ゲーム性に難がある

hogehuga commented 5 months ago

勝敗が明確な方がわかりやすいが、趣旨として"特定の項目が説明されている"だけでは意義が薄れる可能性が高い
インシデントに関しては、幅広いものを用意したほうがよさそう（ランサムウェア、情報漏洩、etc）
ターゲットはどうするのか
- 社会人、学生で進め方が異なる
学生向けを考えると、1.5h - 3.0h 程度で収まる形が良い
おれ、個人的にテーブルトークくらいの想定なんだけど…（ゲーミフィケーション化するならそうはいかない）
ゲームマスター1-2名で、30名くらいまでをホストし、1.5-3.0時間で実施されるイメージ

hogehuga commented 3 months ago

想定されるターゲット

社会人の実務者（明日にでもインシデントに巻き込まれるかもしれない人）
SOC/CSIRT/PSIRTなどの組織のセキュリティ対応組織（X.1060風に言えば、Cyber Defence Centre）関係者
- おそらく、時間がない人たち
- 少人数（参加者側で3名程度）から始められ、比較的短時間（1.0-1.5h程度想定）で終わるものだと使いやすそう

ゲームマスターがいないとコントロールできない、のは難しいのでは。

1チームの人数が多いと、2:6:2の法則になり、教育効果が薄くなることを危惧する
複数チームで実施する場合、6チーム位がコントロール限界/集中力限界、かと考える
- 結果手的に、5名 x 6チーム = 30名、位が最大値と考えられるのではないか
ゲームマスターの能力に依存すると、再現力の低いトレーニングになってしまう
- インシデント謝罪の際のポリシーなどのルールブックが先に必要ではないか
- それに照らしてゲームマスターや他チームが判断/採点するという、基準作りが必要かもしれない

謝罪会見のゴールは何かを明確にしたいが、ポリシー次第ではないか

求められる納め方が、組織により異なる
- 禊としてその後の問い合わせがなく風化させられることが求められる、その場を乗り切ればよい、売り上げに対して特定の影響までは許容できるので手を抜く(to Cでなければその選択もあり得る)、etc
- ゲームとして、合意できるゴールを示す必要がある
- ゴールまで選択ができると、評価が非常に難しくなり、一般の人が判断できなくなる

どのフェーズを対象にすべきなのか

インシデントの発見直後から、というのが良いかもしれない
- 事前対応は、ゲーム性を考えると、謝罪会見よりもう少し広い範囲の話になると考える
- 組織のCDC組成ゲーム、程度の規模を考えている
発見後にできること、制限を含めるのがよかろう
- ハンドリング、コーディネーション、フォレンジック、レスポンス
- それらの対応ののちの、広報としての謝罪会見
- むしろ、謝罪会見不要、という選択もあるのではないか = ゲームとしては「週刊誌に報道された件」として会見を行うとか
- これらにかかる環境的要因
- かけられるコスト、工数、日数
- 変数としてはありだが、ゲームに反映するのは難しいのではないか。一部を共通地として固定化する必要があるのではないか。
  - とはいえ、所持工数と日数が少ない中で頑張った、を表現できるような評価基準があるといい気はする。コスト/工数/日数の前提条件の引きだけで勝敗が決まるのはゲーム性としてよろしくない。
役割ごとの制限もあっても良い気がする
- 広報はCSIRTの全調査内容を知ったうえで広報するのが普通？社長が会見するのが普通？社長は全情報を知ったうえで会見する？(時もたまにあるが、、NTTとか。)
- ハンドリング/フォレンジックなど対応したものと、広報は情報格差があってしかるべき？
- 広報が必要と思われる情報を聞き、ハンドリング/レスポンス者が必要と思われるが聞かれていない情報を提供する、のような体裁のほうが学びがあるかもしれない。が、ゲームとしての設計が難しい。

それっぽい形を作ったのちに、SOC/CSIRTではなく、実際に会見を行うような弁護士やそれに類する人たちに意見を聞くのが良い気がする。

hogehuga commented 3 months ago

チーム内の役割はいらないのでは
- 外部報告チーム、のような感じ
謝罪、である必要はない
- インシデントと調査と報告、リスクコミュニケーションゲーム
だめだめカード
- ログが取れていない、とか -> 失敗事例の学びとして
だめだめカードの対になる、よくやったカード、もあり？
- ～をやってますかカード => やってたら得点、なければ減点？
タイトル変更
- インシデント調査外部報告ゲーム、とか
対応カード
- 状況追加カード、インシデントカードに対する対応
- フォレンジックカードであれば、ログが残っている状況（ログなしカード？がない？）のみ使える、とか
所持コスト、インシデントカード、状況追加カード（だめだめ/よくやった）、対応カード（）
ガイドライン調べる
- PPCとか。

hogehuga commented 3 months ago

ランサムウェア事例でモックアップを作成する

企業プロファイル
インシデントカード
- 漏洩カード、とか（結果的にランサムとか）
- オプションで「PPCに連絡済み/してない」のダイスロール、コストを払う、とか
- 何をクリアすべきか、を書かれていると、ファシリテーションが楽では
環境カード
対応カード

hogehuga commented 3 months ago

モックアップを05/13週くらいで作って、06月上旬でテスト

hogehuga commented 3 months ago

生成AIに最後のレポートを食わせて、評価/社長に話させたらどうなる？みたいな体験があってもいいかもしれない。

hogehuga / apologyBoardGame

ゲーム性に難がある #1