--- id: "cybersecurite-008" title: "サイバーセキュリティ机上演習（机上訓練）: 危機管理組織を試す5つの実践的インジェクト" description: "サイバー攻撃発生時の意思決定を試す机上演習（テーブルトップ演習）。サプライチェーン侵害やランサムウェア、個人情報漏えいなど、経営層やCSIRTの実効性を揺さぶる5つの実践的インジェクトシナリオを解説します。" canonical: https://startbrain.io/ja/cybersecurity/cybersecurity-tabletop-exercise-scenarios-japan-ciso/ slug: "cybersecurity-tabletop-exercise-scenarios-japan-ciso" date: "2026-09-08" category: "cybersecurite" product: "cinag" lang: ja author: "Brain Security · サイバー＆ヒューマンリスク研究開発部門" frameworks: "IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001" --- # サイバーセキュリティ机上演習（机上訓練）: 危機管理組織を試す5つの実践的インジェクト 作成されたインシデント対応計画書（対応マニュアル）は、往々にしてキャビネットの奥深くで埃をかぶっているか、ランサムウェア被害の最中にはアクセスできない共有フォルダに眠っているのが現実です。いざ攻撃のアラートが鳴り響いた瞬間、机上の想定や理論上の自信は一瞬で崩れ去ります。経営層・取締役会、事業部門の責任者、そして情報システム部門やCSIRT・SOCの実務担当者がサイバー攻撃の生々しい現実に直面するための最も有効な手段が、机上演習（テーブルトップ演習）です。しかし、多くの演習は筋書き通りの線形かつ予定調和な進行にとどまり、参加者が本当のリスク判断を迫られることなく終わってしまっています。 組織の真のレジリエンスを検証するためには、机上訓練で平時の予定調和を徹底的に壊す必要があります。参加者は、情報の非対称性、曖昧な状況証拠、そして刻一刻と迫る時間的プレッシャーの中で決断を下さなければなりません。単なる形式的な会議を、組織の生き残りをかけた実践的検証へと昇華させるための効果的なインジェクト（状況付与）設計手法を解説します。 --- ## 組織の実態に即した机上演習シナリオをどう構築すべきか？ > **要点まとめ : 実効性の高い机上演習シナリオを策定するには、自社の重要リスクの棚卸し、インジェクトと呼ばれる段階的な状況付与、意図的な技術的不確実性の導入、そして情報システム部門単独ではなく法務、人事、広報、事業部門を巻き込んだ横断的な体制設計が不可欠です。** 机上演習の成否は、提示されるシステムログの専門的な難解さではなく、参加者に迫る経営判断や業務判断の難易度で決まります。形骸化を防ぎ、真に意味のあるワークショップを構築するためには、次の3つの原則を守る必要があります。 - **実環境へのアンカー設定 :** 自社が実際に依存している基幹委託先、クラウドサービス、実際の社内コミュニケーションツール、そして業務上の脆弱な時期（四半期決算、大型連休、年末年始など）をターゲットに設定します。 - **危機の段階的なエスカレーション :** 当初は一見些細に見える小さな兆候（弱シグナル）から開始し、初動検知と社内報告（エスカレーション）の連携を試した上で、事業停止レベルの重大インシデントへと発展させます。 - **痛みを伴う意思決定の摩擦 :** どの選択肢を選んでも損失やリスクが発生する、倫理的、財務的、法的なジレンマを意図的に組み込みます。 役員や事業部門リーダーの意思決定力を極限状態で鍛え上げる手法として、[Cybersecurity is not a game](/en-us/catalog/cybersecurity-is-not-a-game/)のような没入型シミュレーションを活用し、経営層やCSIRTがリアルな葛藤と判断に向き合える環境を整えることも極めて効果的です。 --- ## 危機管理組織の対応力を揺さぶる5つの実践的インジェクト > **要点まとめ : 危機対応能力を試すために不可欠な5つのインジェクトは、信頼するIT委託先の侵害、基幹システムの突然の停止、機微な人事データの流出脅迫、SNS上での公開告発、そして社内緊急連絡網のダウンを組み合わせたシナリオです。** 演習中に段階的に投入し、組織の対応力と反射神経をストレステストするための5つの具体例を紹介します。 ### 1. 初動インジェクト: 信頼する運用委託先（MSP/SIer）の侵害発覚 金曜日の17時15分、基幹インフラの運用保守を委託しているSIerの担当者から緊迫した連絡が入ります。委託先社内の特権管理環境が外部からの不正アクセスを受け、封じ込めに失敗。さらに、過去48時間にわたり、貴社ネットワークへのリモート保守アカウントから不審なアクセスが複数回記録されていることが判明します。 *検証ポイント :* 外部委託先契約に基づくSLAやインシデント報告体制の確認、業務を完全停止させずに外部接続のみを迅速に遮断できる判断権限、パニックに陥らず事態を適切にレベル分け（トリアージ）できるか。 ### 2. 業務停止インジェクト: ERP・生産管理システムの全面暗号化 翌朝、ERPや生産管理システムのデータベース応答が停止。情シスの管理コンソール上では大量のファイルが次々と暗号化されており、ドメインコントローラ上にはメッセージが残され、特定の通信手段でのコンタクトを要求されます。工場の製造ラインや物流拠点の出荷業務は完全に停止します。 *検証ポイント :* 経営層への緊急招集基準と正式な危機対策本部の立ち上げ、紙伝票や手作業による代替運用（コンティンジェンシープラン）への移行判断、納期遅延や製造停止に対する事業部門トップの状況判断。 ### 3. 法的・規制インジェクト: 機微な人事・給与データの外部流出 技術チームがバックアップからの復旧手順の調査に追われる中、個人情報保護担当者宛てに匿名のアドレスから直接メールが届きます。添付されていたのは、役員および全社員500名分の給与明細、口座情報、人事評価、身分証の写しです。攻撃者は、12時間以内に指定の手続きを踏まなければ全データをダークウェブ上に公開すると脅迫しています。 *検証ポイント :* 個人情報保護委員会（PPC）への義務報告（速報・確報の判断）および個人情報保護法（APPI）への適合性評価（グローバル企業の場合はGDPR対応）、労働組合や従業員への説明責任、社内パニックの抑止。 ### 4. レピュテーションインジェクト: X（旧Twitter）やLinkedInでの公開告発 フォロワー数の多いセキュリティ系インフルエンサーのアカウントが、貴社から流出したとされる機密文書のキャプチャを投稿。代表取締役社長のアカウントや主要メディアのアカウント宛てにメンションを飛ばして拡散を開始します。重要顧客からの問い合わせ電話が営業部門に殺到し始めます。 *検証ポイント :* 広報部と危機管理本部の同期、社内外に向けたステートメントの公表基準、勝手な発信を防ぐためのスポークスパーソンの一元化（情報発信源の統制）。 ### 5. 技術的トラブルインジェクト: 緊急時連絡ツールの使用不能 対策本部が対応策を協議しようとした矢先、社用のMicrosoft 365やGoogle Workspaceの認証基盤に障害が発生し、社内メールやTeams/Slackが使えなくなります。同時にオフィスのIP電話も不通に。現場が慌てて私用のチャットアプリで作成した非公式グループのセキュリティにも疑義が生じます。 *検証ポイント :* 事前に策定されたOut-of-band（帯域外/別系統）連絡体制の実効性、シャドーITに依存しない非常時指揮命令系統の維持能力。 --- ## 訓練結果を組織のレジリエンス強化にどう結びつけるか？ サイバーセキュリティ机上演習の目的は、責任追及や担当者のミス探しではなく、実際の攻撃者に悪用される前に自社の「構造的な死角」を洗い出すことです。セッション終了直後には、ファシリテーター主導で約30分間の即時振り返り（ホットウォッシュ）を実施し、参加者の心理的負荷や判断のボトルネック、機能した点を速やかに吸い上げます。 演習後、数日以内に詳細な振り返り（RETEX）をレポート化し、見つかった課題を具体的なアクションプランへと落とし込みます。 - **アクションカード（初動対応手順）の明確化 :** ネットワークの物理遮断や主要クラウドサービスのアカウント停止を実行できる最終決定者が誰であるかを明確に定義します。 - **外部報告基準の再定義 :** 警察（サイバー犯罪対策課）、経済産業省や総務省等の主務官庁、IPA、JPCERT/CC、サイバー保険会社、フォレンジック専門ベンダーへの連絡基準と初動フローを精緻化します。 - **定期的な訓練の定着化 :** 人事異動やサプライチェーン環境の変化に対応するため、年に最低2回はシナリオを変えて訓練を反復します。 経営層を巻き込んだ本格的な危機管理体制の構築や、現場の課題に合わせた実践的なサイバー危機演習の設計については、[Brain Securityの専門チームまでご相談ください](/en-us/book-a-demo/)。 ### Risk & Countermeasure Matrix: サイバーセキュリティ机上演習（机上訓練）: 危機管理組織を試す5つの実践的インジェクト | Critical Point Identified | Operational Analysis & Mechanism | Guide Section | | --- | --- | --- | | **実環境へのアンカー設定** | 自社が実際に依存している基幹委託先、クラウドサービス、実際の社内コミュニケーションツール、そして業務上の脆弱な時期（四半期決算、大型連休、年末年始など）をターゲットに設定します。 | 組織の実態に即した机上演習シナリオをどう構築すべきか？ | | **アクションカード（初動対応手順）の明確化** | ネットワークの物理遮断や主要クラウドサービスのアカウント停止を実行できる最終決定者が誰であるかを明確に定義します。 | 訓練結果を組織のレジリエンス強化にどう結びつけるか？ | | **危機の段階的なエスカレーション** | 当初は一見些細に見える小さな兆候（弱シグナル）から開始し、初動検知と社内報告（エスカレーション）の連携を試した上で、事業停止レベルの重大インシデントへと発展させます。 | 組織の実態に即した机上演習シナリオをどう構築すべきか？ | | **外部報告基準の再定義** | 警察（サイバー犯罪対策課）、経済産業省や総務省等の主務官庁、IPA、JPCERT/CC、サイバー保険会社、フォレンジック専門ベンダーへの連絡基準と初動フローを精緻化します。 | 訓練結果を組織のレジリエンス強化にどう結びつけるか？ | --- ## 関連コラムおよびBrain Securityのソリューション ### このテーマに関連するおすすめ記事 - **[CISOのメンタル負荷と孤立を防ぐ : セキュリティを情シス単独から全社共通の責任へ変革する方法](/ja/cybersecurity/ciso-mental-load-cyber-shared-responsibility-japan/)** (Cyber Crisis & Ransomware) : CISOや情シスの過度な負担と孤立を解消し、セキュリティを全社共通の経営課題にするための実践的アプローチ。経済産業省ガイドラインを踏まえ、経営層や現場部門を巻き込むガバナンスと意識改革の要点を解説します。 - **[個人情報漏えい対応: 報告期限の成否が現場社員の初動にかかっている理由](/ja/cybersecurity/incident-reporting-human-layer-ciso-japan/)** (Cyber Crisis & Ransomware) : 個人情報保護法やGDPRの迅速な事故報告を左右するのは監視ツールではなく現場社員の一次報告です。懲罰への恐れを払拭し、ヒューマンエラーを即座にエスカレーションさせる心理的安全性の構築手法を解説します。 - **[サイバーインシデントの事後検証（ポストモーテム）: ヒヤリハットを組織全体のレジリエンス向上に変える実践法](/ja/cybersecurity/cyber-incident-post-mortem-near-miss-ciso-japan/)** (Cyber Crisis & Ransomware) : セキュリティインシデントやヒヤリハットを形骸化させず、組織の学習機会に変えるポストモーテム（事後検証）の手法を解説。非難ゼロの文化を構築し、実際の現場リスクを効果的な実践型訓練シナリオへ昇華させるステップを提示します。 - **[NIS 2指令と経営陣の法的責任 : 45分で取締役会・経営層を巻き込むセキュリティ研修の進め方](/ja/cybersecurity/nis2-boardroom-cybersecurity-crisis-simulation-ciso/)** (Compliance (NIS 2, DORA, ISO)) : NIS 2指令で義務付けられる取締役会や経営層向けのサイバーセキュリティ研修を45分で成功させる方法を解説。危機管理シミュレーションと実践的な経営判断シナリオを通じ、多忙な役員の当事者意識を高めるノウハウをご紹介します。 ### Brain Securityの製品・ソリューション一覧 - **関連ソリューション : [Cybersecurity is not a game](/en-us/catalog/cybersecurity-is-not-a-game/)** : 経営層・危機管理チーム向けのサイバー危機対応シミュレーション（Cybersecurity is not a game）：実践的な意思決定演習。 - **[課題・業界別のユースケースを見る](/en-us/use-cases/)** - **[サイバーセキュリティ＆AI意識向上フォーマットを比較する](/en-us/compare/)** - **[Brain Securityの製品カタログをすべて見る](/en-us/catalog/)** - **[導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）](/en-us/book-a-demo/)** --- - https://startbrain.io/ja/cybersecurity/cybersecurity-tabletop-exercise-scenarios-japan-ciso/ - [Français](https://startbrain.io/fr/cybersecurite/exercice-tabletop-cybersecurite-scenarios-injects/) - [Deutsch](https://startbrain.io/de/cybersecurity/cyber-tabletop-exercise-szenarien-krisenstab/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/cyber-tabletop-exercise-inject-scenarios-crisis-management/) - [English (US)](https://startbrain.io/en-us/cybersecurity/cybersecurity-tabletop-exercise-realistic-injects-scenarios/) - [Español](https://startbrain.io/es/cyberseguridad/ejercicio-tabletop-ciberseguridad-escenarios-injects-crisis/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/esercizio-tabletop-cybersecurity-scenari-inject-crisi/) - [Nederlands](https://startbrain.io/nl/cybersecurity/cybersecurity-tabletop-oefening-scenario-injects/) - [Português](https://startbrain.io/pt/ciberseguranca/exercicio-tabletop-ciberseguranca-cenarios-injects-crise/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/cwiczenia-tabletop-cyberbezpieczenstwo-scenariusze-kryzysowe/) - [Svenska](https://startbrain.io/sv/cybersakerhet/tabletop-ovning-cybersakerhet-scenarier-krisledning/) - [Dansk](https://startbrain.io/da/cybersikkerhed/tabletop-cyber-ovelse-injects-krisestab-ciso/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/kyberturvallisuus-tabletop-harjoitus-skenaariot-kriisiryhma/) - [Norsk](https://startbrain.io/no/cybersikkerhet/tabletop-ovelse-cybersikkerhet-scenarier-krisehandtering/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/cybersecurity-tabletop-exercise-injects-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)