自社のDB破壊しCEOに身代金要求、freeeが本当にやったクラウド障害訓練の舞台裏 「従業員はトラウマに」

自社のクラウド環境に侵入され、データベースから経営に欠かせないデータを持ち出される。バックアップも消され、データを取り戻したければ、身代金を支払うよう要求される──企業にとって絶対に直面したくない事態の一つだ。しかしこのシチュエーションをあえて再現し、訓練という形で自社のCEOに身代金まで要求した企業がある。クラウド会計サービスを提供するfreeeだ。 freeeは2021年10月、標的型攻撃とランサムウェアを組み合わせたシナリオを基に全社的な訓練を実施。AWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求したという。訓練を主導したのは、製品やサービスのセキュリティ向上を目指す社内組織「PSIRT」だ。 訓練を実施した背景には、情報システム部などのIT部門だけでなく、経営層まで巻き込みたい考えがあったという。同社のPSIRTが取り組んだ

[suzutaku7]

これができる企業は少なそう。羨ましい。多くの会社はこれやったら懲戒されそう。

[greenbow]

経営陣と現場の情報伝達の遅れはみずほ銀行の障害でも問題になってましたね。こういうのを訓練で発見できたのはいいな。

[onemuda4]

”インシデントが起きても人を責めず、事象そのものの解決に注力するのが鉄則。仮にその人のミスで何かが起きたとしても、それを食い止められなかったのは組織の責任。”

[srgy]

脅迫状担当の人は、モニタだけが煌々と光る暗い部屋でキーボードに向かってカタカタやってほしい(電気点けろ)

[koyhoge]

たださんの名前が漢字で書かれてるの初めて見たかもw

[bopperjp]

クリエイティブな訓練ができるのは良い会社だと思うのと同時に、儲かってるからできるんだろうなと、両面で羨ましい。

[versatile]

弊社でもたまにやるけど、しょっぼい内容で、バレバレ。でも一定数引っかかるんだよなぁ

[yabu_kyu]

「訓練を頻繁にやって、うまく戻らないデータがあったんだけど実はそれを消すのが本来の目的（不正の証拠とか）」という手法を思いついた。監査で激詰めされそうだけど。

[Falky]

なんか、本番環境を実際に破壊してみた話と思ってブコメしてる人・スターつけてる人がめちゃくちゃおらん？ｗ はてブも変な人間増えたよな、ほんとに…。

[ledsun]

こえー。サプライチェーン攻撃から入ってくるの、ふつうにありそうで、こわい。

[manhole]

セキュリティ対策予算の使い方として、とても良いと感じます

[iekusup]

なるほど。

[tmatsuu]

障害訓練いいよ。やったことある。連絡体制の不備などが顕在化して学びがあるので是非やりましょう。

[yz_s]

せっかくここまでやってるんだから、freeeは「解約時の執拗な引き止め」をやめた方がいいと思う。何年も前だけど、サービス利用をやめようとした時の引き止めが多段すぎて呆れた。

[ryouchi]

クラッカー「freeeのロゴにeを一つ足してfreeeeにしといたからな」

[toruhjp]

パイセンさすがっす

[mkusunok]

こりゃスゲーな。こーゆー演習を役所や銀行でもできるようになったらな

[maple_magician]

無予告負荷試験……うわぁ……

[a446]

悪意のある破壊者が組織内に入りこめば再現される可能性があると思うと恐ろしいだろうな。次回は極秘ミーティングの映像と現場の混乱を無音の隠しカメラでいいから映像作品にしてほしい

[sonots]

すごい

[u_eichi]

“仮にその人のミスで何かが起きたとしても、それを食い止められなかったのは組織の責任“ ほんと、この観念を共有できないと、全くシステマティックなリスク管理の構築が進まない。

[ymrl]

社内で傍観していましたが、事前に本番ではないこの環境で何か起こるから覚悟しとけとアナウンスされていて、脅迫文はじめあらゆるコミュニケーションは訓練であることを明示されていました。疑心暗鬼の人も元気です

[adsty]

シナリオを基に全社的な訓練を実施した。

[harvestsignal]

すげぇな（語彙力）

[nakamura-kenichi]

ホンマに企業は定期的にやった方がええぞ。実践が一番理解を促進させるし、何より緊急対応ができる安心感は強い。反対するアホな役員がいてる会社はとっとと転職した方がいい。

[shoh8]

これができる環境が羨ましい。そしてより強くなれる環境。

[mistake3]

メール訓練やっただけで怒られる我社でこれやったら…

[mythm]

すごい、けどルカワさんは普通に社員にいたり新入社員とかで来たらちょっと気まずくなりそうだから、実在しない名字にすればいいのに…とは思った

[uxoru]

“インシデントが起きても人を責めず、事象そのものの解決に注力するのが鉄則“ ”仮にルカワくんのような人が一人や二人いたとしてもびくともしない仕組みや取り組みを、会社としてやっていくことが大事”

[misarine3]

トラウマになってる人は業務に支障ないんだろうか？と心配になってしまうわ

[yasushicohi]

すっごい、本気や…

[gui1]

動物園の訓練で園長がライオンのぬいぐるみ着て走ってるのと同じですね(´・ω・｀)

[mohri]

多田正さんってだれかとおもったら！ （tDIaryの）ただただしさん？？？!!!

[TakamoriTarou]

ただただしし？

[kirarapoo]

メール訓練やると偉い人が引っかかって示しにならかった思い出

[mrkn]

こんな笑顔でトラウマを作り出すとは・・・

[kura-2]

なかなか激しいな

[iwanofsky]

こんぐらいやれる会社は、ますます強くなるだろうな。

[naoto_moroboshi]

メールでアンケートなんか答えられなくなっちゃう

[tinao]

こうした訓練を受けて、会社を大事にする経営者は企画した社員を評価し、自分が大事な経営者は企画した社員をクビにする