これまで三回にわたって、船（企業）が揺れるなかでのサイバーセキュリティ戦略や戦術の留意点を見てきました。ある意味で、揺れは航海には付き物ですから、そもそも平時の情報セキュリティだけではサイバーセキュリティは乗り切れない、という言い方もできるかもしれません。
非常時が常態と理解してしまえば、紛争時に向けたサイバーセキュリティ演習をやっていないのであれば、経営の善管注意義務の視点からすれば、不作為があったと指弾されても仕方ないのかもしれません。
そこで今回は、シリーズの最後として、サイバーセキュリティ演習の要点を整理した上で、今後に残る課題を見つめてみたいと思います。まずは、世界経済フォーラムに寄稿されたSteve Durbinの論考から見ていくことにします。
（ここから引用）
紛争時のサイバーインシデント対応計画を検証するための6つのステップ
June 22, 2022
SOURCE: World Economic Forum
By Steve Durbin
ISF Chief Executive
サイバー攻撃は政府や企業にとって広域的なリスクとなっています。
ロシアのウクライナ侵攻のような紛争時には、こうしたリスクは増幅されます。
ここでは企業のサイバーインシデント対応能力を評価する際に考慮すべき重要なポイントを紹介します。
サイバー攻撃による損失、混乱、そして被害は、政府にとっても企業にとっても同様に大きなリスクとなっています。このようなリスクは、紛争や情勢不安の際に著しく増大しますが、ロシアによるウクライナへの侵攻などはその典型例です。最悪の事態が発生した場合には、サイバーインシデント対応計画によって、リソースを動員し、攻撃を封じ込め、被害を軽減し、復旧を早めることができます。
しかしながら、紙上での計画だけでは決して十分ではなく、また実際の実践に置き換えられるものではありません。サイバー訓練は、繰り返し実施し、徹底的にテストを行い、現実社会に適合するように最適化する必要があります。例えば、学校での消防訓練と同じように、ベルが鳴ったら、全員が自分の役割を自覚していなければなりません。
サイバーインシデント対応能力
自社のサイバーインシデント対応能力を評価する際に、企業として考慮すべき重要な事項を以下に列挙します。
1. 目標の明確化
具体的なプロセスそのものに取り掛かる前に、企業はこのテストの目標と成功基準を明確にしておく必要があります。すべての演習を通じて、理想的には2つの大事な成果を得ることが求められます。
1つめは、サイバーインシデント対応計画が成功する可能性が高いかどうかを明確に理解すること、そして2つめは、直ちに対処しなければならない致命的な欠陥を洗い出すことができること、です。加えて、企業は、テストの項目として、新たに買収した事業や、特定のシステムまたはインフラ、ランサムウェアなどの特定の攻撃シナリオなど、対応計画のさまざまな局面を含めなければなりません。
2. 目標に合致した演習方法の選択
企業は、現実の物流面や業務面での制約条件を考慮し、設定した目標を検証するための演習方法を選択する必要があります。例えば、机上演習（例：計画書に記載された人に電話をかけ、電話番号が通じるか確認する）、フィッシング模擬演習（従業員に対してフィッシング攻撃を仕掛け、彼らが詐欺に気づき、報告するかどうかをテストする）、パスワードやその他の不審な要求、レッド/ブルー/パープルチームに分かれた演習（サイバー攻撃を模擬的に行い、システムに侵入できるか、防御は想定通りに機能しているかをテスト）、ウォーゲーム（企業の防御とサイバーへの備えをテスト）、並行処理テスト（復旧したシステムが稼働するか、主要プロセスをサポートできるかをテスト）、切り替えテスト（主要システムを切り離して、二次システムが想定通りに機能するかチェック）などがあります。
3. 適切な演習対象の選定
目標を満たすために演習を行うには、適切な対象の組み合わせを見極めることが重要になります。対象としては、特定のビジネスアプリケーション、サーバーやワークステーションなどの物理的な資産、仮想インフラ、クラウドインフラ、リモートビジネス拠点やリモートワークの従業員などを挙げることができます。また、サプライチェーン・パートナーをテスト演習の一部に加えることも意味があるかもしれません。例えば、マネージドサービスのプロバイダーに対する攻撃を模擬的に行うなどです。危機対応には経営陣が欠かせないため、経営幹部をターゲットにしたシミュレーションも考えられます。
4. 難易度は高くとも達成可能なシナリオの立案
演習は、企業がサイバーインシデントへの対応能力を検証し、従業員のサイバーセキュリティに対する備えを評価する上で、以前から最適な方法として用いられています。ただし、演習は、難易度が高くても達成可能なものでなければなりません。この目的は、従業員を落胆させたり自信を失わせたりするのではなく、しっかりとしたセキュリティ文化醸成に積極的に取り組んでもらい、サイバーインシデントに対応するための十分な装備を整えてもらうことにあります。ランサムウェアのような実際に起こった事件に関連するシナリオを参加者に与え、演習をより現実的で緊急なものとして見せることも検討します。また、可能であれば、演習の前にガイダンスを配布し、参加者が十分な心の準備ができるように配慮をします。できるだけ透明性を高め、誰が演習に参加するのか、どのようにフィードバックが集められるのか、どのような測定基準で報告されるのかを明らかにしておきます。演習では、特定のシステム、プロセス、または「サイバーキルチェーン」の個々の構成要素に焦点を当てることで、複雑さも加えていきます。あるいはまた、「ブラックスワン」攻撃（突然発生し、予想外の広範囲におよぶ影響をもたらす事件）のような極端な攻撃シナリオをテストすることも出来るでしょう。
5. 最適な関係者の参画を確保
インシデント対応演習では、ビジネスと技術の両方のバックグラウンドを持つ人材をうまく組み合わせて、幅広い種類の実務経験や専門知識を活用できるようにすることが肝要です。また、ビジネスの現場において、フォレンジックや法律の専門家、サプライチェーン・パートナー、顧客などのサードパーティも参加させる必要があります。これは、期待する目標を達成できるような参加者を選ぶということです。また、参加者が演習をどのように受け止めて参加するかに大きく影響するため、上級管理職の賛同を得ることも望まれます。
6. 心を開き、共に学ぶ
参加者には、与えられた状況を過剰に分析せず、心を開いていることを促します。率直さと批判的思考を奨励し、すべての参加者が貢献できる機会を提供します。参加者からの主だった気づきや提言は、期待通りにはいかなかったことも含めてすべて記録しておきます。演習後には速やかにフィードバックを行い、演習中に明らかになった問題点については、簡潔かつ明確な行動計画を立てて取り組むことを約束します。また、今後の演習をどのように改善すべきかについてのフィードバックを収集し、次回の演習までに提言された変更が確実に実行されるようにします。
紛争時や情勢不安の際にこそ、サイバーインシデントの模擬演習を実施し、一見したところ手堅くまとまったインシデント対応計画における欠陥を明らかにすることが必要なのです。インシデントマネジメントを設計するには、脅威の進化に合わせて継続的に見直しと更新を行う必要がある「生きた文書」と見なさなければなりません。結局のところ、真のサイバーレジリエンスは、企業が現実に発生したサイバーインシデントを検知し、対応し、回復する能力を備えている場合にのみ達成できるものなのです。
（引用おわり）
いかがでしょうか。いわゆるBCPに責任を持たれている方であれば、ほぼ首肯できる内容なのではないでしょうか。３点を除いては。
つまり、まず紛争時にわざわざ演習をやるのか、という点です。例えば地震を想定したBCPがあった場合に、どこかで大地震があったからと言って、それを切っ掛けに演習を行うなどと進言したら、不謹慎なこととして白い目で見られかねません。ところが、今年大きな話題となっているロシアによるウクライナ侵攻では、戦車やミサイルによる実弾の攻撃と並行してサイバー戦が仕掛けられ、応戦があり、虚々実々な情報戦ばかりか実世界の情勢も揺すぶっていることは第三国の中立的な報道にある通りと受け取っています。また、さらに第三国からサイバー戦に私的義勇軍として参加する者も居るとのことで、戦争や紛争の概念も様変わりしています。とばっちりが何時飛んできてもおかしくない事態になっている訳です。どうにかして、サイバー演習をし直しておかないと心配になるのはムベなるかな、です。
また、もう一点は、性別年齢ましてや立場を問わず、皆兵制が無条件で敷かれているのです。詐欺者はCEOや役員になりすまして、皆を「誘導」します。通常のBCPであれば、危機管理責任者の言うことは絶対ですし、会社の正式な意思決定を飛び越えて、即刻効力を持つでしょう。時間が命です。ところが、サイバーインシデントの場合は、メールはもとより、命令を発しているビデオ画像もフェイクかもしれない、と疑って、直ちに見破り、正しい命令を瞬時に選び直して行動に移さなければなりません。サイバー空間では、問答無用で皆兵制ですから、皆が訓練を受けておかなければならないのは、当たり前なのです。
さて、最後に広域性、ひいては言語の問題です。いくら自動翻訳が発達したからといって、国際的なサイバー演習を日本語でやる人は居ないと思います。サプライチェーンのパートナーを呼び込んだ場合も、日本語でコミュニケーションを取れる可能性は極めて低いでしょう。普段から、英語でのコミュニケーションもOKとしている企業であれば問題ないでしょうが、さて、日本の中に閉じたセキュリティチームは、いま、英語でグローバル企業の指揮を執ることができるのか、考えてみる必要がありそうです。
紛争が身近になっています。最後に議論させて頂いた、「紛争時にこそ演習」、「サイバー皆兵制」、「英語サイバー演習」は、今回の4回シリーズを通じて私なりに得た学びの要点でした。
小原：hiro.ohara@securityforum.org
