第１５回情報危機管理コンテストの一次予選でしたことまとめ

先日、情報危機管理コンテストの一次予選に参加したので、その時にしたことを今後のためにまとめておこうと思います。一次予選は毎年、情報セキュリティに関する専門家になり、顧客からの依頼に対して、コンサルティング業務を行うことが課題内容となっています。といっても具体的にどういうものかわかりづらいので…第一次予選から過去問をご覧ください。 ⚠︎こちら、セキュリティなんもわからんマンですので他の人にはあまり参考にならないかもしれません。また、ホロライブのおかころ配信を見ながら書いているので内容が乏しくなっている可能性がありますがご了承ください

当日までにしたこと

基本的には、過去問を見ながらどういった問題が出ているのかや、コンサルトする際の文面の傾向をつかみました。大体一次予選が通過しているグループを見て、通過していないグループは一つ二つ見るくらいにしときましょう。また、講評が基本的に大事になるので常に見ておきましょう。セキュリティの専門的知識をつけたい場合は、セキュリティマネジメントというIPAの資格があるので問題を解いておくか参考書を読んでおくと理解が深まるかと思います。

1日目

起床試験

最大の関門、頑張りましょう。

読書タイム

問題が公開されるので、読みながらhackMDなどでチームと一緒に項目ごとにまとめていきます。問題文の量が多いのでとりあえず概略をつかんで、後に行うブレストの時にチームメイトと話しながら内容について理解を深めていけば大丈夫だと思います。

情報資産の列挙　

問題文を読み終えたら、情報資産を列挙していきます。大まかには - 登場人物 - Aさんなど - 資産 - 記録しているものといった感じです。

ブレスト

次に、結構大事なブレストを行います。ブレストとはブレインストーミングの略で、インシデントが発生した原因の可能性をチームメイトで話しながら列挙していきます。ここで出たことを後々生かしていくので一生懸命考えていきます。専門的な観点も大事ですが、人的要因など、様々な観点から考えていくのであらゆるケースを想像する必要があります。

例えばですが、文章内で「〇〇は絶対に安全だ」と書かれていてもそういったところから侵入されるケースもないわけではないので必ず疑います。

また、個人的にですが、自分自身だったらどうするかという風に考えてみるといいかもしれません。

ブレストを進めて、あまり意見が出なくなってきていたら休憩しましょう。休憩後に再開しても出なくなってきたあたりで次の作業に移ります。

ブレストは、意見をたくさん出せるような環境づくりが大事です。
どんな意見も否定しないようにしましょう。

リスクの分類分け

ブレストで上げたリスクを分類分けしていきます。基本的には、そのリスクの大元の原因によって分けていきます。今回の場合では - 人的要因 - アプリ - 貴社システム

などと言った感じです。

2日目

起床試験

1日くらい起きれない日はある、人間だもの。

現状の脅威について

ブレストで考えた問題から、どのような脅威が考えられるかまとめる。

例えば、 - 人的要因 - 自作自演 - 不要不急の返金が行われてしまう - アプリ - マルウェア感染 - 不正ログインなどが行われてしまう

と言ったものを上げていく。

優先度付け

脅威についてまとめたら、それらに対して優先度をつけていく。今回は

攻撃可能性：１〜５
深刻度：１〜５

を指標として用意し、それらから優先度を付けた。

また、ユーザ側にはわかりやすいように、高中低と表記する。（厳密に数値を決定したが、わかりやすいように高中低と優先度を表示すると書いた方がいいかも）

内部犯行に関してはすべて深刻度を５とする。

リスク対応

（これは三日目に個人で分担して中身を書くので二日目には、テンプレートを決め、どのように書くかを決定するべし）

上記で分類したリスクについて、その時の顧客の要望に合わせ、基本的には

原因
原因の調査方法
対策

について記していく。

今後の対応

解決するべき問題の対応が終わっていない場合の対応と、その問題の対応が終わった場合の対応をまとめる。

問題解決中の対応
- 情報公開
- 注意喚起
- etc
問題解決後の対応
- 内部監査
- 研修
- etc

などについて記述する。

トラブルの原因究明の流れ

優先度をつけたので、基本的には高いものから調査してほしい旨を伝える。

地域通貨サービスのシステム設計や運用方法に対する問題や発展（の可能性）

これは例年とは違うスタイルの問題でした。

トラブルとは違う内容で、システムの穴のようなところを改善するようにアドバイスをしました。

3日目

起床試験

1日くらい起きれない日はある、人間だもの。

文章作成

分担した箇所をそれぞれ書き上げてきます。 22:00までに提出なので、それまで何回かに分けて提出をし、どのように反映されているかを確認しましょう。

正直ここが一番きついので頑張りましょう。

Pukiwikiに提出する際に、テキストボックスに消してはいけない部分があるので注意しましょう

まとめ

初参加でしたが、チームの頼れる先輩が引っ張ってくれたおかげで楽しく行うことができました。

一次予選を進むことができたので、二次予選も足を引っ張ることがないよう頑張りたいと思います。