同じシード・同じ選択で進めてください。両画面は自動同期されません。参加者に画面共有するときはプレイヤー版を使用してください。
これからインシデント・シミュレーションを始めます。みなさんは臨時結成された対応チームのマネージャーです。毎ターン、4部門のカードを読み、チーム全員で合意して1枚だけ選んでください。全8ターン、標準5分ずつの40分です。その時点で何を考えて判断したかを大切にします。選択の理由は画面にメモできます。まずプレイヤー版のルールを読み、マスターと同じ数字4桁のシードを設定してください。開始前5分・演習40分・振り返り15分で、標準60分を予定しています。
進行者向け：？？の正体やカード評価は事前に明かさず、操作と判断の流れを説明します。カード効果・行動制限・ペナルティは画面が自動計算するため、手動加算しません。
入社2ヶ月目の新入社員AがStack Overflowに投稿したコードに、本番環境のAWSアクセスキーが含まれていた。GitGuardianの警告は3日前から届いていたが、誰も気づかなかった。投稿から9分後、攻撃者がアクセスを開始した。
| 部門 | 役割 |
|---|---|
| PL | 方針決定・報告判断・対外対応の統括 |
| Security | 攻撃の調査・不正アクセスの遮断と保全 |
| Infra | サーバー・DBの制御と復旧 |
| PR | 社内外への情報発信・ユーザー対応 |
過去の選択によるイベント・カード変化・行動制限がない基準状態では、各ターンに最低1枚のGoodを確保します。T3 Infra対処は固定表示。T1 PR一本化／T2 PR窓口限定は最低どちらか1枚を表示します。T1 PR → T2の情報発信回避（必要時）→ T3 Infra → T4 PLの順で、定期ペナルティと従業員の独断発信を回避できる経路を残します。回避を保証するのは選択肢の出現であり、参加者の判断結果ではありません。
| 評価 | シナリオ | 累計被害額 |
|---|---|---|
| 評価1 | 最善シナリオ | ¥1,000万 未満 |
| 評価2 | 良好シナリオ | ¥1,000万 〜 ¥1,500万 |
| 評価3 | 平均シナリオ | ¥1,500万 〜 ¥3,000万 |
| 評価4 | 悪手中心シナリオ | ¥3,000万 〜 ¥2億 |
| 評価5 | 致命的・強制終了 | ¥2億 以上 |
初期被害額¥0からスタート。各ターンに「何もしなければ発生する損害（ベースライン）」が自動加算され、Goodカードで軽減、Badカードで上乗せされます。
| ターン | ベースライン損害 |
|---|---|
| T1 最初の異変 | +¥100万 |
| T2 犯人の足跡 | +¥100万 |
| T3 静かな流出 | +¥200万 |
| T4 見えてきた全容 | +¥400万 |
| T5 闇の市場へ | +¥400万 |
| T6 炎上 | +¥600万 |
| T7 二次被害 | +¥600万 |
| T8 それぞれの結末 | ±¥0 |
| 合計（無対応時） | ¥2,400万 |
| 種別 | 条件 | 金額 |
|---|---|---|
| CSIRTボーナス | T2/T3でCSIRT依頼 | Good効果を増幅+20% |
| 法務ボーナス | T5でPL弁護士確認 | T6・T7のGood効果を増幅+60% |
| PRペナルティ | T1-T2でPR未選択 | +¥150万/T（T3-5） |
| 行政ペナルティ | T4でPL報告未選択 | +¥500万（T5） |
| Infraペナルティ | T3でInfra対処未選択 | +¥300万/T（T5-6） |
| 誤情報拡散 | T3でPR調査中回答 | +¥100万（T4） |
| 従業員の独断発信 | T1 PR・T2 PR・T3 PL の統制をいずれも未選択 | +¥200万（T5） |
| 強制終了 | 不正2回 | +¥2億（T7終了時） |
| ターン | カード名 | 効果 |
|---|---|---|
| T1 PR | 社内の情報発信窓口をPRチームに一本化する | T5「従業員の独断発信」イベント（+¥200万）を防止 |
| T2 PR | メディア対応の窓口を広報責任者に限定する旨を社内通知する | |
| T3 PL | 社内統制ルールの即時設定 | |
| T2 PR | Stack Overflow投稿の削除申請とスキャン有効化 | PR未対応ペナルティ（T3〜T5）を回避 |
| T2 PL | 外部CSIRTへの依頼申請 | T4以降、Goodカードの効果を増幅+20% |
| T3 Sec | 外部CSIRTへの依頼申請 | |
| T1 PL | 関係する社員から事情聴取 | 翌ターン、ランダム1枚が行動制限 |
| T3 Sec | 速やかに消去してシステムをクリーンな状態にする | T5のPLカードがBad（不正）に変化 |
| T3 PR | 問い合わせには「調査中」とだけ回答する | T4で「誤情報の拡散」イベント（+¥100万）を誘発 |
| T3 Inf | 不正なプログラムの特定と削除 | Infra遅延ペナルティ（T5・T6）を回避 |
| T4 PL | 個人情報保護委員会に報告する | 行政ペナルティ（T5）を回避／T5のPRカードがGoodに変化 |
| T5 PL | 弁護士・法務チームと対応方針を確認する | T6・T7、Goodカードの効果を増幅+60% |
| T4 Inf | 環境をクリーンな状態から再構築する | 翌ターンのInfraが行動制限 |
| T7 Inf | バックアップ環境に全データを移行する | |
| T7 Inf | ユーザーの認証情報を強制リセットする |
| ターン | カード名 |
|---|---|
| T3 Sec | 速やかに消去してシステムをクリーンな状態にする |
| T4 Inf | 環境をクリーンな状態から再構築する |
| T4 PR | 混乱を落ち着けるために、被害は限定的と社内外に周知する |
| T5 PL | ダークウェブへの情報流出を公式に否定するコメントを出す |
| T5 Inf | 調査を待たずにDBを初期化して再稼働させる |
| T6 Sec | メディアに記事の掲載差し止めを要求する |
| T6 PR | インフルエンサーを味方につける |
| T7 PL | 被害申告のあったユーザーに限定して対応する |
| # | ターン | ロール | 種別 | カード名 | 増減 | 特殊効果（フラグ） |
|---|---|---|---|---|---|---|
| 01 | T1 | PL | Bad | 社内に展開し技術者を総動員して解決する | +¥1,500,000 | — |
| 02 | T1 | PL | Bad | 関係する社員から事情聴取 | +¥2,000,000 | 翌ターンのランダム1枚が行動不能 |
| 03 | T1 | Security | Good | AWSの操作ログを確認し不正アカウントを特定する | −¥1,000,000 | — |
| 04 | T1 | Security | Bad | 不審なサーバーのアクセスログを手動で一つずつ確認する | +¥1,000,000 | — |
| 05 | T1 | Infra | Bad | 不審なサーバーを全て強制停止する | +¥1,500,000 | — |
| 06 | T1 | Infra | Bad | AWS費用の上限を引き上げて調査環境を確保する | +¥3,000,000 | — |
| 07 | T1 | PR | Good | 社内の情報発信窓口をPRチームに一本化する | −¥500,000 | T5従業員の独断発信を防止 |
| 08 | T1 | PR | Bad | 社内Slackで全社向けに問題発生を周知する | +¥1,000,000 | — |
| 09 | T2 | PL | Bad | 正しい状況を伝えるため、情報の収集行ってから、経営陣へ報告する | +¥500,000 | — |
| 10 | T2 | PL | 状況依存 | 外部CSIRTへの依頼申請 | +¥3,000,000 | CSIRT：T4以降Good効果を増幅+20% |
| 11 | T2 | Security | Bad | 攻撃者のIPをファイアウォールでブロックする | +¥1,000,000 | — |
| 12 | T2 | Security | Good | 不正に作られたIAMアカウントを特定・削除する | −¥1,000,000 | — |
| 13 | T2 | Infra | Good | DBへの外部接続を遮断する | −¥1,000,000 | — |
| 14 | T2 | Infra | Bad | システムの再起動で正常状態に戻す | +¥2,000,000 | — |
| 15 | T2 | PR | Good | Stack Overflow投稿の削除申請とスキャン有効化 | −¥500,000 | PR対応済（未対応ペナ回避） |
| 16 | T2 | PR | Good | メディア対応の窓口を広報責任者に限定する旨を社内通知する | ¥0 | T5従業員の独断発信を防止 |
| 17 | T3 | PL | Good | 社内統制ルールの即時設定 | ¥0 | T5従業員の独断発信を防止 |
| 18 | T3 | PL | Bad | 経営判断を待ってから対外発表する | +¥2,000,000 | — |
| 19 | T3 | Security | 状況依存 | 外部CSIRTへの依頼申請 | +¥3,000,000 | CSIRT：T4以降Good効果を増幅+20% |
| 20 | T3 | Security | Bad | 速やかに消去してシステムをクリーンな状態にする | +¥2,000,000 | T5のPLカードがBad不正に変化／不正カウント+1 |
| 21 | T3 | Infra | Good | 不正なプログラムの特定と削除 | −¥1,500,000 | Infra復旧（遅延ペナ回避） |
| 22 | T3 | Infra | Bad | 全ログを時系列で手動調査する | +¥2,000,000 | — |
| 23 | T3 | PR | Bad | 問い合わせには「調査中」とだけ回答する | +¥2,000,000 | T4で誤情報拡散イベント誘発 |
| 24 | T3 | PR | Good | 自社のコーポレートサイトとSNSに影響は調査中の声明を出す | ¥0 | — |
| 25 | T4 | PL | Good | 個人情報保護委員会に報告する | −¥2,000,000 | 委員会報告（行政ペナ回避）／T5のPRカードがGoodに変化 |
| 26 | T4 | Security | Good | IAMキーの即時無効化と全アカウント棚卸し | −¥3,500,000 | — |
| 27 | T4 | Security | Bad | 全ログを時系列で手動調査する | +¥4,000,000 | — |
| 28 | T4 | Infra | Bad | 環境をクリーンな状態から再構築する | +¥5,000,000 | 翌ターンのInfraが行動不能／不正カウント+1 |
| 29 | T4 | Infra | Good | 公開状態のS3（ファイルストレージ）を非公開に設定する | −¥2,000,000 | — |
| 30 | T4 | PR | Bad | 混乱を落ち着けるために、被害は限定的と社内外に周知する | +¥4,000,000 | 不正カウント+1 |
| 31 | T4 | PR | 状況依存 | SNSで有用な情報と炎上情報を収集する | +¥1,000,000 | — |
| 32 | T5 | PL | Good | 弁護士・法務チームと対応方針を確認する | +¥1,000,000 | T6・T7のGood効果を増幅+60% |
| 33 | T5 | PL | Bad | ダークウェブへの情報流出を公式に否定するコメントを出す | +¥6,000,000 | 不正カウント+1 |
| 34 | T5 | Security | Bad | マルウェアをリバースエンジニアリングして解析する | +¥4,000,000 | — |
| 35 | T5 | Security | Good | 流出データの範囲を技術的に特定する | −¥2,000,000 | — |
| 36 | T5 | Infra | Good | DBを隔離してサービスを継続する | −¥3,000,000 | — |
| 37 | T5 | Infra | Bad | 本番DBを一時停止して完全調査を優先する | +¥4,000,000 | — |
| 38 | T5 | Infra | Bad | 調査を待たずにDBを初期化して再稼働させる | +¥5,000,000 | 不正カウント+1 |
| 39 | T5 | PR | Good | 公式サイトにFAQページを公開する | −¥1,000,000 | — |
| 40 | T5 | PR | Bad | メディアからの取材を全て断る | +¥5,000,000 | — |
| 41 | T6 | PL | Bad | 状況を見ながら発表タイミングを慎重に見極める | +¥2,000,000 | — |
| 42 | T6 | PL | Good | プレスリリースを早急に発表する | −¥3,000,000 | — |
| 43 | T6 | Security | Good | インシデントの全容を技術的に文書化する | −¥4,000,000 | — |
| 44 | T6 | Security | Bad | メディアに記事の掲載差し止めを要求する | +¥6,000,000 | 不正カウント+1 |
| 45 | T6 | Infra | Good | クラウド環境のセキュリティ設定を見直す | −¥5,000,000 | — |
| 46 | T6 | Infra | Bad | 自社サービスを全て緊急停止する | +¥8,000,000 | — |
| 47 | T6 | PR | Good | フィッシングメールへの注意喚起をユーザーに送信する | −¥2,000,000 | — |
| 48 | T6 | PR | Bad | インフルエンサーを味方につける | +¥5,000,000 | 不正カウント+1 |
| 49 | T7 | PL | Good | プレスリリースを発表する | −¥2,000,000 | — |
| 50 | T7 | PL | Bad | 被害申告のあったユーザーに限定して対応する | +¥6,000,000 | 不正カウント+1 |
| 51 | T7 | Security | Good | フィッシングサイトのテイクダウン申請を行う | −¥5,000,000 | — |
| 52 | T7 | Security | Bad | 攻撃者の追跡調査を優先する | +¥3,000,000 | — |
| 53 | T7 | Infra | Bad | バックアップ環境に全データを移行する | +¥1,000,000 | 翌ターンのInfraが行動不能 |
| 54 | T7 | Infra | Good | ユーザーの認証情報を強制リセットする | −¥3,000,000 | 翌ターンのInfraが行動不能 |
| 55 | T7 | PR | Good | ユーザーへパスワード変更依頼と注意喚起メールを送信する | −¥1,000,000 | — |
| 56 | T7 | PR | Bad | SNSで随時状況を実況する | +¥2,000,000 | — |
| 57 | T8 | PL | Bad | 各部門の意見を集約してから発表内容を確定する | +¥2,000,000 | — |
| 58 | T8 | PL | Good | プレスリリースを発表する | −¥1,000,000 | — |
| 59 | T8 | Security | Bad | 脆弱性スキャンを全サーバーに実行する | +¥1,000,000 | — |
| 60 | T8 | Security | Good | 事後検証の作成と共有 | −¥2,000,000 | — |
| 61 | T8 | Infra | Bad | 早期復旧を優先してサービスを再開する | +¥3,000,000 | — |
| 62 | T8 | Infra | Good | 全環境のセキュリティを再設計する | −¥3,000,000 | — |
| 63 | T8 | PR | Bad | ユーザーからの問い合わせを早急に解決するために、他部門の手を借りる | +¥1,000,000 | — |
| 64 | T8 | PR | Good | ユーザーへの事後報告メールを送信する | −¥1,000,000 | — |
社内研修用・社外共有禁止 | 無断での複製・転用・二次配布を禁止
© 藤岡 清志 | 情シスセキュリティ課