it21​/public​/proceedings​/201706

IT21の会 (平成29年6月) 第219回議事録

日時：2017年6月9日（金）18:30～20:30
場所：日本技術士会 葺手第2ビル 5階 C／D会議室
参加者：31名（講師を含む）

配布資料：
 IT21-1706-0　アンケート用紙
 IT21-1706-1　(欠番)
 IT21-1706-2　IT21の会 20期(2016/6/1～2017/5/31) 会計報告
 IT21-1706-3　今期の例会開催予定
 CPD行事参加票　（アンケート回答と引き換え）

[1] 講演1（メインテーマ）
タイトル：大規模組織に適応する総合リスクマネジメント支援システムの検討
　　　　　－サイバー攻撃演習への適用－
講師： 吉田 芳浩 氏、ＮＴＴセキュアプラットフォーム研究所、技術士（電気電子部門）
概要：
　これまで自治体での自然災害に対する危機対応業務，および小規模でのサイバー
　分野での危機対応業務について，災害対策本部を中心とした組織構成における情報
　種別および情報共有／伝達ルールを規定して対応業務を行うことについての実効性
　を検証してきた．
　本講演では，これまで小規模で実施されていたサイバー分野での適用事例に対し，
　規模が大きい（約20社，約200名）サイバー分野での危機対応業務において，社間，
　社内での階層的な情報伝達ルール規定，および複数の情報共有ツールの活用による
　実効性を検証した結果について報告する．

１．講演
(1) サイバー攻撃の脅威にさらされる社会基盤
　NISCが重要インフラ(13分野：情報通信、金融、航空鉄道、電力、ガス、水道など)を
　定義し、脅威に対する行動計画を立てることを推奨。
　先日のランサムの攻撃では、欧州の病院での業務が止まるなど、サイバー空間・リアル
　空間が絡んだ複合的な危機事象が発生。

(2) リアルとサイバーのリスク複合
　例えば、発電所の場合、発電所を運転するための制御システムと情報系のシステムが
　存在する。これらの境目がなくなりつつある。ネットワークが繋がっていたりする。
　そのため、情報システムがウイルスに感染すると制御に影響したり、発電機が故障
　すると情報システムに影響する可能性も出てきている。

(3) 複合的危機への対応が必要
　政府、自治体、施設管理者、情報通信、医療、電気・ガスなど関係組織間での共通の
　危機対応マネジメントの仕組みが必要
　先日のランサムの場合も、ロンドンなどでは政府があらかじめ決めておいたルールを
　展開したはず。

(4) 危機対応の考え方
　関連組織が連携するためには、統一的なフレームワークが必要。
　CBRNE、サイバー攻撃、テロ、犯罪、地震・風水害、感染症などに事前に「予測・予防」
　して対応する。
　「インシデントは防ぐことはできない。たとえ起きても最小限の被害とする」
　　⇒ 事前に訓練を行っておくことが重要

(5) 統合的なリスクマネジメントに向けて
　縦割り組織に横串を通す　「組織・体制」、「運用ルール」、「情報システム」が必要。
　「規定したルール通り動けているか評価」、「ルール改善点を見つける」という訓練に
　活用できるか、数年にわたる図上訓練での検証において、有用性を確認。

(6) 危機対応成功のための５要素（防災科学技術研究所 林理事長による定義）
　①ガバナンス：組織・運用体制の整備
　②運用フローの標準化：SOP Standard Operating Procedure
　③テクノロジ：既存技術の活用
　④研修・訓練：基本手続きの習熟・柔軟な運用
　⑤実際の利活用場面の拡充

(7) 具体的検討のステップ例
　①ガバナンス　⇒　リスク対応組織の検討、意思決定と会議体の検討など
　②運用フローの標準化　⇒　対応すべきリスクの検討、情報の収集・共有プロセス、
　　　　　　　　　　　　　　危機対応のワークフローの検討、ワークショップの実施
　③テクノロジ　⇒　情報システム(ホワイトボードでも良い)の要件検討、総合
　　　　　　　　　　リスクマネジメント支援システム「KADAN」の提供
　④研修・訓練　⇒　聞き対応ワークフローと情報システムを使った危機対応訓練の実施
　⑤実際の利活用場面の拡充

(8) 総合リスクマネジメント支援システム「KADAN」
　危機対応を主とするとともに、訓練や、実対応後の振り返るを行う２つのサイクルに適用。
　Plan「今、なにをすべきか？」/Do「今、何をしているか？」/See「今、どうなっているか」
　を総覧できる様にして、効率的・効果的な意思決定や組織間連携を支援。

(9) 非定形情報を扱うシステムのあり方
　電話、ホワイトボード：字が消えてしまうと情報が失われる
　メール：重要な情報が個人に埋もれる
　　　⇒ 組織間、組織内のコミュニケーションのための専用ツールが必要

(10) 組織構成と連絡手順(実訓練例)
　NTTグループ２５社(２００人)でサイバー攻撃訓練を実施。
　　　事業所 <-> 集合会場 <-> 事業所(グループ会社)
　上位組織 -> 下位組織に指示を出し、下位組織が持ち帰り調査して、回答するモデルで実施
　上位の大きい会社ほど、しっかりやれているが、下位になるほど、最初に決められた
　手順通りできていないなどの課題が抽出できた。


２．Q&A

(Q1) 東日本大震災での福島第一原発の様な事象は、検証されましたか？
　ああいった政府が入ってくる様な事象は訓練難しいはず。
　日頃の訓練からずれてしまうはず。本店と、現場でのずれの分析は、やられたか？
(A1) 分析はやっていない。
　ただし、最近東電のコンサルをやった人と話をした。かなり変わったとのこと。
　想像するに、当時あまりルールが決まっていなかったのではないかと思う。
　あるいは個別には決まっていても全体ではあまり決まっていなかったのでは。

(Q2) 求められるコミュニケーションツールで「強固なセキュリティに守られた専用ツール」
　が求められるというのはどう結びつくのか。
(A2) 言い過ぎかもしれないが、メールに比べてという意味。

(Q3) 情報システムが一番重要と言っているのですか？
(A3) 重要なのは、ガバナンスと運用ルール。情報システムは、あくまでも補助。

(Q4) ５要素というのはISOに出ているのか？
(A4) 出ていない。防災科学技術研究所の林理事長が言っていること。

(Q5) ルールに従わなかった会社は、なぜ従わなかったか分析したか？
(A5) ルールを把握していないケースなどあった。上位の会社は、普段からやっていたりする。
　下位の会社は定着していない人が参加したりしていた。

[2] ２０期会計報告　会計役員窄頭氏
(1) 概要は以下。
　【収入】
　　前期繰越し金　\444,376
　　会費入金　　　\158,000
　　その他　　　　　\2,000
　-------------------------
　　合計　　　　　\604,376

　【支出】　　　　 \95,427

　【繰越額】　　　\508,949

(2) 「その他」収入は、間違って納入された会費で、#21(重複納入会費の返却)で相殺。
(3) 21期は、現在未納6名 -> 21期の役員に対応は一任。
(4) 佐藤氏：会計監査実施し、適正に処理されていることを確認した。
(5) 承認多数で承認された。　

[3] ２１期役員所信表明と活動方針
(1) 役員紹介と所信表明
　会長　　　石田 雅彦
　副会長　　中田 宗里
　運営役員　春原 一義
　会計役員　今城 八重

(2) ２１期活動方針
　・講演テーマ：異分野融合の場となる様々なテーマを選定／提供
　・インフラ環境整備
　　インフラ環境整備計画を立案する。インフラ環境WGを別途募集する
　・20周年記念講演
　・機械振興会館へのスムーズな移転

[4] ２１期今期の例会予定
・7/7(金)、8/4(金)、9/8(金)、10/6(金)のメインテーマは、配布資料の通り。
・3ヶ月先の例会予定まで埋めたいと考えている。
・8/4(金)、10/6(金)についてサブテーマ募集中。積極的に提案を。

[5] 初参加者の自己紹介(2名)

[6] 連絡事項
・メーリングリスト委員を募集中。積極的に立候補を。

(田代卓 記)