【技術補講】会議室でできるサイバー避難訓練。経営層を震え上がらせる「机上演習（Tabletop Exercise）」の進行台本

『Project Zero Trust』のクライマックス（Chapter 10）で、最も効果的だった施策は、数千万円のシステムではなく、会議室で行われた「机上演習（Tabletop Exercise）」でした。

しかし、いざ日本企業でこれをやろうとすると、「何を話せばいいかわからない」「白けて終わる」というのが関の山です。

そこで今回は、情シス担当者がファシリテーター（司会）となり、役員・部長陣を「良い意味で追い詰める」ための完全台本を用意しました。
プリントアウトして、次回の定例会議の「余った30分」で実施してみてください。

この記事は『Project Zero Trust』特集の一部です。全記事一覧はこちら↓

シナリオ1：CEOのPC紛失（初級編）

【設定】
金曜日の夜22時。社長が会食帰りのタクシーに、会社貸与のノートPCを置き忘れました。PCには未発表のM&A資料が入っています。社長は酔っており、パスワードメモをPCケースに入れていた可能性があります。

【ファシリテーター（あなた）の台詞】
「さて、社長から『PCをなくした』と電話がありました。今、22時15分です。ここからどう動きますか？」

【意地悪な質問リスト（Injects）】

（総務部長へ） 「タクシー会社には連絡がつかないそうです。警察に届けますか？その場合、マスコミに『紛失』がバレるリスクがありますが、どう判断しますか？」
（情シス担当へ） 「リモートワイプ（遠隔消去）しますか？でも、もしPCが『タクシー会社の親切な運転手の手元』にあったら、ワイプした瞬間にGPS追跡も切れ、二度と戻ってきませんが、ボタンを押しますか？」
（法務部長へ） 「もしパスワードメモごと一緒に盗まれていたら、情報漏洩は確定です。この段階で取引先（M&A相手）に謝罪の連絡を入れますか？まだ『漏れた』とは決まっていませんが？」

【狙い】
「スピード（ワイプ）」を取るか、「証拠保全/発見の可能性」を取るか。正解はありません。「誰がその決断の責任を取るか」をあぶり出すのが目的です。

【設定】
月曜日の朝9時。基幹システムの画面が赤くなり、「全てのデータを暗号化した。48時間以内に1億円払え。支払わなければ顧客データをダークウェブに公開する」と表示されています。

【ファシリテーター（あなた）の台詞】
「画面はロックされました。業務は一切できません。犯人からのカウントダウンが進んでいます。さあ、どうしますか？」

【意地悪な質問リスト（Injects）】

（社長へ） 「1億円、払いますか？サイバー保険に入っていますが、保険会社は『反社会的勢力への利益供与になるため、身代金支払いは補償しない』と言っています。自腹でも払いますか？」
（営業部長へ） 「システム復旧には最低1週間かかります。その間、受注業務はどうしますか？ FAXで受けますか？そのFAX用紙と人手はどこにありますか？」
（広報へ） 「Xで『御社のシステム止まってない？』という投稿が増えています。まだ原因は特定できていませんが、『メンテナンス中』と嘘をつきますか？それとも『サイバー攻撃です』と正直に言いますか？」

【狙い】
技術的な復旧よりも、「事業継続（BCP）」と「対外コミュニケーション（Crisis Comm）」の準備不足を露呈させます。