中小企業がサイバー攻撃シナリオの机上演習を初めて実施する際の設計要件と経営者が参加する意義

2026年10月29日2026年11月3日

「サイバー攻撃を受けたとき、誰が何を判断するのか」——この問いに答えられる中小企業の経営者は、まだ少数派です。

ランサムウェア感染やフィッシング詐欺による被害が後を絶たない中、被害を受けた後に「インシデント対応マニュアルはあったが誰も使えなかった」「経営者に報告するタイミングが分からなかった」と気づく企業が多くあります。

この記事では、中小企業が初めてサイバー攻撃シナリオの机上演習（テーブルトップ演習）を実施する際に押さえるべき設計要件と、経営者が演習に参加することの意義を解説します。IT担当者が不在でも実行できる形で、演習設計の全体像をお伝えします。インシデント対応訓練の入門として、BCP整備と併せて取り組む企業に役立てていただける内容です。

サイバー攻撃シナリオの机上演習（テーブルトップ演習）とは？

机上演習（テーブルトップ演習、英語ではTabletop Exercise＝TTXとも呼ばれます）とは、実際のシステムや端末を操作することなく、仮想のサイバー攻撃シナリオに沿って「会議室で状況を話し合う」形式のインシデント対応訓練です。

参加者は役割ごとに分かれ（経営者・IT担当・総務・広報など）、ファシリテーターが提示するシナリオの「状況の進展」に対して、それぞれが「何を判断し、誰に連絡し、どう行動するか」を口頭や文書で回答していきます。実機を動かさないため、特別な技術環境は必要ありません。

机上演習の本質的な価値は「知識の確認」ではなく、「判断プロセスの棚卸し」にあります。「マニュアルに書いてあること」と「実際にできること」のギャップを、安全な環境で可視化できる唯一の手法といえます。

BCP（事業継続計画）の観点では、サイバーインシデントを「自然災害と同列の事業停止リスク」として扱う考え方が広がっています。独立行政法人情報処理推進機構（IPA）も、中小企業に対してインシデント対応の組織的な訓練を推奨しており、無償で活用できるシナリオひな形やワークシートを公開しています（IPA公式サイト参照）。

欧米の政府機関や大企業では10年以上前から標準的な訓練手法として定着しているテーブルトップ演習ですが、日本の中小企業への普及は現在進行形です。実施コストが低く、特別な環境を必要としない点で、今すぐ始められる対策として注目されています。

中小企業が机上演習を今すぐ始めるべき3つの理由

「大企業がやるもの」「専門知識がないと難しい」というイメージを持たれがちな机上演習ですが、中小企業にこそ早期に実施すべき理由があります。

1. 「マニュアルがあれば大丈夫」という思い込みを安全に壊せる

インシデント対応マニュアルを整備している企業でも、実際の演習を行うと「そのマニュアルを誰も読んでいなかった」「担当者が不在のときの代替手順が存在しなかった」「マニュアルに書かれた連絡先が古くなっていた」という状況が浮かび上がることがあります。

想定例として、従業員20名規模の会計事務所が初めて机上演習を実施するケースを考えます。「顧客データが暗号化されたランサムウェア感染」シナリオで、所長が「バックアップから復旧できる」と答えた後、演習内でバックアップ手順を確認したところ、手順書が数年前のサーバー構成に基づいた内容だったと判明したとします。Before（演習前）: バックアップ復旧への漠然とした自信。After（演習後）: 手順書と現状のシステム構成の乖離が可視化され、手順書の更新が最優先課題として設定された。このように、「平時に失敗できる」のが机上演習の最大のメリットです。

2. 判断権限の「空白地帯」が見つかる

中小企業では、経営判断と現場対応の間に「誰が決めるか不明なゾーン」が生まれやすい構造があります。「社長への報告は誰がするのか」「警察・顧客・取引先への連絡は誰が判断するのか」「外部の専門業者に発注する権限は誰が持つのか」——これらは机上演習の中で必ず詰まるポイントです。演習で詰まることは失敗ではなく、平時に「権限の空白」を発見できたという成果です。

3. BCPとサイバーリスクを接続できる

自然災害対応のBCPを持っている企業でも、サイバーインシデントをBCPの対象に含めているケースはまだ多くありません。机上演習を通じて「データが使えなくなったとき、何日間業務が止まるか」「顧客対応はどう継続するか」という問いに向き合うことで、サイバーリスクをBCPに組み込む作業が自然に進みます。BCP改訂のきっかけとして機能するという意味で、机上演習はインシデント対応訓練以上の価値を持ちます。

中小企業がサイバー攻撃シナリオの机上演習を初めて実施する際の — 関連イメージ1

初めての机上演習を設計するための5つの要件

初回の机上演習を成功させるためには、設計段階で以下の5つの要件を押さえることが重要です。いずれか一つが欠けると、演習が形式的なものになりやすくなります。

1. リアルなシナリオの選定

初回演習で最もよくあるつまずきが、「起こりにくい攻撃」「技術的すぎる攻撃」をシナリオに選んでしまうことです。参加者が「自分ごと」として考えられるシナリオを選ぶことが最重要です。

業種別のシナリオ想定例:

・士業・会計事務所向け: 顧客メールに偽装したフィッシングメールから会計ソフトの認証情報が盗まれ、顧客データが閲覧・抜き取られた疑いがある
・製造業（中堅）向け: 基幹システムがランサムウェアに感染し、受注・在庫・出荷データが暗号化されて業務が停止した
・情シス兼任の企業向け: 在宅勤務中の社員のPCがマルウェアに感染し、VPN経由で社内ネットワークに拡散した可能性がある
・小売・サービス業向け: 決済システムのページが改ざんされ、顧客のカード情報が漏洩した可能性がある

シナリオには時間経過に沿って「新情報の注入（インジェクション）」を加えることで、参加者の判断がどう変化するかをリアルに体験させることができます。例えば「感染が1台から3台に拡大した」「メディアから取材の問い合わせが来た」という情報を追加するだけで、演習の密度が大きく高まります。

2. 参加者の役割とスコープの明確化

机上演習は「ゲーム」ではなく「組織の判断訓練」です。参加者に対して事前に「あなたは演習中○○の役割で判断してください」と明示することが必要です。基本的な役割例:

・経営者（意思決定者）: 事業継続の判断・外部発表や謝罪の可否判断
・IT担当（技術対応）: インシデントの技術的状況の把握と報告
・総務・法務: 監督官庁への報告・顧客への通知対応
・広報・営業: 顧客や取引先への連絡対応・情報管理

参加人数は5名～15名程度が適切です。全員が明確な担当役職を持っていない場合は「経営者」「IT担当または兼任者」「顧客対応担当」の3役でも演習は成立します。

3. ファシリテーターの確保

机上演習の進行を担うファシリテーターは、「状況の進展を提示する」「参加者の発言を引き出す」「議論が行き詰まったら次に進める」という役割を担います。初回は外部の専門家（ITコンサルタント・IPA認定支援人材など）に依頼するか、内部の中立的なポジションの人が担当することを推奨します。ファシリテーター自身が技術的専門家である必要はありません。演習の目的と進行ルールを理解し、「正解・不正解」で参加者を評価しない姿勢が重要です。

4. 演習ルールの事前合意

机上演習の冒頭で「ルール説明」を必ず行います。特に以下の3点は明確にすることが重要です。

・演習の目的は「評価」ではなく「学習」: 発言が正しいかどうかではなく、組織の判断プロセスを確認することが目的と全員に伝える
・「分からない」は正解の一つ: 不明な情報を「知っているかのように答えない」ことを全員に促す
・演習での発言は記録するが人事評価には使わない: 参加者が安心して発言できる心理的安全を確保する

5. 演習後のフィードバックの仕組み

演習終了後に「デブリーフ（振り返り）」を行います。ここで整理すべき4点:

・何がうまくいったか: 組織の強みとして記録する
・何が詰まったか・判断できなかったか: 改善が必要な課題として特定する
・マニュアル・手順書・連絡先リストの不備箇所: 文書整備の優先課題として登録する
・次の演習までにやるべきアクション: 担当者と期限を設定する

デブリーフは30分～1時間を確保し、「演習で何が起きたか」の振り返りではなく「実際のインシデントに向けて何を直すか」のアクション確定に時間を使うことがポイントです。

演習方式の比較：机上演習・実機演習・レッドチーム演習・書面チェック

インシデント対応訓練にはいくつかの形式があります。それぞれの特性を理解した上で、自社の状況に合った選択をすることが重要です。

方式	概要	コスト目安	技術スキル要件	初回に適するか
机上演習（テーブルトップ）	会議室でシナリオを話し合い、判断プロセスを確認する	低（内部実施なら実質0円）	不要	◎ 最適
実機演習（ハンズオン）	実際のシステムや専用環境でインシデント対応を操作で体験する	中～高（環境構築費用が発生）	IT担当が必要	△ 技術者がいる場合に検討
レッドチーム演習	専門業者が擬似攻撃を実施し、検知・対応能力を実測する	高（数十万円以上）	高度なIT環境が前提	✕ 中小企業の初回には不向き
書面チェック（マニュアル見直し）	マニュアル・手順書・連絡先リストを文書として確認する	最低（担当者の工数のみ）	不要	○ 演習前の前提整備として有効

初回は机上演習から始め、演習で見つかった課題を書面チェックで修正し、2回目以降でより高度な訓練方式へ段階的に移行するアプローチが現実的です。いきなりレッドチーム演習を選ぶと、「そもそも基本的な対応手順がない」という状態が露呈するだけで終わることがあります。中小企業の初回訓練では「まず床を固める」ことを優先することが重要です。

中小企業がサイバー攻撃シナリオの机上演習を初めて実施する際の — 関連イメージ2

経営者が演習に参加することで組織が変わる

中小企業の机上演習において、最も重要な参加者は「経営者（社長・所長）」です。経営者が演習に参加することの意義は、技術的な理解を深めることではありません。「自分が判断しなければならない場面がある」という実感を持つことにあります。

大企業ではCISOや情報セキュリティ委員会が判断権限を持ちますが、中小企業では「被害を外部に公表するかどうか」「顧客に謝罪連絡を出すかどうか」「業務を一時停止するかどうか」「サイバー保険を活用するかどうか」という意思決定は、最終的に代表者が下すことになります。これらは技術的な問題解決とは異なる次元の判断です。

想定例として、経営者が初めて机上演習に参加したケースを考えます。シナリオは「取引先からランサムウェア感染の疑いがあるメールが届き、社員1名が開封した」という状況から始まります。

Before（演習参加前の経営者の認識）: 「ウイルス対策ソフトが入っているから、あとはIT担当に任せれば大丈夫。自分が判断する場面はないだろう」

After（演習中に直面する問い）: 「感染が確認された場合、取引先への連絡は誰がいつ行うか」「顧客データが漏洩した場合、個人情報保護法上の報告義務は誰が判断するか」「業務停止期間中の顧客への説明責任はどう果たすか」「メディアから問い合わせがきたとき、誰が対応するか」——これらは全てIT担当ではなく、経営者が判断すべき問いです。

経営者が演習に参加することで生まれる変化:

・セキュリティ投資への判断基準が生まれる: 「なぜ対策が必要か」を体感として理解することで、予算承認が合理的な根拠に基づくようになる
・社員が問題を報告しやすくなる: 経営者が「訓練に参加している」という事実が、社員の「問題発生時の即時報告」を促す組織文化をつくる。一般的には、経営者が無関心な組織では社員が「怒られるのが怖い」という理由でインシデントの初動報告を遅らせる傾向がある
・インシデント対応方針の最終形が決まる: 演習中に「経営者の方針」が言語化されることで、マニュアルに書けない「最後の判断軸」が組織内に共有される
・BCPへの組み込みが前進する: 経営者自身が「サイバーインシデントは経営リスク」と位置づけることで、BCP改訂のオーナーシップが生まれる

技術者が主導する演習では「技術的に何ができるか」の確認に終始しやすくなります。経営者の参加は、演習の「品質」ではなく「組織変容」をもたらすという点で、他の参加者とは異なる役割を果たします。

よくある質問

Q1. IT担当がいない会社でも机上演習はできますか？

はい、できます。机上演習の目的はシステムの操作ではなく「誰が何を判断するか」の確認です。IT担当がいない場合は、「ITに詳しい社員」または「顧問のITコンサルタント」がIT担当役を担当することで演習は成立します。ただし、外部の技術サポートを活用する場面があることを踏まえ、「外部ベンダーへの連絡タイミングと権限」もシナリオに含めることを推奨します。

Q2. 1回の演習にかかる時間はどれくらいですか？

初回は全体で2時間～3時間程度が一般的です。内訳の目安は、ルール説明・シナリオ説明（30分）、演習本体（60分～90分）、デブリーフ・振り返り（30分）です。半日以上かける本格演習もありますが、初回は「確実に完了できる設計」を優先することを推奨します。途中で時間切れになるより、短くても完走することのほうが組織にとって成功体験として機能します。

Q3. 1回だけやれば十分ですか？

1回の演習で「全員が有事に動ける状態」にはなりません。初回の目的は「課題の可視化」です。初回で見つかった課題（マニュアルの不備・権限の空白・連絡先の未整備）を修正した後、6カ月から1年以内に第2回を実施するサイクルが理想的です。BCPの定期見直しと連動させることで、演習が形骸化しにくくなります。

Q4. 外部の専門家に依頼する必要はありますか？

必須ではありません。ただし初回は、IPA（情報処理推進機構）の「サイバーセキュリティお助け隊サービス」対応業者や、中小企業診断士などの専門家に支援を依頼することで、設計の手間と失敗リスクを下げることができます。費用を抑えたい場合は、IPAが無償公開しているシナリオひな形・ワークシートを活用する方法もあります（IPA公式サイトにて「机上演習」「テーブルトップ演習」で検索）。

Q5. 演習の結果はどう活用すればよいですか？

デブリーフ後に「アクションリスト」を必ず作成します。リストには「誰が・何を・いつまでに」の3点を記載します。演習で発見された課題をそのままにすると、次の演習に意味がなくなります。アクションリストの進捗は、月次または四半期の経営会議のアジェンダに組み込むことで、継続的な改善につながります。

中小企業がサイバー攻撃シナリオの机上演習を初めて実施する際の — 関連イメージ3

初回演習前チェックリスト

以下の項目を全て満たした状態で演習に臨むことで、初回の達成度が大きく変わります。完璧に準備できていなくても構いません。「現時点でどこが整っていないか」を確認するためにこのリストを使うことも有効です。

・シナリオ選定済み: 自社業種・規模に合ったインシデントシナリオを1本選んでいる
・参加者リスト確定: 経営者を含む参加者（5名以上が望ましい）と各自の役割を決めている
・ファシリテーター確定: 内部または外部のファシリテーターが確定している
・日程・会場確定: 2時間以上のブロックが確保されている
・現行マニュアル・連絡先リストの準備: 演習中に参照できる状態にある（完璧でなくてよい。不備を演習で見つけることが目的のため）
・演習ルールの事前説明文準備済み: 「評価ではなく学習」という趣旨を参加者に事前共有している
・デブリーフシートの準備: 演習後の振り返りに使うワークシートが用意されている
・アクションリストのフォーマット決定: 演習後の課題を記録するフォーマットが決まっている（Excelの簡単な表でよい）
・次回演習の目安日設定: 初回終了後6カ月以内に第2回を実施する方針が合意されている
・BCP文書との連携確認: 現行のBCPにサイバーインシデント対応の項目があるか確認済み（なければ演習後に追記する計画を立てる）