サイバークライシスに対処する準備ができていますか？ 「サイバーウォーゲーミング」でレジリエンスのある組織を築く

世界中でサイバークライシスの規模と頻度が増している

　企業にとって大きな課題であるセキュリティリスク管理。そのエキスパートであり、サイバーやレジリエンス分野にも通じるテオドロス・ニーマイヤー氏。オランダ王立陸軍の臨時兵としてキャリアを開始し、元オランダ総合情報保安局（AIVD）の諜報・テロ行為防止専門インテリジェンス責任者を経て、Deloitteオランダのリスクアドバイザリー活動をリードしてきた。そんなニーマイヤー氏のセッションは、１枚の写真から始まった。

　木造の粗末な橋から今にも転落してしまいそうな一台の装甲車——。それはニーマイヤー氏がオランダ王立陸軍の兵士として、1996年にボスニア・ヘルツェゴビナの和平履行部隊（IFOR）に配属された際に搭乗していたものだという。

　周囲の住民の誰もが「渡るべきではない」と制する中で、上司の命令を受けて手榴弾によって爆破された橋を渡ったころ、橋が崩れ落ち、すんでのところで九死に一生を得た。その経験からセキュリティのエキスパートとして顧客に向き合う時、3つのことを常に心がけているという。

1. ある仮定に基づいて行動してはならない
   必ず事実に基づいて判断する。それが無理なら専門家の意見を聞く
2. 圧力に負けない 　　
   自分の判断を最重視する。上司や同調圧力にも屈しない
3. 人の命を大切にする 　　
   人の命は最も重要な資産であり、経済性を優先しない

　そんなニーマイヤー氏が、セキュリティ対策における「ウォーゲーム」を重視するのはなぜか。そこには、世界中でサイバークライシスの規模や頻度が増しているという事情がある。昨今デロイトが500名の経営層に行なった調査では、60%が10年前と比べてサイバークライシスのリスクが高まっていると答え、80%の組織が過去2年の間にクライシス対策チームを召喚していることがわかった。そして、特に2大クライシスとされるサイバーとセーフティインシデントについては、経営陣の介入が必要と認識されているという。

　その規模も拡大し、経済的損失も比例して拡大する中で、さらに自然災害もあって特にアジアとアフリカにおいては被害が集中している。そして、90%の企業がクライシス後に対策を検討しているが、その多くがある程度予測ができていれば回避できたのではないかと答えている。つまり、きちんとモニタリングし、セキュリティの問題などサイバーイベントをウォッチし、そして強力なレジリエンスの機能をもっていれば、被害規模を縮小し、ある程度のビジネスの継続もできたはずというわけだ。

ウォーゲームで脅威に「対応する機能を手に入れる」

　さらに「サイバー」に限って言えば、十分に備えられている組織は少ない。知識は少なく認識度も低い、そもそもビジネスの目的と合っていないケースも多いという。そこでニーマイヤー氏が顧客に対して行なうアドバイスは、「サイバー対策について変革をせねば」というものだ。ただ単にファイアーウォールを入れるだけに留まらず、予防的なコントロール、セキュリティ対策、モニタリングシステムなど様々な施策が必要となる。中でも「対応する機能を手に入れる」ことにおいては、サイバーウォーゲームが役に立つという。サイバーウォーゲームをやることによって、組織がどのくらい準備しており、どのくらいスピーディに対応できるかということが詳らかになるというのだ。

　ここでニーマイヤー氏はウォーゲームの歴史を紹介。チェスに始まり、H.Gウェルズ著のボードゲームに至るまで、様々なウォーゲームが世の中に登場してきた。現在も続いており、オランダの電機メーカーの経営陣が行ったDDos攻撃を想定した対応ゲームの様子や、IoTカメラから入ったウイルスにより工場、オフィスまですべてのサプライチェーンが失われたという食品メーカーの例などが紹介された。

　ニーマイヤー氏は、オリンピック・パラリンピックやラグビーワールドカップ、原子力発電所など、攻撃の対象となるものが多い日本においても、そうしたウォーゲームの演習が必要なのではないかと指摘する。他にも金融や医療など、様々なトピックを用いた演習が可能だろう。

　では、そうした場合のウォーゲームとは何か。正式な定義としては、「（実際のインシデント対応者から経営陣に至る）参加者に特定のサイバー状況のシミュレーションを行わせることで、組織のサイバー対応力を評価、向上、改善をサポートするインタラクティブ型の技法」である。そして、問題提起とシナリオがあり、必ず敵を仮想した対戦型であること、社内の実際のプロセスや人が参加すること、そして最も重要なのは、イベントが発生した時の参加者の意思決定が最終的な結果に影響するということだ。

　またウォーゲームには目的ごとに3つのタイプがある。まず1つ目は新しいクライシスやリスク、その影響を洗い出し対策を見つけ出す「発見」、現在の自分たちの計画やプロセスを評価し、改善点を見つける「評価」、そして未来の環境を探り、事前の対策として備える「未来に向けた戦略」である。そしてその効果として、組織のリスクに対する認識の理解を深めること、代替案の開発や強化を見出すこと、そして実際にシミュレーションを行い検証することが可能になる。

　セキュリティに膨大な投資を行なうと、つい使い続けようという気になりがちだが、リスクを取り巻く環境が変化する中で、対策も変えていく必要が生じる可能性がある。しかし、実際の危機によって経験を積むというのは難しい。ニーマイヤー氏は「だからこそ、シミュレーションを通じてしっかりとプロセスを確認し、関係者同士で意見を交換し、次なる対策を講じておくことが必要」と強調する。

　特に日本人はオランダ人同様に、関係者のコンセンサスのもとで意思決定を行なう傾向がある。しかし、実際に危機が起きた場合、限られた時間内に、そうした意思決定を図ることは難しい。迅速な判断をするのは大変なプレッシャーがかかる。さらには平常時と異なるカオス状態では、何か調整する必要が生じたときには、平時ですら難しいコミュニケーションがますます難しくなる。「誰に何をどうやって伝えるべきか」を決めていかなければならない。

　そうしたことを鑑み、ニーマイヤー氏がどのようなウォーゲームを行なっているのか。まず「初級」では、通常の対応者を参加者として、予め作成したシナリオに従って簡単なサイバーインシデントに対応する練習を行なう。脅威への認識を高め、学習し、慣れてもらうことが目的だ。これを定期的に行なうことで、業務の中に浸透させることができる。

　そして、認識を深め、慣れてきたところで「中級」ではサイバー机上訓練を行なう。ここにはセキュリティ担当者に加え、法務担当者も参加する。そしてファシリテーターが用意したシナリオに基づいて、やや複雑なインシデントへの対応を行なう。それによって現在の対策が機能しているかどうかをチェックし、改善点を見つけることが目的となる。

リアリティが求められるサイバーウォーゲームの設計と実施

　そして、さらに上級者となったとき「サイバーウォーゲーム」を行なう。ここでは大変複雑なシナリオが用意されており、ストレステストなどでより緊張状態に近い形で対応をしていくことになる。ここではあくまで個人のテストではなくプロセスのテストである。どんなに優れた人も異動する可能性がある。誰もが正しいプロセスを踏めるよう、調整することが目的というわけだ。

　なお、机上訓練の場合、机の周りに座って意見を出し合いながら進める。終了時間も決まっており、範囲も限定的でシナリオは決まっている。しかし、ウォーゲームの場合、複雑なシナリオが使われ、紙や電話などあらゆるコミュニケーションツールを用いて、リアルかつダイナミックに進行していく。国や大陸間を横断して行われることもあり、対応によって結果も変わる。ファシリテーターや参加者の柔軟性が求められる。

　ウォーゲームで最も重要なことは「目的を設定すること」だ。学びたいのか、何かを検証したいのか、それとも失敗させたいのか。その上で結果を評価することが重要であり、それによってどのような改善を行なうのか、記録し、提案まで行なうことで、改めて意味のあるものとなる。時にロジスティックスまで含めたリアルなものになることもあり、約7週間かけて行なう事が多いという。

　実際に行う場合には、まず「事前説明をしっかりと行なうこと」が重要だ。実際のウォーゲームではこれをきちんと行わなかったがために、近隣を巻き込んで大きなトラブルになった例もある。とにかくリアルさが大事であり、仕込みはもちろん、電話やSNSなどのツールも織り交ぜながら、時には従業員がロールプレイを行なったり、役者を雇って演じてもらったりすることもあるという。

　こうしたウォーゲームで得られる効果として、最も大きいのは、営業や法務、広報など、それぞれ異なる言語で話す業務部門が共通言語を獲得することだ。また、役割の分担が明確になり、どこに現実とのギャップがあるのかなども見定める機会となることも大きい。

ウォーゲームの経験で緊急時にも適切な判断が可能に

　ここでニーマイヤー氏はYouKnight銀行がサイバー攻撃を受けたという想定の動画を流し、ウイルスで感染し、システムダウンとなって身代金を求められる可能性があるというシチュエーションである。そして、どう振る舞うか3〜4つの選択肢から会場の聴講者に選択させた。

　いくつの質問の答えの中で興味深いのが、身代金を求められるシチュエーションにおいて、誰も身代金を払わなかったものの、「捜査機関に介入させ、助言を求める」と選択した人が最も多かったということだ。これはどうやら日本特有の傾向らしい。オランダでは「会社としての意思決定ができなくなるから」という理由のもと、内部で事態に対処することを選ぶ人が多かったという。

　動画が終わり、ニーマイヤー氏は「これはウォーゲームではないが、こうした動画を流すことでシチュエーションを通じて、『何か』が進展することを実感し、専門外の判断を迫られる可能性があることを知る機会になる」と語った。

　もし、組織の中でウォーゲームを行なうとしたら、上層部が全員承認している必要がある。上層部の指示がなければ、改善というものを追求することができない。また重要なポイントとして、あまり複雑なものではメッセージが伝わりにくく、誤った方向に進んでしまう可能性があるという。また参加者が悪い印象をもたないように配慮することも大切だ。

　なお、ウォーゲームは将来に対処すべき正解を教えてくれるものでない。なにか起こりうる可能性があるものの経験を与え、対処における選択肢を示してくれるというものだ。行えば行なうほど経験は蓄積し、緊張した状況下であっても専門家として振る舞うことが可能になるという。

　ニーマイヤー氏は「いざというときには、事実に基づいて構想だった意思決定を行わなければならない。またプレッシャーに負けてはならない。そしてコミュニケーションを重視し、相手を理解することを忘れてはならない」と語り、最後のメッセージとした。