CR10・M17 / 本番5日前
重大な脆弱性が発見される
ここまでの学習
Stage 1 状況
CASE FACTFROZEN正本に記載されたアステリア案件の事実
M17 / 本番5日前
重大な脆弱性が発見されました。
評価: Critical
どんな脆弱性なのか、どのシステムに関わるのか、誰がどうやって見つけたのか、誰がどの基準で Critical と評価したのかは、正本に記録がありません。記録なし
LEARNER HYPOTHESISあなたが立てる仮説。事実ではありません
あなたが最初に決めたくなったこと
「本番5日前・Critical」と聞いて、あなたは何を決めたくなりましたか。
これは事実ではなく、あなた自身の考えです。この演習では、正解・不正解を判定しません。
書いたら、それが今手元にある事実だけで決められることかも書いてください。
AI WORKFLOW — 届いた情報を分ける
AI に使ってよいのは、届いた情報を「確定している事実」と「まだ分からないこと」に分ける作業です。
AI へ渡す情報: M17 / 本番5日前、重大な脆弱性の発見、Critical
AI への問いの例（演習用の例です。ケースの中で実際に使われた指示文ではありません）
「次の知らせを、確定している事実と、まだ分からないことに分けてください。脆弱性の種類や深刻度のスコアは推測しないでください。」
REVIEW
AI が「Critical なので、本番は延期すべきです」とまとめることがあります（演習用に想定した回答の例です）。
- この回答は、「Critical」という評価だけで判断を出しています。
- 本番を進めるか止めるかは、AI ではなく人が決めることです。
- 今分かっているのは「本番5日前」と「Critical」だけです。
この回答は採用しません。
Stage 2 分かっていること・記録がないこと
判断の前に、分かっていることと、記録がないことを分けます。
CASE FACTFROZEN正本に記載されたアステリア案件の事実
分かっていること
- M17 / 本番5日前
- 重大な脆弱性が発見された
- 評価は Critical
TRAINING UI記録がないこと
| 知りたいこと | このケースの記録 |
|---|---|
| どんな脆弱性か | 記録なし |
| どのシステム・どのデータに関わるか | 記録なし |
| 誰が、どうやって見つけたか | 記録なし |
| Critical と評価した基準 | 記録なし |
「Critical」は評価の結果を表す言葉です。その根拠は、このケースには記録がありません。
LEARNER HYPOTHESISあなたが立てる仮説。事実ではありません
あなたが考える判断の観点
本番を予定どおり進めるか止めるかを決めるには、何が分かる必要がありますか。 観点を自分の言葉で挙げてください。
数は決めません。ここで挙げた観点に、正解・不正解はありません。次の Stage で、正本に記録された観点と比べます。
TRAINING UI演習の問い
THINK
「Critical」という評価だけで、進めるか止めるかの答えは決まるでしょうか。
AI WORKFLOW — 観点の整理
AI へ渡す情報: 分かっていることと、あなたが挙げた観点
AI への問いの例（演習用の例です）
「私が挙げた観点のうち、重複しているものをまとめてください。観点を足したり、このケースの値を推測したりしないでください。」
検証のしかた: AI が観点を付け足したり、表の「記録なし」を推測で埋めたりしていたら、その部分は採用しません。観点の「正解」を AI に決めさせません。
Stage 3 判断の観点・原則
ここで初めて、正本に記録された Go / No-Go の判断の観点を示します。
CASE FACTFROZEN正本に記載されたアステリア案件の事実
Go / No-Go は、次の6つで判断する
- 攻撃成立条件
- 影響範囲
- 対象情報
- 暫定対策
- 修正時間
- 業務影響
TRAINING UIこのケースの記録
| 判断の観点（正本） | このケースの記録 |
|---|---|
| 攻撃成立条件 | 記録なし |
| 影響範囲 | 記録なし |
| 対象情報 | 記録なし |
| 暫定対策 | 記録なし |
| 修正時間 | 記録なし |
| 業務影響 | 記録なし |
観点は正本に示されていますが、6つのどれも、このケースの値は記録がありません。
正本の6つの観点の中に、「Critical（深刻度）」そのものはありません。
TRAINING UI演習の問い
THINK
- Stage 2 で自分が挙げた観点と、正本の6つを比べてください。挙げられなかったものはどれですか。
- 6つそれぞれについて、判断のために、誰から、どんな情報を得る必要がありますか。
- Critical という評価は、6つのどれとどうつながると考えますか。
どの問いにも、この演習では模範解答を示しません。
AI WORKFLOW — 観点ごとの確認事項の下書き
AI へ渡す情報: 正本の6つの観点
AI への問いの例（演習用の例です）
「攻撃成立条件、影響範囲、対象情報、暫定対策、修正時間、業務影響のそれぞれについて、判断の前に確認すべき質問を一般論として挙げてください。このケースの値は推測しないでください。」
検証のしかた: 6つが正本の言葉と順番のまま使われているか、観点を足したり言い換えたりしていないかを、人が確認します。「攻撃は成り立ちにくい」のような値や日数が書かれていたら削除します。
Stage 4 判断の準備
6つの観点で情報を整理したうえで、人が何を判断し、何を記録するかを考えます。
CASE FACTFROZEN正本に記載されたアステリア案件の事実
- セキュリティ例外承認は、AI に最終的に任せません。
- Go / No-Go は、AI に最終的に任せません。
実際にどう判断したのか、例外承認があったのか、その結果どうなったのか、誰が判断したのかは、正本に記録がありません。記録なし この演習では、判断の正解を示しません。
人間が判断すること
- Go / No-Go（予定どおり本番に進むか、止めるか）
- 脆弱性が残ったまま進む場合に、セキュリティの例外として承認するか（このケースで例外承認が行われたかどうかは記録がありません）
- 6つの観点の情報がそろわないまま判断を迫られたとき、何を根拠に、誰が決めるか
- 判断とその根拠を、どの記録に残すか
TRAINING UI演習の問い
THINK
- 6つの観点のうち、どれが分からないままだと判断できないと考えますか。それはなぜですか。
- AI に「Critical なので延期すべきです」と言われたら、あなたはどうしますか。
AI に任せてよいこと・任せないこと
任せてよいこと（下書きとして。最終確認は人間）
- 集めた情報を、6つの観点ごとに整理する表の下書き
- 足りない情報の一覧
- 判断者への報告文や、判断記録の様式の下書き（送るかどうか、何を書くかは人が決める）
任せないこと
- Go / No-Go
- セキュリティ例外承認
- 深刻度の最終評価と、攻撃が成り立つかどうかの結論
- 業務への影響を受け入れる判断
AI への問いの例（演習用の例です）
「Go / No-Go の判断記録に残すべき項目の案を、6つの観点ごとに作ってください。このケースの値は空欄にしてください。」
検証のしかた: 「延期すべき」「進めてよい」などの判断が含まれていたら採用しません。空欄にすべき値が埋められていたら削除します。
Stage 5 / 5
Stage 5 振り返り
正本が示す論点を振り返ります。Stage 1 で決めたくなったことや、Stage 2 で挙げた観点の正解・不正解は判定しません。
CASE FACTFROZEN正本に記載されたアステリア案件の事実
正本が示す論点
真因の重要論点: 本番5日前まで重大問題を発見できなかった工程設計
これは正本の表記のままの「真因の重要論点」です。真因そのものは、正本に記録がありません。記録なし 工程のどこが足りなかったのかも、記録がありません。記録なし
TRAINING UI振り返りの観点
- 「Critical」という評価だけでは、Go / No-Go は決まりません。 正本は、攻撃成立条件・影響範囲・対象情報・暫定対策・修正時間・業務影響の6つで判断するとしています。
- Critical は軽く扱ってよい評価ではありません。 強い評価だからこそ、6つの観点で必要な情報をそろえてから判断します。
- Go / No-Go とセキュリティ例外承認は、人が判断します。 判断とその根拠は、記録に残します。
- 正本は、この危機の重要論点を「本番5日前まで重大問題を発見できなかった工程設計」としています。 工程のどこが足りなかったのかは、記録がありません。
最後の問い（あなた自身の工程改善の検討）
重大な問題を本番5日前ではなく、もっと早い段階で見つけるには、工程のどこで何を確かめる必要があったと考えますか。
これはケースの事実を問うものではありません。あなた自身が、工程の改善と再発防止を考える問いです。正本に答えの記録はなく、この演習では模範解答を示しません。あなたの考えは、ケースの事実としては扱いません。
Stage 1 で決めたくなったことは、6つの観点を知った後で、どう変わりましたか。
AI WORKFLOW — 振り返りの点検
AI に真因をまとめさせることはしません。重要論点を真因と言い換えさせることもしません。AI には、あなたの振り返りに、正本にないことが入っていないかを点検させます。
AI への問いの例（演習用の例です）
「この振り返りの中で、正本に書かれていないこと（脆弱性の種類、深刻度のスコア、日数、システム名、真因の断定など）を指摘してください。」
検証のしかた: AI の指摘を人が見て、振り返りから正本にない内容を取り除きます。
CR10で覚えてほしいこと
Critical という強い評価だけで、最終判断をしない。 正本が示す6つの観点で必要な情報を整理し、Go / No-Go とセキュリティ例外承認は人が判断します。
学習上の接続（正式な対応関係ではありません）:
- 12-05 誰が本番稼働を決めるのか
- 12-01 本番切替計画とは何か
- 10-05 障害の重大度をどう決めるのか
- 10-06 テストをいつ終了してよいのか
- SEC-005 セキュリティ評価報告書
- SEC-001 セキュリティ基本方針
- CUT-005 本番稼働判定資料
- PRG-006 課題・リスク管理表
接続先の Unit・成果物にある例（場面、時刻、数値、条件など）は、その教材の学習用の例です。CR10 のケースの事実ではありません。
LEARNER HYPOTHESISあなたがこれまでの段階に書いた記録。事実ではありません
あなたの記録（Stage 1〜4）
この端末に保存された前の段階の記録はありません。「この端末に保存する」をオンにして書いた記録が、ここに並びます。
LEARNER HYPOTHESISあなたの考え。事実ではありません
Stage 5 の記録
学習状況
状態：未着手