Brain Security · Cybersecurity and AI awareness
Catalog
The fully customizable cyber competition: custom game flow, boss fights and a public leaderboard.
記事を読む→
Cabinet
The security awareness arcade cabinet. Configured online, delivered turnkey.
記事を読む→
Game
The CISO stress-buster: one control, ~2 minutes, and screaming into the mic multiplies your score.
記事を読む→
Competition
The fully configurable reflex competition: timed mini-games, cyber, AI or mixed universes, arcade mode.
記事を読む→
Experience
The deepfake photobooth: allow your webcam, watch an AI transform you live, and never look at an image the same way again.
記事を読む→
Encyclopedia
The AI-generated visual cyber encyclopedia: explore every topic, endlessly.
記事を読む→
Bot
The bot that trains your workforce in the messaging apps: micro-lessons that show up on their own, signed Jack.
記事を読む→
Training
The cyber training path as a progress map: short chapters and a built-in arcade quiz, with no account to create.
記事を読む→
Simulation
The phishing simulator that trains your teams on real attacks, from the fake email to the booby-trapped QR code, in a controlled setting that never captures a password.
記事を読む→
Coming soon
The CISO’s toolbox, coming soon.
The narrative game that teaches cybersecurity through play: ten chapters, a level map, with nothing to install.
記事を読む→
サイバー攻撃発生時の意思決定を試す机上演習（テーブルトップ演習）。サプライチェーン侵害やランサムウェア、個人情報漏えいなど、経営層やCSIRTの実効性を揺さぶる5つの実践的インジェクトシナリオを解説します。
作成されたインシデント対応計画書（対応マニュアル）は、往々にしてキャビネットの奥深くで埃をかぶっているか、ランサムウェア被害の最中にはアクセスできない共有フォルダに眠っているのが現実です。いざ攻撃のアラートが鳴り響いた瞬間、机上の想定や理論上の自信は一瞬で崩れ去ります。経営層・取締役会、事業部門の責任者、そして情報システム部門やCSIRT・SOCの実務担当者がサイバー攻撃の生々しい現実に直面するための最も有効な手段が、机上演習（テーブルトップ演習）です。しかし、多くの演習は筋書き通りの線形かつ予定調和な進行にとどまり、参加者が本当のリスク判断を迫られることなく終わってしまっています。
組織の真のレジリエンスを検証するためには、机上訓練で平時の予定調和を徹底的に壊す必要があります。参加者は、情報の非対称性、曖昧な状況証拠、そして刻一刻と迫る時間的プレッシャーの中で決断を下さなければなりません。単なる形式的な会議を、組織の生き残りをかけた実践的検証へと昇華させるための効果的なインジェクト（状況付与）設計手法を解説します。
要点まとめ : 実効性の高い机上演習シナリオを策定するには、自社の重要リスクの棚卸し、インジェクトと呼ばれる段階的な状況付与、意図的な技術的不確実性の導入、そして情報システム部門単独ではなく法務、人事、広報、事業部門を巻き込んだ横断的な体制設計が不可欠です。
机上演習の成否は、提示されるシステムログの専門的な難解さではなく、参加者に迫る経営判断や業務判断の難易度で決まります。形骸化を防ぎ、真に意味のあるワークショップを構築するためには、次の3つの原則を守る必要があります。
役員や事業部門リーダーの意思決定力を極限状態で鍛え上げる手法として、Cybersecurity is not a gameのような没入型シミュレーションを活用し、経営層やCSIRTがリアルな葛藤と判断に向き合える環境を整えることも極めて効果的です。
要点まとめ : 危機対応能力を試すために不可欠な5つのインジェクトは、信頼するIT委託先の侵害、基幹システムの突然の停止、機微な人事データの流出脅迫、SNS上での公開告発、そして社内緊急連絡網のダウンを組み合わせたシナリオです。
演習中に段階的に投入し、組織の対応力と反射神経をストレステストするための5つの具体例を紹介します。
金曜日の17時15分、基幹インフラの運用保守を委託しているSIerの担当者から緊迫した連絡が入ります。委託先社内の特権管理環境が外部からの不正アクセスを受け、封じ込めに失敗。さらに、過去48時間にわたり、貴社ネットワークへのリモート保守アカウントから不審なアクセスが複数回記録されていることが判明します。
検証ポイント : 外部委託先契約に基づくSLAやインシデント報告体制の確認、業務を完全停止させずに外部接続のみを迅速に遮断できる判断権限、パニックに陥らず事態を適切にレベル分け（トリアージ）できるか。
翌朝、ERPや生産管理システムのデータベース応答が停止。情シスの管理コンソール上では大量のファイルが次々と暗号化されており、ドメインコントローラ上にはメッセージが残され、特定の通信手段でのコンタクトを要求されます。工場の製造ラインや物流拠点の出荷業務は完全に停止します。
検証ポイント : 経営層への緊急招集基準と正式な危機対策本部の立ち上げ、紙伝票や手作業による代替運用（コンティンジェンシープラン）への移行判断、納期遅延や製造停止に対する事業部門トップの状況判断。
技術チームがバックアップからの復旧手順の調査に追われる中、個人情報保護担当者宛てに匿名のアドレスから直接メールが届きます。添付されていたのは、役員および全社員500名分の給与明細、口座情報、人事評価、身分証の写しです。攻撃者は、12時間以内に指定の手続きを踏まなければ全データをダークウェブ上に公開すると脅迫しています。
検証ポイント : 個人情報保護委員会（PPC）への義務報告（速報・確報の判断）および個人情報保護法（APPI）への適合性評価（グローバル企業の場合はGDPR対応）、労働組合や従業員への説明責任、社内パニックの抑止。
フォロワー数の多いセキュリティ系インフルエンサーのアカウントが、貴社から流出したとされる機密文書のキャプチャを投稿。代表取締役社長のアカウントや主要メディアのアカウント宛てにメンションを飛ばして拡散を開始します。重要顧客からの問い合わせ電話が営業部門に殺到し始めます。
検証ポイント : 広報部と危機管理本部の同期、社内外に向けたステートメントの公表基準、勝手な発信を防ぐためのスポークスパーソンの一元化（情報発信源の統制）。
対策本部が対応策を協議しようとした矢先、社用のMicrosoft 365やGoogle Workspaceの認証基盤に障害が発生し、社内メールやTeams/Slackが使えなくなります。同時にオフィスのIP電話も不通に。現場が慌てて私用のチャットアプリで作成した非公式グループのセキュリティにも疑義が生じます。
検証ポイント : 事前に策定されたOut-of-band（帯域外/別系統）連絡体制の実効性、シャドーITに依存しない非常時指揮命令系統の維持能力。
| Critical Point Identified | Operational Analysis & Mechanism | Guide Section |
|---|---|---|
| 実環境へのアンカー設定 | 自社が実際に依存している基幹委託先、クラウドサービス、実際の社内コミュニケーションツール、そして業務上の脆弱な時期（四半期決算、大型連休、年末年始など）をターゲットに設定します。 | 組織の実態に即した机上演習シナリオをどう構築すべきか？ |
| アクションカード（初動対応手順）の明確化 | ネットワークの物理遮断や主要クラウドサービスのアカウント停止を実行できる最終決定者が誰であるかを明確に定義します。 | 訓練結果を組織のレジリエンス強化にどう結びつけるか？ |
| 危機の段階的なエスカレーション | 当初は一見些細に見える小さな兆候（弱シグナル）から開始し、初動検知と社内報告（エスカレーション）の連携を試した上で、事業停止レベルの重大インシデントへと発展させます。 | 組織の実態に即した机上演習シナリオをどう構築すべきか？ |
| 外部報告基準の再定義 | 警察（サイバー犯罪対策課）、経済産業省や総務省等の主務官庁、IPA、JPCERT/CC、サイバー保険会社、フォレンジック専門ベンダーへの連絡基準と初動フローを精緻化します。 | 訓練結果を組織のレジリエンス強化にどう結びつけるか？ |
サイバーセキュリティ机上演習の目的は、責任追及や担当者のミス探しではなく、実際の攻撃者に悪用される前に自社の「構造的な死角」を洗い出すことです。セッション終了直後には、ファシリテーター主導で約30分間の即時振り返り（ホットウォッシュ）を実施し、参加者の心理的負荷や判断のボトルネック、機能した点を速やかに吸い上げます。
演習後、数日以内に詳細な振り返り（RETEX）をレポート化し、見つかった課題を具体的なアクションプランへと落とし込みます。
経営層を巻き込んだ本格的な危機管理体制の構築や、現場の課題に合わせた実践的なサイバー危機演習の設計については、Brain Securityの専門チームまでご相談ください。
