breach-simulation

情報漏えいシミュレーション演習の設計

概要

情報漏えいシミュレーション演習（机上演習）は、実際のインシデントがもたらす影響を受けることなく、個人データ漏えいの検知、対応、復旧を行う組織の能力を検証します。適切に設計された演習は、情報漏えい対応計画を検証し、手順、コミュニケーション、意思決定における不備を特定するとともに、組織として対応を身につけることにつながります。このスキルでは、シナリオの作成から事後報告まで、設計プロセス全体を扱います。

演習設計のフレームワーク

演習の種類

種類	期間	参加者	複雑さ	目的
机上演習（ディスカッション形式）	2-4 時間	上級ステークホルダー 8-15 名	中	意思決定、コミュニケーション、ポリシーの適用を検証する
機能演習	4-8 時間	部門横断チームのメンバー 15-30 名	高	運用手順とツールの使用を検証する
全規模シミュレーション	1-3 日	組織全体（50 名以上）	非常に高	技術、法務、コミュニケーション、経営層の機能を含むエンドツーエンドの対応を検証する

推奨される演習の頻度

演習の種類	頻度	対象者
机上演習	半年ごと	経営陣、DPO、法務、広報、CISO
機能演習	年 1 回	SOC、プライバシーチーム、IT 運用、人事、カスタマーサービス
全規模演習	2 年ごと	組織全体

シナリオの設計

シナリオ 1：顧客データベースへのランサムウェア攻撃

複雑度：高 所要時間：3 時間 主な目標：第 33 条に基づく 72 時間以内の通知判断、経営陣へのコミュニケーション、ベンダーとの連携をテストします。

背景説明（演習の 24 時間前に配布）： Stellar Payments Group は、EU 加盟国 18 か国と米国 12 州にわたる 15,230 人の口座保有者の決済取引を処理しています。本番の顧客データベースは、AWS eu-west-1 の PostgreSQL クラスターでホストされています。DPO は Dr. Elena Vasquez、CISO は Thomas Brenner です。Mandiant は契約済みのインシデント対応企業です。

インジェクトのタイムライン：

時刻	インジェクト	想定される対応
T+0 分	SOC アラート：CrowdStrike が db-prod-eu-west-01 でファイルの急速な暗号化を検知。1 秒あたり 500 件以上のファイル名変更。既知のランサムウェアの兆候（LockBit 3.0）。	SOC がインシデント対応を開始。インシデントコマンダーを招集。
T+15 分	更新情報：暗号化が db-prod-eu-west-02 および 03 に拡大。顧客ポータルでデータベースエラーが発生。サポート窓口に顧客からの苦情が届き始める。	判断ポイント：データベースクラスターを隔離するか？サービス停止を受け入れて、さらなる被害を防ぐか？
T+30 分	フォレンジックの初期所見：攻撃ベクトルは、侵害されたサービスアカウント（svc-migration-2024）であるとみられる。このアカウントは 3 日前に Tor の出口ノードから認証されていた。	リスク評価を更新。侵害された可能性のあるデータの範囲を特定。
T+60 分	顧客データベースが暗号化されたことを確認。15,230 人のデータ主体に関する 48,720 件のレコード。12 時間前のバックアップが利用可能で、クリーンであることを確認済み。	判断ポイント：バックアップから復元するか？第 33 条の通知期限はいつから始まるか――いつ「認識した」のか？
T+90 分	身代金要求書を発見：50 BTC を要求。48 時間以内に支払わなければ、ダークウェブにデータを公開すると脅迫。報道機関（Handelsblatt）がコメントを求めて広報チームに電話。	判断ポイント：身代金を支払うか？法執行機関に連絡するか？メディア向け声明を出すか？
T+120 分	Mandiant はデータ流出の証拠はないと確認したが、その可能性を否定できない。バックアップからの復元は 60％完了。Berliner BfDI の業務開始まで 2 時間。	判断ポイント：今すぐ第 33 条に基づく通知を提出するか、それとも詳細情報を待つか？第 34 条に基づくデータ主体への通知を準備するか？
T+150 分	2 社目の報道機関（Bloomberg）が記事を公開。ソーシャルメディアで議論が始まる。過去 1 時間に 50 件以上の顧客サポートへの電話。大企業の顧客 3 社が書面による保証を要求。	コミュニケーション危機への対応。顧客および B2B ステークホルダーとのコミュニケーション。
T+180 分	演習終了。ファシリテーターが演習の最終状況を明らかにし、振り返りの議論を進行。	事後検討。

シナリオ 2：内部脅威 — 従業員によるデータ持ち出し

複雑さ：中 所要時間：2.5 時間

インジェクトのタイムライン：

時間	インジェクト	期待される対応
T+0 min	DLP アラート：退職予定の従業員（最終出勤日は金曜日）が、人事データベースからエクスポートしたデータ（従業員記録 3,400 件）を個人用 OneDrive にコピーしました。	アラートを検証します。個人データが含まれているかどうかを確認します。
T+20 min	記録には氏名、自宅住所、給与、銀行口座の詳細、国民 ID 番号が含まれています。従業員のマネージャーは、その従業員が 2 週間前に退職届を提出したことを確認しました。	判断ポイント：従業員に問いただしますか？証拠を保全しますか？法務部門を関与させますか？
T+45 min	IT 部門は、そのファイルが従業員の個人用ノート PC に同期されたことを確認しました。従業員は現在オフィスにいます。	判断ポイント：デバイスを押収しますか？人事部門を関与させますか？従業員代表委員会（Betriebsrat）に通知しますか？
T+75 min	法務部門が、ドイツの労働法に基づく従業員の権利について助言します。従業員代表委員会の代表者は、問いただす前に協議を求めています。	インシデント対応の緊急性と、従業員の権利および従業員代表委員会への義務とのバランスを取ります。
T+105 min	従業員代表委員会の代表者が同席して従業員への聞き取りを行います。従業員は「参照目的」でデータを使用するつもりだったと主張します。個人用ノート PC の検査は拒否します。	判断ポイント：法執行機関に照会しますか？デバイス検査のために裁判所命令を求めますか？第 33 条に基づく通知を行いますか？
T+135 min	DPO がリスク評価を完了します。従業員 3,400 人分の政府発行 ID と財務データが含まれるため、高リスクです。第 33 条および第 34 条に基づく通知を推奨します。	通知の準備。従業員への連絡計画（同僚によってデータが侵害されたことを 3,400 人の従業員にどう伝えるか）。
T+150 min	演習の終了と振り返り。	事後検討。

シナリオ 3：サードパーティ処理者の侵害

複雑さ：中 所要時間：2 時間

インジェクトのタイムライン：

時間	インジェクト	期待される対応
T+0 min	クラウド給与処理業者（PayrollCloud GmbH）からのメール：「当社のプラットフォームでホストされている顧客データに影響するセキュリティインシデントについてお知らせします。」詳細は記載されていません。	処理業者に詳細を問い合わせます。インシデント通知義務について、第 28 条に基づく DPA を確認します。
T+20 min	処理業者が確認します。SQL インジェクション攻撃が発生しました。影響を受けた顧客は不明です。顧客ごとの影響評価には 5～7 日かかる見込みです。	判断ポイント：5～7 日待つことはできますか？この状況は 72 時間の期限にどう影響しますか？
T+45 min	処理業者から一部情報が提供されます。「貴組織のデータは影響を受けたサーバー上にありましたが、アクセスされたかどうかは確認できません。」従業員の給与記録 3,400 件が漏えいした可能性があります。	第 33 条の目的において、管理者が「認識した」時点を評価します。並行してリスク評価を開始します。
T+75 min	メディアが処理業者の侵害を報道します。処理業者の他の顧客数社が、影響を受けたことを公表しています。	判断ポイント：先行して情報を開示しますか？影響が確認されるまで待ちますか？
T+105 min	処理業者が、Stellar Payments Group のデータにアクセスされたことを確認します。氏名、給与、銀行口座番号、納税者 ID を含む従業員記録 3,400 件です。	第 33 条に基づく通知を準備します。従業員への連絡計画を立てます。処理業者の説明責任を評価します。
T+120 min	演習の終了と振り返り。	事後検討。

参加者の役割

役割	参加者	訓練中の責任
インシデント指揮官	CISO（Thomas Brenner）	インシデント全体の調整、リソースの割り当て、封じ込めの判断
プライバシー責任者	DPO（Dr. Elena Vasquez）	通知に関する判断、リスク評価、データ主体とのコミュニケーション
法務顧問	法務責任者（Sarah Chen）	法的助言、秘匿特権の管理、法執行機関との調整、規制対応戦略
コミュニケーション責任者	コミュニケーションディレクター（Martin Keller）	メディア対応、顧客とのコミュニケーション、社内コミュニケーション
IT 運用	IT ディレクター（Petra Hoffmann）	技術的な封じ込め、バックアップの復元、システムの復旧
経営幹部スポンサー	CEO（Marcus Lindqvist）	戦略的な判断、取締役会への通知、対外発表
顧客関係	カスタマーサクセス担当副社長（James Park）	顧客とのコミュニケーション、B2B クライアント管理
人事責任者	CHRO（Claudia Richter）	従業員とのコミュニケーション、従業員代表委員会との調整（内部脅威のシナリオ）
訓練ファシリテーター	外部コンサルタントまたは内部監査	シナリオの提示、追加情報の投入タイミング、議論の進行、観察
オブザーバー／記録担当	DPO オフィスのアナリスト	事後報告書のために、判断、対応、タイムライン、課題を記録

評価する判断ポイント

1. 侵害の認識の判断：第 33 条の期限の起算に関して、管理者が「認識した」のは正確にはいつですか？
2. 封じ込めと証拠保全の両立：チームは、迅速な封じ込めとフォレンジック証拠を保全する必要性とのバランスを取れましたか？
3. 通知のタイミング：72 時間の期限は追跡され、守られましたか？
4. リスク評価の質：リスク評価の方法は一貫して適用され、記録されましたか？
5. コミュニケーションの調整：メディア、顧客、社内向けのコミュニケーションは、調整され、一貫性が保たれていましたか？
6. エスカレーションの有効性：適切な人々が適切なタイミングで関与しましたか？
7. 部門横断の連携：法務、プライバシー、IT、コミュニケーションの各部門は効果的に連携しましたか？
8. 規制当局との調整：適切な監督当局が特定され、通知の準備ができていましたか？
9. データ主体への連絡：適切な基準に達した際、第 34 条に基づく通知が検討されましたか？
10. 記録：判断プロセスはリアルタイムで記録されましたか？

事後報告書の構成

セクション 1：訓練の概要

• 訓練の日付、所要時間、シナリオ、参加者。
• 訓練の目的と、その達成状況。

セクション 2：タイムライン分析

• 訓練中の判断と対応の実際のタイムライン。
• 侵害対応計画で想定される／理想的なタイムラインとの比較。
• 遅延やボトルネックの特定。

セクション 3：調査結果

• うまくいったこと（維持すべき強み）。
• 改善が必要なこと（課題や不備）。
• 各調査結果の重大度評価：重大、主要、軽微、所見。

セクション 4：推奨事項

• 担当者と期限を明記した、具体的で実行可能な是正措置の推奨事項。
• 重大度に応じた優先順位付け。

セクション 5：指標

• 検知から封じ込めの判断までの時間。
• 認識から DPO への通知までの時間。
• 認識から通知準備の完了までの時間。
• コミュニケーションの一貫性スコア（特定された矛盾メッセージの数）。
• 判断の質のスコア（方針および規制に沿った判断の割合）。