サイバー攻撃の机上訓練の進め方｜中小企業向けシナリオ・役割・評価表

サイバー攻撃への備えは、手順書を作っただけでは終わりません。実際に「誰が停止を決めるか」「担当者が不在なら誰が代わるか」「情報が揃わない段階で何を伝えるか」を話し合い、決定の根拠と連絡経路を残す必要があります。そこで役立つのが机上訓練です。実システムへ攻撃を仕掛ける演習ではなく、架空の状況を順番に提示し、経営・現場・情報システム・広報などが自社の手順に沿って判断します。

この記事は、初めて訓練を企画する中小企業の経営者、総務担当、情報システム担当者向けです。90分で実施できる準備表、5段階のシナリオ、進行台本、採点表、30・60・90日の改善計画を示します。特定企業で起きた実際の事故を再現したものではなく、記載する会社、時刻、注文、ファイル名はすべて架空の演習例です。実際の事件への初動は、別記事の企業のセキュリティ対策やサイバー攻撃時の取引先連絡も参照してください。

一次資料として、IPAが公開する中小企業向け机上演習教材、無理なく実践するインシデント対応演習、NISTのSP 800-84を確認しました（2026年10月30日確認）。以下の90分配分や採点基準は、それらの公的基準そのものではなく、小規模組織が自社で試すための編集上の提案です。

机上訓練とは何か｜実機テストと分けて成果を決める

机上訓練は、架空のインシデント情報を受けた参加者が「自分なら何を調べ、誰へ伝え、誰に決定を求めるか」を言葉と記録で確認する演習です。IPAは中小企業向けに、ランサムウェア感染のシナリオを用いた教材と実施マニュアルを公開しています。教材は座学と、対応方針・方法をグループで議論する演習で構成されています。NIST SP 800-84も、演習の目的として計画の内容、参加者の役割、相互依存関係を検証することを挙げています。つまり机上訓練の成果は「攻撃を防げた」という点数ではありません。手順が現場で使えるか、判断者が分かるか、空白の時間と責任の隙間を発見できたかです。

何を検証し、何を検証しないか

机上で確かめやすいのは、意思決定、連絡、記録、外部委託先との境界です。たとえば受注システムが止まり、原因はまだ不明だとします。営業が顧客に「夕方には戻る」と言ってよいのか、倉庫に出荷を止める指示を誰が出すのか、経営者へ上げる情報は何かを話し合えます。見つかった疑問を手順書に反映すれば、訓練した意味があります。一方、バックアップが実際に開けるか、復元に何時間かかるか、別拠点の端末から注文処理ができるかは、実機・代替環境での復元試験や業務継続テストが必要です。机上で「復元できるはず」と答えても、実証にはなりません。

研修、机上訓練、技術テストも混同しないでください。研修は手順を教える場、机上訓練は手順の適用と意思決定を試す場、技術テストはシステムの動作を確かめる場です。担当者が計画を知らなければ、訓練前に短い研修を実施します。計画が存在しないなら、最低限の連絡先と権限だけ先に仮置きし、「未整備箇所を洗い出す試行」と明示します。完成した計画があるかのように得点を付けると、現状を過大評価します。

方法	主に確かめるもの	成果物	単独では分からないこと
短い研修	用語・連絡先・担当	理解確認	緊張下での判断
机上訓練	役割・判断・連携	判断記録、課題表	実機の復旧可否
復元試験	バックアップと手順	所要時間、失敗ログ	経営・広報判断
業務継続テスト	代替受付・出荷・照合	処理件数、誤り、時間	全ての攻撃経路

最初の1回で狙う成果を三つに絞る

初回から「全社の防御力を測る」と広げると、時間内に決められません。おすすめの目標は、①発見から判断者への報告経路が通るか、②停止・継続の権限と必要資料が明らかか、③社内外への連絡と更新時刻を決められるか、の三つです。目標の表現は行動で測れるようにします。「危機感を高める」では採点が難しいため、「最初の注入情報から10分以内に連絡先を特定し、未確認事項を分けて記録する」と置き換えます。10分は法令や公的基準ではなく、この演習内の目標値です。自社の人数と業務に合わせて変えてください。

合格・不合格の前に、実際の発見を重視します。参加者が「ここは手順がないので今は決められない」と答えた場合、架空の話を取り繕うより有益です。記録係は「未決」と理由を残し、後で責任者・期限を付けます。机上訓練の場で強い人が即興で全て解決してしまうと、本人が休んだ日に機能しない組織を見逃します。毎回、手順書と連絡網を見ながら回答してもらい、特定の個人の記憶に依存していないか確認します。

「参加したから安全」と誤解しない

訓練終了時に「対応できた」と発表するだけでは、改善の証拠になりません。決定に必要な情報が揃ったか、誰が承認したか、いつ再評価するかを記録します。議論の結果は仮定付きです。「侵害範囲が限定されている場合は一部再開する」「侵害範囲が不明なら停止を継続する」のように、条件を付けます。経営者が一言で結論を出しても、その裏の条件が共有されなければ、実際の事故では判断を再現できません。

また、机上訓練中に本物の不審メールを送る、実システムを停止する、マルウェアを実行する、実在の顧客へ演習通知を送ることは、この形式の範囲外です。試す場合は別途、対象、許可、復旧手順、影響範囲を定めた技術訓練として設計してください。初回の机上訓練は、通常業務を止めずに管理職と担当者が話す場にします。これなら小規模企業でも開始しやすく、問題が見えた後で実機テストへ進めます。

準備編｜目的・対象業務・参加者・権限・証拠を決める

訓練の前に決めるのは五つです。目的、対象業務、参加者、判断権限、残す証拠です。IPA教材をそのまま開いて議論を始めても、自社の受注、製造、顧客対応とつながらなければ、実務上の改善点が拾えません。NIST SP 800-84は、話題、範囲、目標、参加者を設計する流れを示しています。中小企業では専任の演習設計者がいない場合も多いため、A4二枚ほどの設計票に絞って準備します。目標、対象システム、シナリオの起点、参加者、禁止事項、評価方法、事後の責任者を一枚目に、段階的に渡す情報と想定質問を二枚目に置くと運営しやすくなります。

目的と対象業務は「止まると困る一つ」から

「ランサムウェアが起きたらどうする」だけでは範囲が広すぎます。架空の卸売会社を例に、受注システムと共有ファイルが同時に使えなくなり、当日出荷の確認ができない、という一つの業務場面に絞ります。対象となる受注システム、倉庫への出荷指示、顧客への納期連絡を書きます。給与システムや採用サイトまで一度に含めないでください。対象外の質問が出たら「別回のテーマ」として課題表へ残します。初回に一つの業務だけでも、ITと業務の依存関係が現れます。

対象業務の担当者へ事前に聞くのは、通常時の処理件数、締切時刻、代替手段、誤出荷した場合の影響、確認できないと処理できない項目です。数値は社内の実績を使用し、公開資料や演習カードへ顧客名を載せないでください。訓練資料を社外の外部ファシリテーターへ渡す場合も、顧客情報や認証情報をダミーへ差し替えます。机上訓練のために新たな情報漏えいを作らないことが先です。

役割は「人物名」でなく「職務」と代理まで

参加者は経営者、現場責任者、情報システム担当、顧客対応担当、記録係、進行役を基本にします。一人が複数役を兼ねても構いませんが、同じ人が判断を下し、その妥当性を採点する構成は避けます。経営者が参加できない場合は、代理権限がどこまであるかも演習の対象です。委託先が監視や保守を担う場合、連絡先だけでなく、その相手が何を調査し、何は自社に確認を求めるのかを明記します。委託先が欠席する場合は、進行役が委託先役の回答を用意します。実在の委託先へ無断で演習の電話をしないでください。

役割	演習中の責任	確かめたい問い	代替者
進行役	情報カードを順番に渡す	議論を誘導し過ぎていないか	別部署の管理職
経営判断役	停止・再開・対外方針を承認	必要な事実が揃っているか	指定された代理者
技術担当	観測事実と調査可能性を説明	不明点を断定していないか	保守委託先の窓口
業務担当	受注・出荷・代替処理の影響を説明	止める範囲を具体化できるか	現場副責任者
連絡担当	社内・顧客向けの文案を作る	事実と予定を分けられるか	総務担当
記録係	時刻、事実、決定、宿題を残す	後から経緯を再現できるか	別の事務担当

これらは会社ごとの組織図へ書き換えます。役職名しかない連絡網は不十分です。連絡手段が使えない場合の予備経路、本人不在時の代理、夜間休日の取り扱いを確認します。電話番号を訓練資料へ載せる場合は配布範囲を制限し、演習後の管理方法も決めます。個人の連絡先を共有したくない場合は、社内で管理する当番番号や緊急連絡サービスを使う設計にします。

判断権限を「決める」「助言する」「報告を受ける」に分ける

技術担当が攻撃の可能性を説明できても、業務停止を単独で決められるとは限りません。逆に経営者が受注停止を命じても、技術担当がどのシステムを隔離できるかは別です。演習前に、暫定停止、外部への案内、委託先への調査依頼、法務・個人情報担当への相談、復旧後の再開について、決裁者と代理者を一行ずつ置きます。既存の権限規程があればそれを尊重します。規程と演習の役割が食い違えば、訓練後の改訂候補です。

権限表には、時間制約と判断に必要な資料も添えます。たとえば「受注機能の停止」は、異常の兆候、影響範囲、継続した場合のリスク、停止した場合の損失を数行で整理して判断者へ上げます。資料が不十分な場合の暫定措置を決めておくと、完璧な調査結果を待つあまり何もしない事態を避けられます。ただし、実際の隔離や停止の技術的判断は、環境によって異なります。訓練の場で万能の手順を決めつけず、自社のIT管理者・委託先と照合します。

観察する証拠を先に定義する

議論の雰囲気だけで「よくできた」と判定しないため、事実記録票、意思決定ログ、連絡先の確認結果、対外案内案、未解決課題表を残します。記録票は「演習開始からの経過時刻」「受け取った情報」「事実・仮説・未確認の区分」「誰が何を決めたか」「判断の条件」「次に確認する時刻」を列にします。個々人の発言を逐語録にする必要はありません。後から手順書のどこを直すか特定できる情報に絞ります。

評価者は、事実と推測を混ぜていないか、エスカレーションしたか、復旧見込みを根拠なく伝えていないか、次回更新時刻を決めたかを見ます。全てを技術正誤で採点しないでください。人と組織の協働を観察するのが目的です。初回は点数より、発見された手順の穴の数、穴の重大性、誰がいつ直すかに重点を置きます。採点は改善の比較材料であり、参加者の人事評価には使わないと事前に伝えます。そうしないと、本当は分からない点を隠す誘因が生じます。

開催前チェックリスト

• 対象業務と演習から除外する業務を書いたか。
• 架空の顧客名とダミーの連絡先にしたか。
• 実システム・実顧客へ触れないことを明示したか。
• 進行役、記録係、評価者、最終判断者の役割を分けたか。
• 代理者と委託先の連絡境界を確認したか。
• 訓練の開始・終了時刻、情報カードの提示順を決めたか。
• 評価表と改善課題表の保管先を決めたか。
• 必要なら法務、個人情報担当、広報へ事前共有したか。
• 参加者が既存の手順書・連絡網へアクセスできるか。
• 演習で得た課題の改善責任者を決める場を予定したか。

演習シナリオ例｜異常検知から復旧判断まで段階的に示す

ここからは、架空の従業員45人の卸売会社をモデルにします。販売管理システムで当日分の受注と出荷指示を扱い、倉庫とは共有フォルダーを介して連携している設定です。午前中に複数端末でファイルを開けないという報告が入り、午後の出荷締切が近づいています。原因は最初から「ランサムウェア」と確定させません。実際の事故では、障害、誤操作、侵害の区別が早期に付かないことがあります。演習でも、事実が少ない段階で決めつけない判断を観察します。

このモデルは実在企業の事故を示すものではありません。受注件数、締切、システム構成、顧客、委託先は自社の実態を反映して調整します。リアルにするために本物の顧客情報をカードへ入れる必要はありません。「A社」「注文番号X001」のようなダミーで十分です。演習の目的は情報の再現性ではなく、意思決定の再現性です。参加者へ最初から全シナリオを渡すと、判断が後知恵になります。進行役だけが全カードを持ち、一定の順番で公開します。

カード1：異常検知を受ける

開始時に「9時10分、営業担当の端末で共有ファイルが開けず、見慣れないエラーが出た。別の担当も同じ症状だと言う」という情報を渡します。ここで参加者に求めるのは、原因の断定ではありません。最初の報告窓口、症状を確認する担当、影響範囲を把握するための質問、当面の証拠保全の相談先を明らかにすることです。進行役は「誰の端末か」「何台か」「最初の時刻はいつか」「業務に何が起きているか」と質問し、参加者が自分たちの連絡網と手順書を開けるか観察します。

参加者が「とりあえず再起動」と言っても、進行役は攻撃者や技術担当を演じて正誤を即断しません。「証拠が消える可能性と業務継続の必要を誰に確認するか」と問いを戻します。架空の演習でも、本番で行う技術操作を無責任に確約しないためです。現実の対処は環境に依存します。社内IT担当や専門家の指示へ接続する経路を検証します。記録係は、最初の報告がどの部署から上がり、誰が受けたかを残します。

この段階の期待する成果物は、発生時刻、確認された症状、未確認事項、次に聞く相手の四つです。たとえば「確認済み：共有フォルダーが開けない端末が二台。未確認：販売管理システムへの影響、外部への情報流出。次の確認：情報システム担当が別部署端末を確認」という記録です。ここで「全社が侵害された」「顧客データが流出した」と書けば、推測を事実にしてしまっています。評価では文面の正確さを見ます。

カード2：業務停止の可能性が出る

次のカードは「9時25分、倉庫が最新の出荷指示を確認できない。営業は電話で新規注文を受け始めたが、重複注文の確認ができない」です。この段階で、業務側が被害を定量化する番です。当日出荷の締切、既に確定した注文、電話受付の記録方法、システムが復旧したときの二重入力防止を議論します。経営判断役には、どの範囲の受付・出荷を一時停止するか、何の条件で再評価するかを聞きます。「全部止める」「全部続ける」の二択ではなく、確認済み注文だけ出荷し新規受付は保留するなど、条件付きの案も比較します。

ただし、架空の演習の結論を実際の自社手順へそのまま移してはいけません。商品、物流、規制、契約が異なれば影響は変わります。訓練で確認するのは、自社に必要な判断材料が何かです。もし現場が「当日出荷の注文一覧を今は取れない」と言うなら、それが課題です。紙の代替台帳を作るなら、注文時刻、担当者、顧客、品目、数量、承認者、後日のシステム照合欄まで決めます。代替手順が作業者の善意だけに頼っていないかを見ます。

カード2の記録例は「9時28分、当日出荷指示の閲覧不可。停止範囲は未決。倉庫責任者が既出荷と未出荷を分離し、10時までに件数を報告。経営者は報告後に暫定停止範囲を決める」です。ここには誰が、何を、いつまでにが入っています。演習では「営業は大変だね」という感想ではなく、行動を記録できたかを採点します。社内告知が必要な場合、どのチャネルが使えるかも確認します。メール自体が影響を受ける場合の別経路を用意しているかは、重要な観察点です。

カード3：漏えいの可能性を追加する

三枚目で「10時05分、外部委託先から、不審な通信が見えたとの連絡。共有フォルダーに顧客担当者の連絡先が含まれる可能性がある。ただし持ち出しの証拠は未確認」と示します。ここで問うのは、漏えい確定の発表を急ぐかどうかではありません。どの情報が確かで、どの情報が仮説で、誰が調査・法的判断を担当するかです。個人情報の取扱いがある場合は、個人情報保護委員会の漏えい等事案への対応案内を自社の法務・個人情報担当が確認します。報告・本人通知の要否や期限は、事実関係と法令上の要件により異なります。机上訓練だけで「必ず何日以内」と決めつけません。

参加者へ追加で「取引先から『当社の顧客情報は無事か』と問い合わせが来た」と渡します。連絡担当は、確認済みの事実、調査中の事項、次回更新予定、問い合わせ先を分けて一文ずつ作ります。「漏えいはありません」は、調査が終わっていない段階では不適切です。「現時点で確認されていない」と「起きていない」は違います。問い合わせへ答えられない場合でも、いつまでにどの経路で更新するかを示す必要があります。この区別は、先に公開した取引先への連絡文例とつながりますが、本記事の訓練では文面のうまさより、承認経路と事実確認のプロセスを評価します。

訓練に法務担当がいなければ、進行役は「法的確認待ち」という状態を認めてください。参加者が本番を想定してどの専門家に連絡するか、連絡先がすぐ見つかるかを確認します。自社の契約上の連絡義務、業界規制、顧客との約束も異なります。未確認なのに「あとで考える」で放置するのは不合格とします。仮の担当者と確認期限を付けた「保留」は、管理された判断です。カード3の成果物は、事実・仮説の区分表、調査依頼、社外向け回答案、承認者、次回更新時刻です。

カード4：社外からの照会と経営判断

四枚目は「11時、主要取引先から本日の納品見込み、注文受付方法、復旧予定を電話で聞かれた。販売管理システムの原因調査は継続中」です。営業担当だけで即答させず、確定した注文、確認待ちの注文、処理できない注文を分けます。回答に必要な出荷情報の責任者、承認者、取引先ごとの差を確認します。復旧時刻が不明なら不明と伝え、次に更新する時刻を決める方が、根拠のない約束より有効です。「午後には復旧すると思う」といった言い方をしたら、その根拠と決裁者を記録係が質問します。

ここで経営判断役には、限られた人員をどこへ振り向けるかも問います。被害調査、顧客連絡、代替注文処理を一人のIT担当に押し付けると、どれも止まります。例えば情報システム担当は環境調査と専門家連携、営業責任者は取引先の優先順位、倉庫責任者は出荷可能な確定分、総務は社内向け更新、経営者は停止範囲の承認に分けます。実際の組織が少人数なら、兼務の優先順位と外部支援の要否を決めます。訓練は「人が足りない」という抽象的な感想ではなく、同時に発生する作業量を見つける場です。

取引先への連絡では、通常の営業連絡手段が利用できるかを試します。メールが使えない設定なら、電話、代替ドメイン、Webの告知ページのうち、どれを使い、なりすましをどう防ぐかを問いにします。URLや電話番号を急に変える案には、相手が正規の案内と見分けられるかという問題があります。演習では新しい送信手段を設定する作業はせず、承認された代替手段の有無と、未整備なら誰が整えるかを決めます。カード4の成果物は、優先連絡先一覧の持ち主、案内の草案、確約できない事項の一覧、次回の公表・連絡時刻です。

カード5：復旧の兆候が見えても、すぐ全面再開しない

最後のカードは「13時、調査担当から一部機能を使える見込みとの連絡。ただし共有ファイルの内容と当日入力した電話注文の整合は未確認」です。ここでは再開の条件を明確にします。技術担当が安全性を確認する項目、業務担当が照合する注文・出荷、顧客へ伝える範囲、監視継続、再停止条件を別々に並べます。「画面が開いたから復旧」とはしません。必要なら一部顧客・一部業務から段階的に再開する案を出します。これはあくまで演習用の判断例で、実環境での安全確認は専門家による調査と自社の管理責任に従います。

参加者には「再開を承認する人は誰か」「何の証拠を見るか」「未処理の電話注文をどう照合するか」「再発の兆候を誰がいつ確認するか」を聞きます。ITだけでなく、業務側の整合確認が抜けがちです。試験的に一件だけ処理すると言うなら、その一件を誰が承認し、失敗した場合どう戻すかを定義します。連絡担当は「全面復旧」と書かず、確認できた範囲と残る制約を示す文案を作ります。今回の訓練は復旧作業そのものではないため、実際の操作手順を証明した扱いにはしません。

カード5の成果物は、再開条件表、照合担当、段階再開の範囲、次回確認時刻、再停止のトリガーです。条件が揃わなければ「再開を見送る」と記録して構いません。演習で最も大切なのは、どの条件が足りないから見送ったのかを示せることです。以上の五枚は、異常検知、業務停止、漏えい疑い、外部照会、復旧判断という順番を保ちます。カードの間に進行役が資料を追加してもよいですが、参加者が答えられないたびに都合の良い情報を追加しないでください。現実に近い不確実性を残すことで、情報不足時の意思決定を観察できます。

業種別に置き換えるときの判断軸

小売であれば決済と配送、製造であれば生産指示と品質検査、医療機関であれば診療と患者安全など、止める業務の意味が違います。シナリオを変更するときは、単にシステム名だけを入れ替えず、「失敗した場合に誰が被害を受けるか」「代替手順があるか」「何時までに判断が要るか」を同時に変えます。受付停止の影響が小さい業務なら判断時間を長く取れますが、安全性や法的義務がかかる業務なら、専門家と規程を先に確認します。演習カードの実務性は、攻撃手法の細部より、業務の締切と情報の不完全さで決まります。

同じ企業が年に複数回行う場合は、前回と同じシナリオを繰り返す意味もあります。ただし前回の課題が直ったかを試す回と、新しい条件を入れる回を分けます。初回の結果が「経営者への連絡先が不明」なら、次回は経営者不在のカードを入れます。前回の結果が「復旧条件がない」なら、再開を迫る営業部門からの問い合わせを追加します。教材に新しい脅威の名前を足すだけでは改善が測れません。何を修正した結果、判断がどう変わったかを比較できる設計が必要です。

実施編｜90分で回す進行台本と記録の残し方

机上訓練は参加者の自由討議だけで進めると、最初の技術論に時間を使い切ります。90分を五つの時間帯に区切り、進行役が情報を渡す時刻と問いを用意します。90分は小規模組織向けの例で、NISTやIPAが全社一律に定めた長さではありません。NIST SP 800-84では、対象者や目的によってシニア層と実務層の演習時間を分けて考えています。自社で初回に短く行うなら、「すべてを話す」より、観察する判断を少数に絞ってください。

開始前の10分：守るルールを示す

進行役は「これは訓練であり、実システム・実顧客に操作や連絡をしない」「採点は個人評価ではなく計画改善に使う」「分からない場合は分からないと言う」「発言より判断の根拠を残す」の四つを説明します。参加者に既存手順書と連絡網を開いてもらいます。使うべき資料が見つからない時点で課題です。資料を主催者がその場で口頭補足し過ぎると、実際には存在しない手順を使えたように見せてしまいます。

参加者の座席やオンライン会議の表示も役割に合わせます。経営判断者、業務担当、IT担当、連絡担当の発言順を決める必要はありませんが、発言しない役割に進行役が質問を投げます。進行役自身が答えを持っているかのように振る舞わず、「現時点の確定事実は何か」「決めるために不足する情報は何か」と問い返します。訓練開始後に新たなルールを追加する場合は、その理由と時刻を記録します。後から採点の前提が変わらないようにするためです。

10〜25分：発見と初期報告

カード1を読み上げたら、記録係が開始時刻を付けます。営業担当役はどの連絡窓口へ何を伝えるか、IT担当役は何を確認できて何はまだ分からないかを答えます。進行役は「いま分かる事実だけを30秒で報告してください」「その連絡先は本当に最新ですか」と促します。参加者が実際の連絡網を開き、担当者が休みの場合を確認できるか見ます。電話をかける必要はありません。使える経路を示せれば十分です。

ここで評価者が見るのは、誰が最初の報告を受けたか、記録が始まったか、調査と業務影響の確認が並行したかです。技術担当が「原因は確定できない」と答えるのは正常です。ただし、調査窓口を設定できず、時間が経つだけなら課題です。実際の事故では技術情報が不完全でも、業務側は受付・出荷の判断を迫られます。初期報告が「異常がある」だけで止まると、経営判断者へ上げる材料が不足します。どの業務に、いつから、どれだけ影響があるかを尋ねる行動を確認します。

25〜50分：停止と代替業務を決める

カード2とカード3を順番に渡します。カード2の時点で、営業・倉庫・情報システムから短い状況報告を集めます。停止の決裁者は必要な情報と不足する情報を明言し、暫定方針を出します。カード3が出たら、漏えい可能性を理由に方針を見直すか確認します。結論を変更した場合、変更前の判断を間違いと即断しません。その時点で利用可能だった情報と、後から入った情報を分けて評価します。新事実に応じて見直せる仕組みが大切です。

進行役は「代替受付に使う帳票はどこにありますか」「誰が二重処理を照合しますか」「情報漏えいの可能性について、今は何が確認されていませんか」と質問します。技術論へ寄り過ぎたら、業務影響と顧客影響へ戻します。逆に営業だけで結論を出したら、技術・法務の確認が必要な部分を問い直します。どちらかの部署が正しいという訓練ではなく、意思決定のために情報を結び付ける訓練です。

判断者にカードを渡すとき、進行役は「停止した場合の影響」「続けた場合の影響」「未確認の情報」を一つずつ聞きます。参加者が「とりあえず全部を止める」と答えたら、どのシステム、注文、倉庫指示までかを定義します。逆に「続ける」と答えたら、誤処理や二重注文をどう発見するかを聞きます。採点対象は正解の選択肢ではなく、範囲・条件・承認が説明できるかです。この時点で、次の判断を見直す時刻を必ず決めます。

50〜75分：社外連絡の判断

カード4を示し、連絡担当へ「今伝えられること」と「まだ伝えられないこと」の二列を作ってもらいます。営業が確定した出荷見込み、ITが調査の進捗、経営が承認した方針を確認し、対外案内の草案へ反映します。連絡文そのものは短くて構いません。重要なのは、事実確認者と発信承認者が分かり、発信後に新情報が入った場合の訂正経路があることです。顧客ごとに違う確約をしないよう、一元化された情報源を持てるかも観察します。

進行役は、架空の記者質問やSNS投稿を一度に追加しないでください。初回は主要取引先の照会一つに絞ります。広報チームがいない企業なら、誰が公式回答をまとめるのかを確認します。営業現場が自分の担当顧客へ個別に話すことと、会社として公開する案内の関係も整理します。連絡が必要な相手の優先順位は、自社の契約・安全・業務影響で変わるため、固定の一覧を押し付けません。問うべきは「誰が優先順位を決め、どこに記録するか」です。

情報漏えいの疑いがある設定では、法的な報告や本人通知を営業部門だけで決めないようにします。個人情報保護委員会の公式案内と社内規程を参照し、事実確認と専門家相談の担当を付けます。訓練中に法律論の正解を全員で探し続けると、他の判断が止まります。「法務確認が必要」という状態を、担当、期限、暫定連絡内容とともに記録すればよいです。本番では事案の内容に応じた法的判断が必要なので、演習のサンプル回答をそのまま通知義務の結論に使わないでください。

75〜90分：復旧条件、振り返り、宿題

カード5を渡し、再開条件を技術面と業務面に分けます。「システムに入れる」だけでなく、入力した注文と出荷データの整合、顧客への案内、再発兆候の監視を確認します。参加者が条件不足のため再開を見送る判断も評価します。目標は時間内の全面再開ではなく、誰が何を見たら安全に業務へ戻れるかを明らかにすることです。最後の10分では新しい情報を出さず、記録係が未解決事項を読み上げます。進行役がその場で課題の重大度と担当者を仮決めし、訓練後のレビュー日時を確保します。

「良かったこと」と「困ったこと」を感想だけで終わらせず、各発言を修正可能な手順に変えます。「連絡が遅かった」なら、連絡網の版が古いのか、判断権限が不明なのか、初報に必要な事実が多過ぎるのかを分けます。「誰も注文照合を担当しなかった」なら、担当者と二重チェックの方法を改善票へ書きます。進行役は参加者を責めないでください。問題を隠さず出す方が次回の対応力につながります。

目安時間	進行役が渡すもの	参加者が残すもの	観察ポイント
0〜10分	目的・役割・禁止事項	使用資料、担当の確認	手順書と連絡網が見つかるか
10〜25分	カード1	初期報告、事実・未確認の区分	最初の連絡が通るか
25〜50分	カード2、カード3	停止範囲、代替業務、調査依頼	判断者と見直し条件があるか
50〜75分	カード4	対外案内案、承認者、次回更新	確約できないことを区別するか
75〜90分	カード5、振り返り	再開条件、課題表、担当・期限	改善へつながる証拠が残るか

記録係が残す「判断ログ」の書き方

判断ログは、単なる議事録より短く、後から再現できる形式にします。一行を「演習上の時刻／新しい事実／決定したこと／決定者／根拠／保留事項／次回確認時刻」で構成します。発言が多い会議ほど、結論と仮定を分ける必要があります。進行役が「今のは決定ですか、案ですか」と確認し、記録係が書く時間を作ります。ログの空欄がある場合は、演習後に推測で埋めません。「演習中に決められなかった」と残すこと自体が発見です。

例として、カード2の時点では「10時15分、倉庫が最新の出荷指示を参照できないことを確認。経営者が新規注文の出荷指示だけ一時停止を承認。既に確認済みの注文は別表で点検する。理由は重複出荷と誤出荷を防ぐため。顧客への案内内容は未決。11時に業務担当と技術担当の情報で見直す」と記録します。ここに実際の顧客名や担当者の個人連絡先は不要です。公開記事の例も架空です。

オンライン開催の場合は、会議録画の有無と保管先を先に決めます。録画があるから判断ログは不要、とはしません。後から一時間半の映像を見ないと意思決定が分からないのでは改善が進みません。ログはリアルタイムで作り、録画は必要なら確認資料にします。外部支援者を入れるなら、業務情報の共有範囲と守秘義務を確認してください。演習資料自体が攻撃者にとって役立つ内部構成を含む可能性があるため、配布先と保存期限も定めます。

進行が止まったときの戻し方

参加者が「そのシステムのログがないと答えられない」と止まったら、進行役は架空のログを大量に作る必要はありません。「何を確認したら判断できるか」「確認までの暫定措置は何か」と聞きます。技術に詳しい人が一人で話し続けたら、現場責任者に業務影響を、経営者に承認条件を聞きます。攻撃の原因を推理するゲームになったら、演習目的へ戻します。反対に結論だけが素早く出る場合は、根拠と再評価条件を確認します。

情報カードの表現が曖昧で参加者が混乱したなら、進行役は演習上の前提を明示してよいです。ただし内容を修正した時刻を記録し、採点時に考慮します。シナリオの欠陥を参加者の欠点にしないためです。訓練は評価者の設計も検証します。たとえば「委託先が何も答えない」という設定で技術判断を求めるのは不公平です。必要最低限の情報と、意図的に未確認とする情報を設計票で分けます。演習後は情報カード自体の改善点も残します。

出席者が少ないときの運用

従業員10人前後の会社では、社長が営業と広報を兼ね、総務が記録も担うことがあります。その場合は進行役を外部支援者や別部署の人に頼むか、役割カードを机に置き、発言時にどの役割で話しているかを言います。同じ人が「顧客担当としては続けたい」「経営判断者としては停止すべき」と異なる意見を持つことがあります。役割を分けて言葉にすると、兼務による意思決定の混線を見つけられます。採点係が確保できない場合は、記録係が客観的な事実だけ残し、後日別の管理者が評価します。

夜間対応を想定するなら、最初の回から深夜に集める必要はありません。通常時間帯の訓練で夜間シナリオを使い、「当番が誰か」「代理が不通なら誰か」「委託先の受付時間は何時までか」を確認します。実際に電話をかけるテストは、相手の了承と事前の実施計画がある別の機会に行います。机上だけでは連絡先が実際に応答するか分からない、という限界も評価表へ明記します。

評価と改善｜採点表を30・60・90日の行動に変える

訓練の成否は、誰かが正答を言ったかではなく、対応手順の欠陥を見つけ、担当と期限を付けて直したかで判断します。NIST SP 800-84は、演習の実施だけでなく、評価と改善計画へつなげる流れを扱っています。IPAの実践事例も、初回は一連の対応を経験し、次回以降に判断を深める段階的な進め方を紹介しています。社内で採点表を作るときは、公的な認証を受けた点数のように見せず、「自社の改善優先度を決めるための内部指標」と明記します。

五項目を0〜2点で採点する

小さな組織では複雑な採点モデルより、五項目を三段階で評価する方が続きます。0点は手順・担当がなく行動に移せない、1点は担当者の経験で一応対応できたが文書や代理が弱い、2点は手順・権限・記録が確認できた状態です。五項目は「事実と仮説の区分」「報告・エスカレーション」「停止・継続の判断」「社内外の連絡」「再開条件と記録」です。合計10点をランキングに使わず、どの項目に欠陥があるかを見ます。点数の根拠として、訓練中の発言やログの行を紐付けてください。

評価項目	0点の例	1点の例	2点の例	見る証拠
事実と仮説	漏えいを確認前に断定	口頭で区別した	記録表で区別し更新した	状況報告、判断ログ
報告経路	判断者が不明	個人の記憶で連絡	代理含む連絡網を確認	連絡先、報告時刻
停止判断	範囲・決裁者がない	決裁したが条件が曖昧	範囲、条件、見直し時刻を記録	停止指示、承認記録
連絡	推測を確約した	担当はいたが承認不明	事実・未確認・次回更新を整理	社内外案内案
再開	画面が開けば全面再開	技術確認だけ実施	技術・業務の条件を分けた	再開条件表、照合担当

点数だけの比較には注意が必要です。初回と二回目でシナリオや参加者が大きく違えば、合計点を直接比較できません。前回と同じ条件の短い再演習を一部に入れ、「前回0点だった連絡網が改善されたか」だけを比較する方法が実務的です。また、正しい手順書があっても、その場で見つけられなければ2点にはしません。手順の存在と、利用可能性は別です。評価者は「どの資料のどの版を開いたか」を記録します。更新された手順書が配布されていない場合、課題は文書管理です。

欠陥を「重大度×直しやすさ」で分類する

訓練後の課題表に十件以上並ぶことがあります。すべてを「至急」とすると、誰も終えられません。重大度は、顧客安全、個人情報、事業停止、契約、費用への影響で判断します。直しやすさは、社内決裁だけで済むか、委託先やシステム改修が要るかで判断します。「経営者の代理連絡先が古い」は重大度が高く、更新は容易です。先に直します。「代替受注の自動照合がない」は重大度が高くても改修が必要なら、暫定の二重チェックと中期のシステム対応に分けます。

重大度の判断は演習上の架空設定だけで決めず、実際の事業への影響も確認します。たとえば誤出荷一件の損失が小さくても、医薬品や安全に関わる製品なら影響は大きくなります。担当部門が「実際はそんなに困らない」と言う場合は、なぜ困らないかを示す既存の代替手順を確認します。逆に「絶対に困る」と言う場合は、締切、件数、損失、顧客への影響を具体化します。評価者の主観で深刻度を付けると、改善投資の優先順位が歪みます。

課題表には「発見」「証拠」「原因仮説」「暫定措置」「恒久対策」「責任者」「期限」「完了証拠」「再演習の方法」の列を置きます。たとえば「連絡が遅かった」だけでは作業になりません。「経営者不在時の代理連絡先が最新版の連絡網に記載されていなかった。総務責任者が当番表と代理者を更新し、翌週の連絡先確認で全員が参照できることを確かめる」と書きます。次の演習で、代理者がすぐ選べるかを再確認します。

30・60・90日の改善計画を作る

30日目までには、連絡網の更新、権限表、初期報告の様式、対外案内の承認経路など、文書と人の運用で直せる課題を扱います。各課題の所有者を一人定め、完了証拠として更新した資料、承認日、配布先を残します。関係者へ新しい手順を知らせるだけでなく、どこに置かれ、誰が開けるかを確認します。ファイルの保存先が不明なら、本番では役に立ちません。期限が来ても承認が止まっている場合は、経営判断者へ未解決のリスクを上げます。

60日目までには、前回の弱点だけを含む短い再演習を行います。たとえば15〜30分で、経営者不在、メール不通、顧客からの照会の三条件を再提示します。すべてのシナリオを初めから繰り返す必要はありません。課題に関わる役割が実際に新しい手順を使えたかを確認し、使えないなら文書の場所、教育、権限のどこが障害かを再評価します。ここでは「資料を更新した」ではなく「資料を使えた」が完了条件です。紙に印刷した古い版が残っている場合は、版管理も課題です。

90日目までには、技術テストと業務継続テストの必要性を整理します。机上で見つかった「バックアップは本当に復元できるか」「電話注文を後で照合できるか」は、議論だけで解決しません。対象環境、担当者、日時、停止の許容範囲、復旧方法を定め、別途承認を取ってテストします。実環境を扱う作業には、業務への影響と失敗時の戻し方が要ります。90日という期間は例であり、重大な欠陥をそれまで放置する意味ではありません。優先順位の高い問題は早く対処します。

時点	主な成果物	完了条件	進まない場合の対応
30日	権限表、連絡網、判断ログ様式	承認され、担当が参照できる	決裁者へ未解決リスクを報告
60日	弱点に絞った再演習結果	修正した手順を参加者が使える	原因を文書・教育・権限へ分ける
90日	実機・代替業務テスト計画	対象、手順、戻し方が承認済み	暫定措置を明示し優先順位を再設定

外部委託先を含めた再演習

監視、保守、クラウド、物流の委託先が実際の事故で重要な役割を持つなら、社内だけで完結する訓練には限界があります。ただし、最初から全社・全委託先の合同演習を組むと調整が重くなります。初回は自社だけで境界を整理し、二回目以降に委託先の担当者を招く方法があります。招く前に、どの情報を共有し、どの判断は自社が持ち、何を委託先へ依頼できるかを契約・運用資料と照合します。「委託先が全部やる」という思い込みがあれば、早めに解消します。

合同演習では、委託先に架空のログや回答を用意してもらってもよいですが、その回答が実際のサービス範囲と一致することを確認します。契約上、夜間調査が含まれないのに、演習で即時対応を前提にすれば誤った安心感を持ちます。自社の判断権限を委託先へ渡すこともできません。発見、調査、報告、顧客通知、再開承認の責任分界を表にし、演習で曖昧になった箇所を契約担当と確認します。委託先の機密情報や他社の事故例を無断で資料へ転載しないことも必要です。

経営会議へ報告するときの一枚

訓練結果を経営者へ報告するときは、長い議事録を渡すだけで終わらせません。目的、参加者、重大な発見三件、事業への影響、暫定措置、恒久対策の費用や担当、次の演習日を一枚にまとめます。重要な発見は点数の低さではなく、「受注停止を決裁する代理者が決まっていない」「メール停止時の対外連絡先が使えない」「電話注文の照合手順がない」のように業務へ結び付けます。経営者が判断するのは、対策費用、人員、委託、許容リスクです。演習担当者は、その判断に必要な選択肢を示します。

改善の予算が限られる場合は、発生可能性だけでなく影響の大きさと対策の実現性で優先します。連絡網の更新や代理権限の明確化は低コストで改善しやすい一方、代替システムの構築には時間と費用がかかります。後者を延期するなら、暫定の手作業、二重チェック、対象業務の制限、利用者への説明をどうするかを決めます。「予算がないので対策しない」という一文だけでは、未解決の影響を誰も引き受けていません。経営会議の決定には、延期したリスクと見直し日を記録します。

よくある質問：年に何回やればよいか

すべての企業に共通する固定回数はありません。業務の重要度、システム変更、担当者の入れ替わり、前回の課題の重さで決めます。初回で重大な欠陥が見つかったなら、1年後まで待つのではなく、改善後に短い再演習を行います。新しい委託先へ切り替えたとき、受注システムを更新したとき、事業所を増やしたときも良いタイミングです。定期演習を計画するなら、毎回同じ全社シナリオにせず、経営判断、現場代替業務、委託先連携など焦点を変えます。実施回数を増やすこと自体を成果にしないでください。

よくある質問：計画が未完成でも始めてよいか

始められます。ただし「既存計画の検証」ではなく「必要な計画項目の発見」と位置づけます。最低限、緊急連絡先、対象業務、誰が停止を決めるか、外部の支援先、記録係を仮に決めてから実施します。訓練中に答えられなかった問いを責めず、整備すべき手順として扱います。全員が臨機応変に対応するだけでは、次の担当者に引き継げません。訓練結果を使って小さな初版を作り、二回目で使えるか確かめる方が、完全な計画を机上で長く作り続けるより前に進みます。

よくある質問：IT担当が一人でも実施できるか

できます。むしろ一人に依存する問題を見つけやすいです。経営者、業務責任者、顧客対応担当を必ず参加させ、技術担当を「答えを全部知る人」にしないことが条件です。IT担当が不在のカードを入れ、社内に残る情報と外部委託先の連絡先でどこまで判断できるか確認します。機密情報を扱わない範囲で、第三者に進行役を頼む方法もあります。技術的な細部に答えられない場合は、専門家へ何を質問するかを作ることが訓練成果です。IT担当を責めるための演習にしないでください。

よくある質問：無料のIPA教材だけで十分か

IPAの教材は出発点として有用です。中小企業向けのランサムウェア感染シナリオと実施マニュアルが公開されています。ただし、その教材が自社の承認権限、業務締切、委託契約、顧客への約束を知っているわけではありません。最初は教材の進行方法を学び、その後、自社の止まる業務と連絡経路へ置き換えてください。教材の実施だけで、バックアップの復元やネットワーク隔離が実際に機能することまでは証明できません。机上で出た技術的な疑問は、別の実機テストへ移します。

よくある質問：オンラインだけでもできるか

できます。ただし、オンライン会議システムやメールが使える設定での演習と、それらが止まる設定での演習は別です。後者を想定するなら、訓練当日は通常の会議ツールで話しながら「本番ではこの経路は使用不可」という制約をカードに書きます。参加者が現実の連絡網、代替手段、承認者を示せるかを観察します。単にチャットへ正解を書くだけでは、電話や紙の台帳へ切り替える実務を検証できません。通信手段の実働確認は、相手の了承を得た別の連絡テストで行います。

よくある質問：訓練結果を社外へ公開すべきか

一律に公開する必要はありません。訓練資料には内部の弱点、連絡経路、システム構成が含まれる可能性があるため、通常は社内で保護して扱います。取引先からセキュリティ体制を聞かれた場合は、訓練を実施した事実と改善の方針を、契約や守秘義務の範囲で説明します。弱点の詳細、連絡先、監視方法をそのまま渡さないでください。公開範囲を決める責任者を置き、営業担当が個別に異なる説明をしないようにします。改善が未完了なのに「万全」と宣伝することも避けます。

最終チェック：次回の訓練が決まっているか

この記事の表を埋めるだけでは完了しません。訓練日、参加者、進行役、対象業務を決めます。終わったら、判断ログと評価表を保存し、重大な課題に担当者と期限を付けます。改善後に短い再演習で使えるか確認し、復元や代替業務は実機で別途試します。社内の手順と教育体制を整えるときは、現場が無理なく続けられるよう、ひな形や記録方法を統一してください。訓練を年間予定へ入れるなら、四半期ごとに課題の進捗を経営会議で点検する方法もあります。ここで示した回数や日数は一律の義務ではなく、改善を止めないための実務案です。

評価表の記入例：点数より証拠を先に書く

架空の演習で、営業からの異常報告は経営者まで届いたが、経営者不在時の代理者が誰か分からなかったとします。この場合、「報告経路」を機械的に2点にしません。連絡は通ったものの、特定の人がいたから成立したので、評価は1点とし、証拠欄に「営業担当は9時18分に経営者へ直接報告。代理者の記載なし」と書きます。課題欄には「休日・不在時に決裁できない」と書き、対策欄には「代理権限と当番表を更新」と書きます。点数だけでは次に何をするか分かりませんが、この記録なら担当者へ渡せます。

別の例として、広報担当が「データ流出はない」と言い、技術担当はまだ調査中だった場合、連絡の項目は0点にします。これは広報担当を責める評価ではありません。確認済みの事実を共有するルートと承認フローが弱いという組織の問題です。改善策は「広報を叱る」ではなく、外部へ出す文案に、確認済み事実、未確認事項、次回更新時刻、承認者の欄を設けることです。次回演習では、新しい文案様式を使って同じ質問へ答えられるか確認します。個人への印象で採点しないことが、改善を継続する条件です。

再開条件が口頭では示されたが、注文の照合担当が決まっていなかった場合も、再開項目は1点にとどめます。技術面の復旧と業務面の整合を分けられたかを確認し、後者が抜けていれば課題です。評価者が迷ったら、2点の根拠となる文書やログを参加者へ尋ねます。見つからないなら「今回は確認できなかった」と記録します。実際には手順が存在していたとしても、演習中に参照できなければ本番でも見つけにくい可能性があります。評価の場で後から資料を出して点数を上げるより、なぜ見つからなかったかを改善します。

改善が進まないときの三つの分岐

第一に、担当者が忙しくて手順書の改訂が進まない場合です。課題を大きな一件にせず、連絡先の更新、承認者の確認、配布先の確認へ分割します。各作業に半日もかからないようにし、週次の定例で進捗を見ます。それでも進まなければ、優先順位を決める経営者の判断が必要です。改善作業を通常業務の隙間で「できればやる」とする限り、次回演習でも同じ問題が出ます。

第二に、委託先や他部署の同意が必要な場合です。自社だけで決められる暫定措置と、契約・運用変更を伴う恒久対策を分けます。たとえば夜間の調査受付がないことが分かったら、契約変更の可能性を確認すると同時に、現行契約の範囲で誰へ電話するか、翌朝まで何を保全するかを決めます。委託先が応答するはずだという仮定を手順書へ書かないでください。回答期限が来ても調整できない場合は、リスクとして経営者へ上げます。

第三に、技術的な解決策の費用が大きい場合です。たとえば別拠点の代替受注システムが必要と見えても、短期で導入できないことがあります。その間は、紙の受付表の版管理、二人での注文照合、扱う注文の上限、顧客への説明を暫定措置として設計します。ただし暫定措置に過大な処理能力を期待しないでください。実際に処理できる件数は、別の業務継続テストで測ります。費用を理由に延期する判断はあり得ますが、延期したリスク、再検討時期、暫定措置の責任者を記録します。

訓練の成果を翌年へ引き継ぐ

担当者が異動すると、演習で得た知見が消えることがあります。判断ログ、評価表、改善票、更新した手順書、次回に入れるシナリオ条件を一つの管理場所へ集め、文書の版と更新責任者を付けます。誰でも閲覧できる公開フォルダーではなく、必要な担当者が確実にアクセスできる範囲へ置きます。個人情報や詳細なシステム構成が含まれる資料には閲覧権限を設定します。次回の進行役は、前回の低得点と未解決課題を読み、同じ判断を再度確かめるカードを作ります。

引き継ぎの会議では「訓練を実施した」という事実より、「どの手順を変更し、誰が使えることを確かめたか」を確認します。手順の改訂、教育、短い再演習、実機テストがつながれば、机上で見つけた弱点を実務の改善へ変えられます。逆に画像付きの立派な報告書だけが残り、代理者も連絡網も未更新なら、演習の成果は見た目ほどありません。次の訓練日を決める前に、前回課題の完了条件を満たしたかを確認してください。

人手が足りず、演習資料や判断ログの整備に着手できない場合は、ランサムウェア初動の整理で本番の流れを確認し、自社で決めるべき役割を先に洗い出してください。社内の文書整理やAI活用を学び、日常の手順づくりを効率化したい方にはWithAIの学習案内もあります。ただし、AIが作った訓練シナリオや対外文案は、機密情報を入力せず、実際の権限・法令・契約・業務と担当者が照合してから使用してください。AIに最終的な停止判断や法的判断を委ねないことが重要です。

WithAIで、業務手順を整理する力を学ぶ。 演習の記録を次の改善へつなげたい方は、学習内容を確認してください。

参考・確認日：2026年10月30日。IPA「セキュリティインシデント対応机上演習教材」、IPA「無理なく実践するインシデント対応演習」、NIST SP 800-84、NIST Incident Response Preparation Resources、個人情報保護委員会「漏えい等事案への対応」。90分の配分、5枚のカード、0〜2点の採点、30・60・90日の改善計画は本記事独自の実務例です。