はじめての「セキュリティ机上演習」、人と組織のリスクを無くすには？（2/2 ページ）

公開 2016年07月22日 12時02分

更新 2017年04月12日 20時09分

著者

Robert Wood

[TechTarget]

印刷する

机上演習の具体的な手順

　机上演習の際は、司会者が開始に当たって全参加者に目的を説明し、想定したインシデントへの既存の対応手順を紹介する。司会者はインシデント対応の段階ごとに、各参加者（または参加チーム）に自部門の立場から、その段階で何がなされるべきか、その中で自身が何に責任を持つかを話すよう求めるとともに、他の参加者にも質問を投げ掛けて議論を促し、また、インシデント対応チームとしてどのツールをどのように使うかも説明しなければならない。

　参加者の回答が曖昧になったら、厳密な答えを求める質問をすることで、当該の機能やプロセスが実際に存在し、意図された通りに働くかどうかを確認することも、司会者の役目だ。

　場合によっては、机上演習により、特定の管理機能に不備がある可能性が判明し、フォローアップテストによってそれが検証されることもある。これは机上演習の典型的な成果の1つだ。

　机上演習のプロセス全体において司会者とセキュリティチームの他のメンバーが守るべき1つの基本原則は、不備が見つかっても他部門に決して恥をかかせないようにすることだ。

　一般化しつつある攻撃ベクトルを例に取って、机上演習で司会者が聞きそうな質問の一部を挙げてみよう。攻撃者がランサムウェア（身代金要求型マルウェア）の一種のようなものを添付したフィッシングメールをあなたの会社の社員に送り付けることに成功したとする。このインシデントを想定したシナリオによる机上演習で、参加者がインシデント対応の各フェーズで聞かれそうな質問を以下に示す。

検知

　「報告者以外にも、同じ攻撃メールを受け取ったユーザーがいるかどうかを調べられるか」「ユーザーのシステムで実行されたマルウェアがどのような系統に属するかを特定できるか」

封じ込め

　「問題のメールを受け取ったユーザーのシステムを、ネットワーク上の安全な場所に隔離する必要があるか。また、どう隔離するか」「影響を受ける可能性がある共有ファイルストアがあるか。ある場合、どうすれば影響を回避できるか」「これがただのランサムウェアか、あるいは何らかのハイブリッドマルウェアかをどうすれば迅速に判断できるか」「このユーザーの資格情報を無効にする必要があるか。このインシデントに対応する中で、どうすれば迅速に無効にすることができるか」

根絶

　「ユーザーのシステムのイメージを再作成する必要があるか」「脅威を再び招かない安全な方法で機密データをバックアップするには、どうすればよいか」

復旧

　「悪意あるコードが実行時にデータにアクセスした可能性があるか。それは規制管理の対象か」「このインシデントを顧客や規制当局に開示する必要があるか」「適切なバックアップがあり、悪意あるコードの影響を受けたデータをそれによってリストアできるか、あるいは身代金を支払う必要があるか」「バックアップは十分に保護されているか」

　以上の質問は網羅的なものではない。だが、机上演習の司会者は、演習で議論を呼び起こすためにこれらの質問を利用することができる。また、このシナリオは多くのユーザーが同時に影響を受ける大規模な環境に適用した場合も興味深い。

　セキュリティ担当役員がこれらの質問のいずれかに答えられないか不十分な答えしかできない場合、それはセキュリティプロセスに不備がある可能性を示している。その不備は侵入テストのような従来のリスク発見方法では見つからなかっただろう。

　机上演習は四半期ごとに、さまざまな部門や個人が顔を合わせられるようにシナリオを切り替えて実施することを考えよう。こうした机上演習には副次的な効果もある。こうしたインシデントの防止、対応を支える思考プロセスにセキュリティ以外の部門が触れることができることだ。それはセキュリティ知識が全社的に浸透するきっかけになる。