起こりうる脅威

　DTIはそうした初めての「卓上訓練」を昨年10月に、デラウェア州警察、連邦捜査局（FBI）、およびデラウェア危機管理当局（DEMA）と共同で行った。デラウェア州の最高技術責任者（CTO）エレイン・スターキー氏によれば、中央のIT部門では、そのほかにもさまざまな訓練が「年がら年中」行われているという。

　同氏によれば、こうした訓練の最終目標は、「広範囲なセキュリティ事故に直面した場合にどう対処すべきかという点について皆に考えてもらい、実際に何か問題が発生したときに迅速に対応できるようにしておくこと」だという。

　「次の大規模な訓練は10月に予定しているが、私は州警察やFBI、DEMAとともに小規模な訓練をもっと頻繁に行いたいと考えている。各地方自治体や地域政府、近隣の州政府との共同訓練も行うようにしていきたい」とスターキー氏。

　デラウェア州の障害回復担当コーディネーター、リサ・ラッグ氏によれば、一番最近行った訓練には、約10の機関と2つの学区、2つの大学、および民間の金融機関から、計80名が参加したという。同州は、計画段階と実際のシミュレーション時のコンサルタントとして、災害時の事業継続対策を専門とするペンシルベニア州ウェーンのSunGard Availability Serviceを雇っている。

　ラッグ氏によれば、訓練のプランナーは、大規模なテロ攻撃を伴うシミュレーションを実行しようかと考えたという。だが結局、最終的には、州政府が自らのリスクの70～80％を占めると考えている脅威、つまり、内部関係者がもたらす脅威に基づいた訓練を行うことに決定した。

　「われわれは、悪意を持った内部関係者によって引き起こされる可能性のある問題に目を向けた。だが、停電や大規模なウイルス感染、サービス拒否（DoS）攻撃など、複数の事件が同時発生した場合にどう対処すべきかという点にも重点を置くことにした」とラッグ氏。

責任者は誰か？

　訓練の際には、参加者らはその役割と責任に基づいてグループに分けられ、それぞれがグループごとに大きなテーブルに着席した。

　訓練では、各グループとも、「予防的準備」「事件の探知」「対応／復旧」という3つの段階を踏んだ。スターキー氏とラッグ氏によれば、会場は常に議論と作業で活気づき、訓練が進行するにつれてグループ間の対話も増していったという。各機関の間でのコミュニケーションの重要性がはっきりと示されたのは、あるグループが目前の脅威に対処するために一方的にネットワークの遮断を決めたときのことだった。これは、ほかのグループに混乱を引き起こす行動だった。

　「わたしは技術機関の出身なので、この行動には非常に驚いた。だが、これによって問題が明りょうになり、すぐに問題を解決できた。この件が、「気付き」の瞬間となったのは確実だ。この出来事のおかげで、サイバーセキュリティがなぜそれほど複雑なのかも理解されやすくなった」とラッグ氏。

　また、スターキー氏によれば、この件により、最も重要な問題が明らかになったという。つまり、サイバーセキュリティ事件についての責任者は誰なのか、という点だ。

　「州内で緊急事態が発生した場合には通常、警察や消防署が対応を先導する。だが、サイバーセキュリティ事件やそれに伴う技術的な問題については、DTIが対応を先導すべきだ」と同氏。

空いたテーブル

　訓練中、特筆すべきもう1つの重要な瞬間が訪れたのは、進展する状況に対応するための司令部を設置するよう参加者らが判断したときのことだ。この司令部には、各グループから1人ずつ代表者が参加した。

　ラッグ氏によれば、同氏のチームは司令部用にテーブルを1つ空けておいた。そのため、参加者らが司令部を設置する必要性に気付いたことがうれしかったという。だが、結果的には、司令部はもっと早い段階で設置しておくべきだったこと分かったという。

　このほか訓練では、対応の改善が求められる分野として、以下の点が確認された。

• どのグループのメンバーも、どのドアからビルの外に出ればいいか、いつ外に出るべきかをきちんと理解していなかった。スターキー氏によると、それ以来、自分が何をすべきかを皆に確実に把握してもらうための訓練を設けている。
• 危機の際に各機関の間で明確な通信ラインを維持するためには、司令部が不可欠だ。そして、大規模な事件の際には司令部を迅速に設置すべきだ。
• 例えば、インターネットを閲覧したり電子メールを使ったりする際の注意点など、「ユーザー各人が賢くコンピュータを使いこなせば、いかにサイバーセキュリティを強化できるか」に関するユーザーの訓練が不足しているようだ。

　スターキー氏とラッグ氏によると、こうした問題点を解決するための最善の方法は、さまざまな規模の訓練を実施しながら、各種の教訓を考慮に入れつつセキュリティポリシーを微調整していくことだという。