一般企業および医療機関向けの 2 種類 ～ IPA「セキュリティインシデント対応机上演習」教材

　独立行政法人情報処理推進機構（IPA）は4月15日、一般企業向けおよび医療機関向けの2種類の「セキュリティインシデント対応机上演習」の教材を公開した。

　同教材は、ランサムウェア感染のインシデントシナリオを使用して、インシデント対応の一連の流れを机上で演習する教材（パワーポイント）とその実施マニュアルで構成されている。

　同教材では、机上演習の効果を最大化するために下記の実施プロセスを基に、計画的に実施することを推奨している。

1.事前準備
演習の目的を達成するために演習計画を策定し、必要な人員、会場、資材の確保等といった演習開催に必要な準備を行う

2.演習実施
演習における座学部分の解説や、グループディスカッションが円滑に行われるようファシリテーションを行う

3.事後作業
参加者へのアンケートや社内報告を実施し、社内ルール等の改善を行うことで組織のインシデント対応能力を向上させる

　同教材は2025年4月時点で、「一般企業においてランサムウェア感染を想定したシナリオ」と「医療機関においてランサムウェア感染を想定したシナリオ」の2種類の演習シナリオが利用可能で、組織で発生しうるシナリオに近いものを選定し、これをベースに必要に応じてカスタマイズすることで、演習の効果を高めることができる。

　「一般企業においてランサムウェア感染を想定したシナリオ」は、都内の中小企業であるアイピーエー製造株式会社（従業員：60名）を想定した設定で、下記の基本的な情報セキュリティに関する体制整備や教育等が行われている設定となっている。

・総務部長（取締役）が情報セキュリティ担当者を兼務
・情報システム課2名と各部1名からなる情報セキュリティ委員会を発足（月に1回委員会を定期的に開催）
・「中小企業の情報セキュリティ対策ガイドライン」を参考に情報セキュリティ規程を整備
・情報セキュリティに関する従業員教育（e-learning）を年1回実施

　「医療機関においてランサムウェア感染を想定したシナリオ」は、都内の中規模病院であるアイピーエー病院（職員数：165名）を想定した設定で、下記の基本的な情報セキュリティに関する体制整備や教育等が行われている設定となっている。

・副院長が情報セキュリティ責任者を兼務
・情報システム課2名と各部1名以上からなる情報セキュリティ委員会を組織
・医療情報システムの安全管理に関するガイドライン第5.0版を参考に情報セキュリティ規程を整備
・情報セキュリティに関する職員教育（e-Learning）を年1回実施
・情報セキュリティ対策の実施状況は各部の管理者が年2回確認し、情報セキュリティ委員会へ報告

元の記事を読む