情報処理安全確保支援士 実践講習を終えて

― セキュリティインシデントは「災害」である ―

情報処理安全確保支援士として登録後、３年に一度の法定講習である実践講習を受講しました。本記事では、その振り返りとして、講習内容ではなく、グループ討議を通じて得た気づきや、自身の認識が更新された点を共有します。

これから実践講習を受ける方、あるいは日々インシデント対応に関わる方にとって、何か一つでもおもしろいと感じていただけるものがあれば幸いです。

---

事前課題から感じた「時代の変化」

事前学習・事前課題は数日前までに完了していました。講習開始は10時でしたが、誤って9時からオンライン待機してしまい、その時間を使ってメモを書き始めました。

今回の事前課題で印象的だったのは、想定されている企業ペルソナの変化です。以前は「DXに乗り遅れた非IT系の中規模企業」が典型でしたが、今回は、

・デジタルネイティブ

・IT分野で成長中

・レイターステージに差し掛かったスタートアップ（と思われる企業）

といった、かなり「今風」な設定でした。

課題は不正アクセスを強く想起させる構成でしたが、冷静に考えると不正アクセス以外の可能性も十分にあり得る。この時点で、「誘導に乗りすぎない姿勢」の重要性を再確認しました。

また、セキュリティを考える以上、ビザンチン将軍が組織内部に存在する可能性を完全に排除することはできません。性善説にどこまで立脚するのか、あるいは性悪説までスコープに含めるのか。この線引きが、後の議論にも影響するように思えました。

---

講習開始と自己紹介 ― 事前準備の重要性

10時ちょうどに講習開始。

法定講習であるため、

・早めのオンライン接続

・オープンスペースでの受講禁止

といった注意事項がありましたが、正直に言うと「ちゃんと読んでいなかった」ことに気づかされました。反省点です。

自己紹介では、「情報処理安全確保支援士 検索サービス」の自身のページを共有するのが最も手早く、誤解も少ないと思い実践しました。

今回のグループは Dグループ。ツールの動作確認を兼ねたファシリテーションが行われましたが、メンバーは結構“ガチ”な印象で、最初は何を話すべきか迷いました。

---

グループ討議1回目：原因の洗い出し

グループ討議は基本的に、

1. 量を出す

2. 分類する

3. 収束させる

4. 発表用に結論を整理する

という流れで進みます。

このとき、「資料は事前に印刷しておくべきだった」と強く後悔しました。離席できないため、プリンタに取りに行けないという小さなトラブルも発生。

性善説か、性悪説か

議論の起点として自身が意識したのは、

社員や役員は「正しい行動を取る」と仮定するのか？

という問いです。

これは単なる哲学ではなく、インシデント仮説の広がりを決定づける前提条件です。

そしてこれは蛇足かつ自身の勉強不足のたまものでもありますが、JIS Q 27001 や NIST SP 800-61 を読み返す必要性を改めて感じました。

印象的だった他の参加者の視点

・サプライチェーン攻撃への言及

・持ち込みPCという古典的だがいまだに現実的な観点

・「報告された事実そのものを疑う」という姿勢

・開発部門と運用部門のミスコミュニケーションの可能性

・LINEグループなど、会社のセキュリティ統制外で進行する攻撃シナリオ

・プロンプトインジェクションへの言及

特に、「人の勘違いかもしれない」という視点を常に残しておく姿勢は、百戦錬磨のプロらしさを感じました。

一方で、インシデント対応に対する文化的な違いや、発言に際して「大人の遠慮」が見られた点は少し歯がゆくもありました。

荒くてもよいのでインシデント候補をどんどん立て、トリアージしながら担当を割り振る方が、私は初動として好みです。

---

グループ討議2回目：封じ込め以降、経営判断へ

2回目は、封じ込め後のフェーズ、組織としての対応がテーマでした。

私は書記役だったため、タイピングが主戦場。キートップに投資した HHKB が本領を発揮する場面です。

・昇降デスクを座りポジションに

・画面共有を前提にウィンドウ配置を調整（でも結局画面共有機能は許可されてなかった）

・AIサポートは使わない

できる準備はすべて整えて臨みました。対戦よろしくお願いします。

個人的な結論と葛藤

私の中での結論は、

「システムが長期停止する前提で、ビジネス継続策の検討開始を経営層に報告」

でした。ただ、現実には「そんなこと言ったら怒られるだろうな」とも思います。しかし、セキュリティインシデントは賠償・法務・SLA違反対応を含む、純然たる経営課題です。

印象に残った意見として、

・定例の情報共有会の設置

・フォレンジックの外部委託

・特別残業の承認

・権限を持つ人物を集めるのではなく、「権限をください」と早期に社長に直談判する

などがありました。

一方で、「自分で監査ログを見に行く」という話があまり出なかった点は少し不思議でした。

また、最悪ケースだけでなく、最良ケースも想定する必要性を強く感じました。

---

グループ討議3回目：事後対応と社会的視点

3回目は事後対応フェーズ。

身代金支払いという難題

・支払っても信用は戻らない

・支払ってもデータが戻らない可能性

・支払った事実そのものが新たなリスクになる

そして何よりひらめいたのはだったのは、人の想いです。

・経営者はどう判断するか

・従業員はどう感じるか

・取引先、顧客、従業員の家族、世間、司法はどう見るか

技術や法務だけでは割り切れない、非常に重いテーマだと感じました。

---

持ち帰った最大の学び

・セキュリティインシデントは「災害」である

・BCP発動への秒読み状態

・DRの観点が極めて有効

・インシデント時こそ広報戦略が重要

CSIRTを「設立したか」ではなく、「どの機能を備えているか」で考える視点も新鮮でした。

また、漏洩した情報だけでなく、「漏洩していない情報」を整理する重要性、再発防止策を対外的に継続報告する必要性も強く印象に残っています。

身代金支払いが、国内法だけでなく国外法リスクにも波及する点、警察への相談の重要性についても、認識しました。

---

おわりに

最後の振り返りでは、

人が集まることで、視点や立場の違いが刺激になる

互いに高め合っていこう

という前向きな空気があり、とても良い締めくくりでした。

総じて、

セキュリティ事案は災害であり、BCP・DRの文脈で考えるべき

これが私の最大の持ち帰りです。

実りは非常に多く、正直かなり疲れましたが、それ以上に得るものがありました。

対戦ありがとうございました。