情報セキュリティ事故対応
1日コース 机上演習編

実践的な演習を通して事故対応の本質に迫る「気づき」が得られます疑似的に事故対応を体験しておくことで実際の事故の際、臨機応変に対応できます
セキュリティアカデミー
講師

大塚英恵

情報セキュリティ事故のための対応手順や判断し、行動する力の必要性、加えてチームや対応チーム（CSIRT※）の整備において、重要な社内外との連携の大切さ、難しさを体感していのは「臨機応変に対応できるか」の確認です。

ただけます。この体験を通した「気づき」が、組立派なマニュアルを策定していても、それが有織の情報セキュリティ事故対策に必ず役立つ効に活用されなければ意味がありません。と自信を持っています。

そこで必要とされるのが体験による「気づ情報セキュリティ事故対応に携わる担当者、き」です。本コースは、予告なしにインシデンCSIRT、情報システム部門の方々、危機管理委ト情報を伝え、それに対するアクションによっ員会や組織マネジメント層、広報、法務部などて状況がめまぐるしく変わるという、練りにの方々にもお勧めいたします。

練ったシナリオで進む机上演習です。実際に起きた重大なインシデントを基に構成したシナリオで事故対応を体験することで、自分で考え※CSIRT（Computer Security Incident Response Team）＝コンピューターセキュリティに関する事故対応チーム

研修当日スケジュール
時間

内容

10:00〜

60 分

1 座学

インシデントレスポンス概論

11:00〜

60 分

2 ルール説明訓練の進め方と前提条件の説明

12:00〜

60 分

休憩

13:00〜

150 分

3 訓練

インシデントレスポンス訓練

途中休憩あり15:45〜

45 分

4 振り返りグループ別ディスカッション

16:30〜

60 分

5 発表

全体発表・まとめ1

座学「インシデントレスポンス概論」

そもそもインシデントレスポンスとは何か、学習します。インシデントレスポンスを４つインシデントにどう対応するべきかを座学でのフェーズに分けて、それぞれの目的を明確にするとともに、原因の調査や組織内外へのアプ
ローチにおいてどのように行動すべきかを体系的に学ぶことで、対応ポイントの知識を得るこ

検知と分析

準備2

封じ込め、根絶、復旧

事故後の対応とができます。

ルール説明「訓練の進め方と前提条件の説明」

訓練は、発生した事象と仮想組織の資料をとなって対応。訓練を開始する前に、仮想組織利用して、事故の収束と復旧、また再発防止策の概要やシステムおよびネットワークの構成との検討をシミュレーションスタイルで行いまいった前提条件を確認して訓練に参加します。

す。受講者はCSIRTとして、４ 〜 ７人でチーム受講者（CSIRT）

仮想組織のCSIRTメンバーとしてインシデントを対処します

第一報 事故の発生を予感させる情報

アクション 与えられた情報が本当に事故かどうかの分析を行い、情報収集や対策といったアクションを講師に対して行う

回答

講師

CSIRT以 外 の す べ て の 役を演じます

取引先、顧客、経営者、社員、ベンダー、警察、マスコミ
etc.

アクションに基づき各種の情報を返答

以降、回答を基にフェーズに沿ってインシデントレスポンスを進め、復旧を目標に対応します

さあ、訓練を始めましょう！
あれ、不審なメールが届いたみたいですよ…
次ページへ

3

訓練

「インシデントレスポンス訓練」

訓練シナリオは、スタートするまで開示されシデントの原因、被害状況を特定、事業の復旧ません。受講者はCSIRTの一員として情報を受を目指します。よって、展開や結果がチームのけ、メンバーと対応方針を決定し、関係者（講アクションによって異なるのがこの訓練の醍醐師が複数兼任）と連絡を取り合いながら、イン味。ここでご紹介するのはその一例です。

story

1i ss i onm

CSIRTの定例会議中、「社内で違和感のあるメールを受信した人がいるようだ」という、もやっとした情報が寄せられます

インシデントの検知と分析舞い込んだ情報は事実か？

発生しているのか？

POINT

すでに問題が対応時間の短 縮が 被害の最小化につながります。
チームでコミュニケーションを取って積極的にアクションし、効率的に情報を収集できるかがポイントです。

現状把握のため「依頼票 」を使って調査を開始。 複数の人が同様のメールを受け取っていることが判明したので、メールの正体の追究に着手しました。

2

POINT
原因調査をする前に、まずは被害を拡大させないための封じ込めを優先することが大事です。

i ss i onm

封じ込め・根絶

メールの正体の追究と同時に、被害をこれ以上広げない対策にも着手しました。

story3i s

情報漏洩が疑われる報告が上がりました

s i onm

ここで新たな問題発生！

インシデントの検知と分析

POINT

最初と同様に真偽や現在の被害状況を把握すあらゆる状況や原因を想定しましょう。経営者や外部にいつ伝えるかも大きなポイント。アクションの有無が流れを変えます。

るとともに、2つの問題は無関係なのか、関連しているならどの部分か、さらに被害を最小限に抑えるにはどうすればよいか、チーム内でさまざまな意見を出し合い、その都度、アクションを起こしました。

4
POINT
作業分担などチームワークが必須。情報や状況をホワイトボードなどで整理し、共有することが大事です。

5i s

s i o

封じ込め・根絶

次々にやるべきことが増えて、ややパニック。

事業を継続するか、一旦ストップするかでメンバーの意見が割れ、行き詰まる場面も。

s i onmi snm

復旧

インシデントで迷惑をおかけした取引先や顧客に対するお詫びの仕方と、早急な事業再開の手段を考えました。

POINT
これまでの対応によってクレームが殺到することも。常にビジネスに対する損失を考慮して対応しましょう。

4

振り返り
訓練終了後、対応の方法や内容が適切だったかを振り返り、得られた気づきを発表できるように議論してまとめます。

5

発表

振り返りのまとめを各チームの代表が発表します。さまざまな方法や考え方があることが理解でき、気づきが広がります。

想A チーム
定外の事象のなかには不確かな情報も紛れていて、先入観だけでは本当

演

B チーム
習が進むにつれ、社内・社外対応が重要なことを感じました。に危ないことを実感できました。

特に、社外対応がうまくできませんでした

もし自社で起きたらと思うとゾッとしましが、逆に失敗した際のクレーム対応などがた。

経験できてよかったです。

焦C チームる状態での判断ミスや難しさをよく認識できました。
当たり前だろうという対処も、実行するとなると考えるべきことがたくさんあり、できないことが多かったです。

Message
セキュリティアカデミー
講師

白井雄一郎

各チームに１人ずつ講師が付き、アクションや状況によっても対応がさまざまですから、同じ１本のメールから始まったインシデントでも、収束への道筋、着地点が異なります。それには正解も間違いもありません。大事なのはこの演習を通じて、どれだけの気づきが得られたかです。

Voice教育ご担当者様の声
新任のCSIRT要員はもちろん一般社員にも、リティへの関心が高まったと感じています。まいざセキュリティインシデントが発生したときた、演習で扱ったセキュリティ事故が実際に発にどのような対応が必要かを実践的に学ぶ機生した場合に備え、受講で得た学びを活かして、会が必要と考え、受講を勧めました。セキュリ

インシデント対応マニュアル、チェックリスト

ティ関連はとっつきにくいイメージがありましなどの見直しを実施することもできました。今たが、「楽しい演習だった」と、良い反応が返っ後も、参加者を変更しながら、継続して受講さてきており、実際、日々の業務においてもセキュせたいと考えています。

受講者様の声■ 座学でインシデント対応の基礎から一連の■ 実践を意識できる緊張感がある演習でした。

動きをわかりやすく学んで演習に入ったの■ インシデントハンドリングでは、技術面の追で、理解しやすかったです。
■ 脱出ゲームのような訓練でとても楽しく勉強することができました。
■ その場で、自分たちで考えアプローチをすることによって理解が深まりました。

求だけではなく事業継続や対外対応といった観点も重要だということに気づけました。
■ インシデントの内容によっては、影響範囲が広くまた相当な期間にわたり影響が続く可能性が高いことに気づかされました。

■ 講師の「こういう場合はどう対応する？」と■ 事故が起こった時、多くの人が関わること、いう視点+アドバイスが明確。答えを教える

決断を下す責任の大きさが分かり、2手 3手のではなく、答えが出るように導いていただ

先を見据えた行動が必要だなと感じました。

け、とてもよい勉強になりました。

■ 職場の方や業務をされている方の意見を聞く■ 実際にインシデントが起きたときは、CSIRTことで、多種多様なアプローチを見ることがメンバーだけではなく、いろいろな部署とのできました。選択が「間違い」と一概に判断す連携が大切だと気づきました。

るのではなく、視野を広げる良い機会でした。

選べる

情報セキュリティ事故対応 1日コース 机上演習編

研修＆受講スタイル

それぞれ２つの研修形態と受講形態を組み合わせ、受講者様のニーズによりマッチしたスタイルで受講することができます。

研修 形態■オープン開催■ 個別開催す。複数の企業・団体からの受講者が参加されます。

定いただく形になります。

開催日程を設定し、参加募集をして実施する形態で単一企業向けの研修。希望の日程、受講形態をご指※座学パートを事前にオンライン受講（動画）していただくことで、開催時間を短縮することも可能です。

費用：132,000円（税込）／ 1名

費用：1,320,000円（税込）／ 1開催（21名まで）

受講形態
■集合研修

■リモート研修弊社会場（永田町）にお越しのうえ、受講していただ

インターネットを利用して、Live配信で受講していきます。

ただきます。

ラック事故対応演習

検索

こちらもおすすめ！

情報セキュリティ事故対応
2日コース 実機演習編
ファイアウォールやサーバで構成された実機環境を使用し、実際に事故が起きた想定で2日間にわたって演習を行います。
実施内容

1日目

受講者様の声

1. インシデントレスポンス（座学）
2. ルール説明（訓練説明）
3. インシデントレスポンス実機訓練（1回目）

2日目

4. 情報セキュリティ最新動向（座学）
5. インシデントレスポンス実機訓練（1回目）■ 実機を使用することで、リアルな現場感が高まりました。
■ セキュリティの技術だけでなく、心得も学べたので参考になりました。

株式会社ラック セキュリティアカデミー〒 102-0093 東京都千代田区平河町 2丁目 16番 1号 平河町森タワー
TEL：03-6757-0125 FAX：03-6757-0112
Email：info-academy@lac.co.jp https://www.lac.co.jp/service/education/