理由 何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。 [演習中に記入してください] #### 不足する証拠と次の確認 提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。 [演習中に記入してください] ### 15 min — 未確認の恐喝主張 進行担当者が模擬の身代金要求文と、異常な特権セッションの報告を提示します。データの窃取やアクセスの全範囲を示す証拠はまだありません。 - どの封じ込めが許可されており、どの証拠を失う可能性がありますか。 - 誰が主張を評価し、真偽が不明な間も顧客説明の正確さを保ちますか。 #### 判断、権限、理由 何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。 [演習中に記入してください] #### 不足する証拠と次の確認 提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。 [演習中に記入してください] ### 30 min — 復旧の依存関係 バックアップ一覧には最近のコピーがありますが、この演習で復元は実証されていません。復旧には信頼性が疑われているIDサービスも必要です。運用側は早期再起動を求めています。 - ID、データ、サービスを復旧する前に、どの証拠が必要ですか。 - 誰が制限付き運用を受け入れ、どの監視結果や切り戻し条件で停止しますか。 #### 判断、権限、理由 何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。 [演習中に記入してください] #### 不足する証拠と次の確認 提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。 [演習中に記入してください] ### 45 min — 説明を求める圧力 大口顧客が復旧時刻を求め、記者が未確認のスクリーンショットに言及しています。次のシフトが来ますが判断記録は不完全です。 - 影響と不確実性を伝え、根拠のない約束を避ける説明を誰が承認しますか。 - どの判断、約束、証拠を次のシフトと経営責任者に引き継ぐ必要がありますか。 #### 判断、権限、理由 何を、どの権限を持つ役割が選び、どのような代替策と顧客への影響を検討しましたか。次の行動の責任者を示してください。 [演習中に記入してください] #### 不足する証拠と次の確認 提示された事実、参加者の前提、不足する証拠を分けます。誰が何を、どの判断の前に確認するかを記録してください。 [演習中に記入してください] ## 振り返りを改善行動につなげる ### 観察した強みと不足 討議で示されたこと、発言だけだったこと、未検討のことを区別します。記録や観察した行動を引用し、根拠のない準備度の点数を付けないでください。 [演習中に記入してください] ### 是正措置と検証 不足ごとに責任者、次の行動、期限、完了を確認する証拠を記載します。未解決の依存関係も見える状態にしてください。 [演習中に記入してください] ### 再演習の条件 どの変更や是正措置の完了をきっかけに再演習し、何を示す必要があるかを定めます。フォローアップの担当者も合意してください。 [演習中に記入してください] 討議の結果は、実際のインシデントで復旧、検知、説明が機能することを証明しません。技術的な主張は、別途承認されたテストで確認してください。ダウンロードした記録を保管し、是正措置を完了扱いにする前に確認してください。 ## 方法と参考資料 演習設計の一次資料を参照した独自シナリオとワークシートです。CISAやNISTの公式演習パッケージではありません。 - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)