ほとんどの組織は、インシデント対応計画、事業継続計画、あるいは問題発生時に何をすべきかを説明した方針文書を備えている。多くの組織はまた、こうした計画を検証する机上演習の実施を、義務づけられているか、政府機関、規制当局、保険会社、監査人から推奨されている。
しかし、「計画はあるか」と問うことと、「攻撃を受けても生き残れるか」と問うことの間には、大きな隔たりがある。
従来の机上演習は、インシデントが発生した際に何が起きるかをシミュレーションする。リーダーたちは多くの場合、文書化されたインシデント対応計画を確認し、仮想の事業中断に対応する手順をたどる。だが、まさにそこにこうした演習の限界がある。現実のプレッシャーや予測不能な意思決定を再現しないまま、広範な問題を引き起こす一般的な脅威アクターを想定しているにすぎないからだ。
高度な悪意ある攻撃者は、次の行動を起こす前にこちらの対応を待ってはくれない。単一の攻撃経路に賭けることもしない。むしろ、日々の業務の抜け穴を探し、従業員を誘導してサインイン認証情報を共有させ、感情や緊急性につけ込み、多様なツールを使って企業を侵害しようとする。
私は、従業員10人規模から1万人規模までの企業とともにインシデント管理を率いてきたが、そのたびに脅威アクターはパニックと意思決定疲れにつけ込んできた。
実際のインシデントは動的である
インシデント発生前に組織がいかに優れた準備をしていても、いざ攻撃が起きれば、重要なのは「その後に何が起こるか」だけだ。そして、衝突が始まった瞬間に真っ先に投げ捨てられるのが、まさにその事前計画である。
だからこそ、優れた机上演習は動的であるべきだ。現在の現実的な脅威をシミュレーションし、組織の業界、規模、成熟度、技術環境、脅威プロファイルを反映する必要がある。
現実的な演習では、その組織がどの業界に属しているのか、直面する可能性が最も高い攻撃は何か、悪意ある攻撃者が公開インテリジェンス（OSINT）を通じて何を知り得るのかを問う。今日、ハッカーはAIを利用し、標的に関する公開情報を統合して、悪意あるメール、テキストメッセージ、電話をカスタマイズしている。
悪意ある攻撃者がそのような下調べをしているのであれば（実際にしている）、机上演習もそれを織り込むべきである。
単なる技術演習ではない
組織が犯す大きな過ちの1つは、机上演習を主に技術的な演習として扱うことだ。技術的な対応は重要だが、組織がつまずきやすいのはコミュニケーションである。
インシデント発生時には、誰もが情報を求める。経営幹部は最新状況を知りたがる。従業員はうわさを耳にするかもしれない。顧客、規制当局、法執行機関、メディア、競合他社、保険会社がすべて状況に関与する可能性もある。社内のほとんどの部門が何らかの役割を担うことになり得る。
多くの場合、広範に、かつ早急に情報を発信したいという衝動が生じる。これは危険だ。最初の対応、反応、何をすべきかについての思い込みは、たいてい誤っているからである。
優れた机上演習は、技術的対応と同じくらい、社内外のコミュニケーションを検証する。誰が、何を、いつ、どの程度の確度で知る必要があるのかを、チームに判断させるべきだ。インシデントコマンダーは、その職務に十分な経験を持つ人物であるべきで、全体を指揮する。一方で、社内の法務責任者と外部のサイバー法務顧問も関与し、すべてのコミュニケーションの共有先に含まれる。
適切な人材を実際の役割に置く
実際のインシデントでは、意思決定者が1つのチームにまとまっているわけではない。従来の机上演習では、参加者が一緒にブレインストーミングを行い、おそらく取るであろう対応を話し合い、答えにたどり着く。
しかし現実のインシデントでは、人々には役割がある。CEO、CIO、CISO、そして人事、法務、広報、オペレーション、財務の各チームは、通常業務とは異なる責任を負う。場合によっては、インシデントが個人のキャリアにおける「最悪の1日（あるいは数日間）」となることもある。備えが必要だ。
より効果的な机上演習は、そうした個々の役割を実際に動かし、攻撃下、機密保持下、ストレス下で各自の責任がどう変わるのかを示すべきである。
法務はコミュニケーションを遅らせたいと考える。広報は迅速に何かを発表しなければならないという圧力を感じるかもしれない。技術チームは詳細なフォレンジック調査のためにより多くの時間を必要とする一方、経営幹部は即時の回答を求める。私がインシデントコマンダー役を務めた際、CEOに自室へ戻るよう求めたことは一度ならずある。まだ最高経営責任者に状況を報告できる段階ではなかったのだ。
経営幹部の意思決定は、技術的成熟度と同じくらい重要である。机上演習では、情報が不完全でプレッシャーが高い状況下で、リーダーたちに意思決定を迫り、その即時の結果に対処させるべきだ。
プレッシャーが亀裂を露わにする
実際のインシデントは混乱を引き起こす。CEOは休暇中かもしれない。法務責任者は連絡がつかないかもしれない。地元メディアが関与する可能性もある。規制当局への通知期限のカウントダウンが始まることもある。ディープフェイク動画や音声クリップが状況に入り込むかもしれない。会社が声明を出す前に、従業員の子どもがソーシャルメディアで会社に関する何かを目にすることもあり得る。
最も価値ある学びは、主なシナリオではなく、副次的なストーリーラインから得られることがある。私が進行役を務めたある顧客の机上演習では、CEOが疑わしいメールを日常的にエグゼクティブアシスタントや首席補佐官に転送しており、その人物はCEOから来たものなら何でもクリックしてしまうことが判明した。それはシナリオの焦点ではなかったが、攻撃者にとって重大な侵入口を露呈させた。
これこそがリアリズムの価値である。実際の攻撃者に悪用される前に、安全な環境で組織が弱点につまずくことを可能にする。
机上演習は変化を促すべきである
机上演習を一度も実施したことのない企業が、5回、6回と高度なシミュレーションを完了した企業と同じ演習を受けるべきではない。目的は、学習を促す形でシステムに継続的に負荷をかけ、押し広げていくことにある。
机上演習は、参加者が部屋を出たところで終わってはならない。その後、企業は計画、役割、コミュニケーション手順、エスカレーション経路を更新し、技術的なギャップを埋めるべきである。目的は人的リスクを減らし、意思決定を改善し、組織の備えを高めることだ。
実際のインシデントを完全に再現することはできない。企業が財務、業務、評判の損害に直面するなか、何日も眠れない状況のプレッシャーに匹敵するものはない。だが、よく設計された机上演習は、一般的な議論よりもはるかにその現実に近づける。
明日、脅威アクターが攻撃してきたとしても、組織は机上演習の前よりも備えができている状態であるべきだ。
