本当に嬉しかったです。自分たちが作ったものが面白いと思ってもらえているのか、役に立っているのか、未知数の部分があったので、このようなアワードで認めていただき、「方向性は間違っていなかった」とホッとしました。

私は、トレンドマイクロ株式会社のサイバーセキュリティ・イノベーション研究所に所属しています。トレンドマイクロは一般財団法人日本サイバー犯罪対策センター（JC３）の会員企業になっていて、ベストエフォートで業務を圧迫しない範囲なら自由にやっていいという雰囲気だったので、私も自然に関わっていくようになりました。 2023年に、ランサムウェアの実態解明を目的とするプロジェクトを立ち上げて主査を務めました。メンバーは様々な会員組織から30人以上が集まり、定例会、ライトニングトーク（短時間のプレゼンテーション）、情報共有会などを重ね、約1年かけて 『ランサムウェア攻撃に対する捜査ハンドブック』（2024年、JC3編著、立花書房刊） の出版に漕ぎつけました。警察のサイバー捜査官、民間のセキュリティ技術者、検事、弁護士といった第一線に立つ人たちの経験・知見をまとめた一冊です。プロジェクトとして第一弾のアウトプットになりました。 その後、次はどうするかについてコアメンバー4～5人を中心として検討を始めたのですが、なかなか難航しました。サイバーインシデントの核心に迫りたかったのですが、企業の担当者は秘密保護の制約がかかって詳細を話してくれません。そうなると一般に報じられているニュースやOSINT（Open Source Intelligence、公開情報の収集・分析から有益な知見を導き出すこと）のレベルになってしまいます。 議論が行き詰った時、情報の中身を濃くすることが難しいのであれば「伝え方」を変えてみてはどうだろうかという話になり、ならば、ランサムウェアとゲームを繋げて、ゲーミフィケーション的に疑似体験しながら学べるものが面白いのではないかと、大きな方向転換に至りました。 私はJC3で「オンラインゲームのセキュリティ」に関するプロジェクトにも関わっていたので、ゲームに詳しい人に、オンラインゲームからボードゲームまでいろいろなものを教えてもらい、実際にやってみました。調べてみると、インシデント対応ボードゲームはいくつもあって、既存のものと差異化するにはどうすべきかについて半年以上かけて検討を繰り返しました。オンラインゲームも検討したのですが、コーディングが大変ですし、配信するサーバーの維持管理も必要ですし、プレイヤーにとってもハードルが高いということで、インターネット接続がなくても体験できるものにしようというところに収束していきました。

ボードゲーム、双六、既存のインシデント対応ボードゲームなど、いろいろなものをチームメンバーとやってみました。もしかしたら、「夜中に集まってゲームばかりして！」と顰蹙を買っていたかもしれません（笑）。試行錯誤を繰り返したのですが、逆に課題ばかりが見えてきて暗礁に乗り上げてしまいました。そんな時、子供と一緒にゲーム配信者のYouTubeチャンネルを観ていたら、オンラインゲームだけでなく、ボードゲームやアナログゲームのプレイ配信もしていて、そのうちの一つに「キャット＆チョコレート」があったんです。 キャット＆チョコレートは、「危機的状況の解決」のためのコミュニケーション系カードゲームです。ランサムウェア攻撃という危機から脱出することを競い合うストーリー系ゲームなら、初心者から専門家まで幅広い人たちに、楽しみながら学ぶ機会を提供できるのではないか——その時、気づいたのです。

JC3は警察組織とも秘密保持契約を結んでいるので、犯罪の手口や情勢等についてはその範囲内で共有されますが、警察は情報管理がしっかりしていますから、現在進行形の個別の捜査情報などは共有されません。ただし、今回のカードゲームのコンセプトは、サイバーインシデントが起きた時に「民間の被害者」と「警察」がそれぞれの立場で情報を共有しながら解決の道を探るというものなので、ランサムウェア事案が発生した時に警察が何を必要とし、どう考え、何をするのかというところについて、具体事案に紐づけない範囲で教えていただき、ゲームに盛り込むことができました。 例えば、ランサムウェアの事件が起きた時、警察が即座に現場に駆けつけてくれる場合もあれば、そうでないこともある。事件に関する情報・証拠を警察自らが収集する考え方のところがあれば、関係者から提出を受けたものを解析するという考え方のところもある。フォレンジック調査まではタッチしない警察がほとんどですが、中にはベストエフォートで手助けしてくれるところもある。都道府県警ごとに対応方針がけっこう違うんです。ですから、実際のインシデント発生時には、コミュニケーションを重ねて協力関係を構築することがとても大切なのです。

全国の警察組織の方々が各地の企業を集めてサイバーセキュリティの勉強会を開いていますが、そういう場でこのカードゲームを活用することが想定されています。企業の人が二人、警察の人が二人、各テーブルについて、このゲームをやるんです。さらに、企業と警察の役割を入れ替えて再度やってみて、それぞれの立場・視点からサイバー犯罪の事案がどのように見えるのかを体感し、相互理解を深めるのです。そういう目的のためには、かなり完成度が高いゲームができたと自負しています。 ゲームの説明書の冒頭には、「 ランサムウェア被害に遭った企業、その通報を受けた警察が、それぞれの立場から危機回避、証拠保全・犯人検挙のため、どのように行動する必要があるかについて議論、解決までのストーリーを作成する中で、官民の相互理解、企業のセキュリティ課題への気付き、被害時の対応力強化を目的としたゲームです 」と明記してあります。 カードゲームが完成した時点で、警察庁さんにご協力いただき、47都道府県警察様に現物をお届けしました。実際にイベントを実施する際には、JC3の職員が必要な数のカードゲームを持って行き、運営のお手伝いもしています。地場の中小企業を集めた会、各地のISP事業者さんの会、電力など重要インフラ企業の会など、地域によって様々なイベントが企画・開催されているようです。

JC3に参加している企業は業種も様々なのですが、自社はもちろんですが顧客やユーザーをサイバー犯罪から守りたいという共通の目的で繋がっていて、それが活動の推進力になっています。JC3で活動すれば売り上げや利益が上がるというわけではありませんが、営利を第一目的にしていないが故に相互信頼が醸成されているように感じています。そして面白いことに、そうした信頼感をベースにした活動の延長線上で、会員企業間での協業・協力、ビジネス融合みたいなものがいくつか生まれています。

できつつあると思います。トレンドマイクロでも最初は私を含めた数人が参加していたのですが、今では事業部からも入ってきてくれるようになりました。JC3はクロスセクターで機動力がありますし、警察と近いのでリアルな事件への対策に貢献したいというマインドの人が多く参加しています。とても面白いことができる場だと思っています。

間口はできる限り広く、敷居はできる限り低くです。

今回のキャット＆チョコレートに引き寄せると、「ゲームマスターを不要とすること」を設計の軸にしました。ゲームマスターというのは、ゲームの進行役であり、プレイヤーの話を整理したりファシリテートしたりする人です。セキュリティ系のゲームは「訓練」「教育」という目的があるので、専門知識を持った人が付きっ切りで指導することが前提になっているものが少なくありません。私たちは、素人しかいなくても「面白そう！」と感じた人が簡単な説明書さえ読めばすぐに遊べるようなものにしたかったのです。 ですから、既存の「キャット＆チョコレート」に乗っかった方がゲームに対する理解が速いですし、既に遊んだことがある人たちが「新しいバージョンも試してみようかな」と興味を持ってくれたら良いなという期待もあります。とにかく、まずは楽しく遊んでもらう。ゲームの中には、例えばEDR（Endpoint Detection and Response、パソコンやサーバーなどのエンドポイントを監視し、サイバー攻撃の兆候を検知・調査・対応するセキュリティ対策）といった専門用語も散りばめ、興味を持った人が後で学んでもらえる「きっかけ」を仕込んであります。

はい、ランサムウェア攻撃という危機から脱出するための方策の一つとして当然入ってきます。払うべき、払うべきではない、というような指示はありません。プレイヤーが自由に発想してストーリーを展開していきます。その過程で払った場合、払わなかった場合に何が起こり得るかという学びがあると思いますし、もしかしたら専門家も驚くような新奇な対策シナリオが生まれるかもしれません。

サイバーセキュリティ事案に関しては、情報の非対称性がとても大きいと感じています。大企業には情報が集まりますが、手当たり次第に攻撃を仕掛けてくるランサムウェアの被害に一番遭っている中小企業にはなかなか情報が届かない。そうした非対称性や格差を解消することが重要だと思います。いろんな人や組織が手を変え品を変え、創意工夫を重ねていかなければなりません。 企業行動を変えるには経営者の心を動かす必要がありますが、そこはやはり人と人との対面コミュニケーションでなければ腹落ちしないと思います。そうしたコミュニケーション機会につながるような企画やコンテンツを粘り強く作り続けていく必要があると思っています。