なぜ訓練・演習が必要なのか
対策と実行力のギャップ
多くの企業がセキュリティ対策を導入し、インシデント対応マニュアルを整備しています。しかし、実際にランサムウェア攻撃が発生したとき、マニュアル通りに動けるとは限りません。
緊急時には、普段とは異なるプレッシャーの中で迅速な判断を求められます。「ネットワークを切断すべきか」「経営層にいつ報告するか」「顧客への連絡はどうするか」といった判断を、混乱の中で正確に行う必要があります。手順書が存在することと、実際に手を動かせることには大きな差があります。
この差を埋めるのが、定期的な訓練です。訓練を繰り返すことで、対応手順が「知識」から「体に染み付いた行動」へと変わります。消防訓練と同様に、何度も繰り返すことで、いざというときに自然と体が動くようになるのです。
訓練の効果
訓練・演習を実施することで、組織は以下のような効果を得られます。
- 対応手順の定着
- マニュアルに記載された手順を実際に体験することで、関係者全員が自分の役割と行動を理解できます。「誰が何をすべきか」が明確になり、有事の際の迷いを減らせます。
- 問題点の発見と改善
- 訓練を通じて、現行の対応計画の不備や曖昧な点が明らかになります。実際に動いてみると、想定していなかった課題が見つかることも多く、事前に改善することで実際のインシデント時の混乱を防げます。
- 関係者間の連携強化
- インシデント対応には、情報システム部門だけでなく、経営層、広報、法務、人事など複数の部門が関わります。訓練を通じて顔を合わせ、連携方法を確認することで、チームワークが向上します。
- 心理的準備（パニック防止）
- 初めての経験には誰でも動揺します。訓練で擬似的に緊急事態を体験しておくことで、実際のインシデント発生時にも冷静に対応できる心理的な準備が整います。
訓練を実施している組織の割合
訓練の重要性が認識される一方で、実際に定期的な訓練を実施している組織は限られています。
| 調査項目 | 実施率 | 出典 |
|---|---|---|
| インシデント対応訓練を定期的に実施 | 約30% | IPA「情報セキュリティ実態調査」（2024年） |
| 標的型攻撃メール訓練を実施 | 約40% | 同上 |
| 経営層を含む訓練を実施 | 約15% | 同上 |
この数字は、多くの組織に「対策はあるが訓練はしていない」という課題があることを示しています。マルウェア感染や不正アクセスのリスクが高まる中、訓練の実施は急務といえます。
机上演習（テーブルトップ演習）の進め方
机上演習とは
机上演習（テーブルトップ演習）は、会議室などで関係者が集まり、想定シナリオに基づいて対応を討議する形式の訓練です。実際のシステムを操作するのではなく、「もしこの状況になったらどうするか」を話し合いながら進めます。
机上演習の主な特徴は以下の通りです。
- システムを使わない
- 実際のネットワークやサーバーを使用しないため、業務への影響がありません。コストを抑えつつ、意思決定のプロセスを確認できます。
- 対話型で進行
- 参加者同士が議論しながら進めるため、多様な視点からの意見を聞くことができます。部門間の認識のずれや、想定外のリスクに気づく機会になります。
- 経営判断を含む訓練が可能
- 「身代金を支払うか」「いつ公表するか」といった経営判断を伴う場面を訓練に組み込めます。技術的な対応だけでなく、組織としての意思決定を確認できます。
演習の準備
机上演習を効果的に実施するためには、事前準備が不可欠です。
- シナリオの作成
- 自社の業種、システム環境、過去のインシデント事例などを踏まえた現実的なシナリオを作成します。一般的なシナリオでは「自分事」として捉えにくいため、できるだけ自社に近い状況を設定します。
- 参加者の選定
- 情報システム部門だけでなく、経営層、広報、法務、総務、人事など、実際のインシデント対応に関わるメンバーを招集します。関係部門の責任者レベルが参加することで、より実践的な訓練になります。
- タイムラインの設定
- 演習全体の所要時間（通常2〜4時間）と、各フェーズの時間配分を決めます。時間が限られる場合は、検討場面を絞り込むことも有効です。
- ファシリテーターの準備
- 演習の進行役を決めます。社内の担当者が務める場合は、シナリオの全体像と進行手順を事前に把握しておく必要があります。外部の専門家に依頼する方法もあります。
シナリオ作成のポイント
効果的な演習シナリオには、以下の要素を含めることが重要です。
自社環境に合わせたリアルなシナリオ
「某製造業A社」のような架空設定ではなく、自社の事業内容、システム構成、取引先関係をベースにしたシナリオを作成します。参加者が「これは起こりうる」と感じられるリアリティが、訓練効果を高めます。
段階的な情報開示（インジェクト）
最初から全ての情報を提示するのではなく、時間経過に沿って新しい情報を追加していきます。「検知」→「被害範囲の判明」→「二重恐喝の発覚」→「メディアからの問い合わせ」のように、状況が変化するたびに新たな判断を迫る構成にします。
判断を迫る場面の設定
「業務を止めるべきか継続すべきか」「警察に届け出るタイミング」「身代金要求への対応」など、正解が一つではない場面を盛り込みます。このような場面での議論が、対応計画の改善につながります。
演習当日の進行
机上演習は、一般的に以下のフェーズで進行します。
- オープニング（15〜30分）
- 演習の目的、ルール、タイムスケジュールを説明します。「訓練であること」「失敗しても責められないこと」「活発な議論を歓迎すること」を明確にし、参加者が発言しやすい雰囲気を作ります。
- シナリオ開始・状況付与（随時）
- ファシリテーターがシナリオの状況を読み上げ、参加者に情報を提供します。「本日9時、社員から『ファイルが開けない』という報告がありました」のように、具体的な状況を伝えます。
- 対応検討・グループ討議（状況ごとに20〜40分）
- 提示された状況に対し、各部門がどのような対応を取るかを討議します。「まず何をすべきか」「誰に報告するか」「外部への連絡は必要か」などを話し合います。
- 判断・意思決定
- 討議の結果を踏まえ、組織としての判断を行います。経営層が参加している場合は、実際の意思決定プロセスを確認できます。
- 振り返り・レビュー（30〜60分）
- 演習全体を通じて気づいた点、うまくいった点、改善が必要な点を整理します。この振り返りが、対応計画のブラッシュアップにつながります。
IPA提供の机上演習シナリオ
IPA（情報処理推進機構）は、企業がインシデント対応訓練を実施する際に活用できる教材を無料で提供しています。
サイバーセキュリティ経営可視化ツール
自社のセキュリティ対策状況を評価し、訓練の優先項目を特定するのに役立ちます。
インシデント対応訓練用シナリオ集
ランサムウェア感染、標的型攻撃、情報漏洩など、複数のシナリオが用意されています。自社向けにカスタマイズするベースとして活用できます。
これらの教材は、IPAのウェブサイトから無料でダウンロードできます。まずはこうした公的機関の教材を参考に、自社に合った演習を設計することをお勧めします。
標的型攻撃メール訓練の実施方法
標的型攻撃メール訓練とは
標的型攻撃メール訓練は、従業員に対して疑似的なフィッシングメールを送信し、セキュリティ意識の向上と対応力の強化を図る訓練です。
実際の攻撃では、ランサムウェアの感染経路としてメールが使われるケースが依然として多く存在します。ソーシャルエンジニアリングの手法を用いた巧妙なメールは、セキュリティ対策製品をすり抜けることもあります。最後の砦となるのは、受信した従業員自身の判断です。
訓練の目的
標的型攻撃メール訓練を実施する際、しばしば「開封率を下げること」が目標に設定されますが、これは適切な目標設定とは言えません。
- 真の目的は「報告行動の促進」
- どれだけ訓練を重ねても、巧妙なメールを完璧に見分けることは困難です。重要なのは、「怪しい」と感じたときに速やかに報告・相談する行動を促すことです。開封してしまっても、すぐに報告があれば被害を最小限に抑えられます。
- セキュリティ意識の向上
- 訓練を通じて、「自分も狙われる可能性がある」という意識を持ってもらうことが重要です。他人事ではなく、自分事として捉える姿勢を養います。
- 対応手順の確認
- 「怪しいメールを受け取ったらどうすればよいか」という手順を、訓練を通じて確認・周知します。報告先の連絡先や、報告すべき情報の内容を具体的に伝えます。
実施手順
標的型攻撃メール訓練は、以下の手順で実施します。
- 訓練計画の策定
- 訓練の目的、対象者（全社員か特定部門か）、実施時期、訓練メールの難易度などを決定します。経営層の承認を得ておくことも重要です。
- 訓練メールの作成
- 実際の攻撃メールを模倣した内容を作成します。差出人、件名、本文、添付ファイルまたはリンクURLを設計します。自社の取引先名や業務内容を反映したカスタマイズが効果的です。
- 送信と結果収集
- 対象者に訓練メールを送信し、開封状況、リンクのクリック状況、添付ファイルの開封状況などを記録します。多くの場合、専用のツールやサービスを使用します。
- 開封者へのフィードバック
- 訓練メールを開封した従業員に対し、すぐにフィードバックを提供します。「これは訓練でした」と伝えると同時に、見分けるポイントや今後の対応を教育します。
- 全体への教育・周知
- 訓練結果（開封率など）を全社に共有し、標的型攻撃メールの脅威と対策について教育を行います。個人を特定して責めることは避けます。
- 結果分析と改善
- 訓練結果を分析し、部門別・役職別の傾向を把握します。次回の訓練計画や教育施策に反映します。
訓練メールの作成ポイント
訓練メールの内容は、訓練の効果を大きく左右します。
実際の攻撃を模倣する
現実に使われている手口を参考にします。「請求書送付のお知らせ」「パスワード変更のお願い」「宅配便の不在通知」など、実際の攻撃で使われるテーマを取り入れます。ビジネスメール詐欺（BEC）の手口も参考になります。
自社に合わせたカスタマイズ
取引先の社名、社内システムの名称、実在する部門名などを盛り込むことで、よりリアルな訓練になります。ただし、実在の取引先名を使用する場合は、誤解が生じないよう注意が必要です。
段階的な難易度設定
初回訓練では比較的分かりやすいメールから始め、回を重ねるごとに難易度を上げていきます。急に難しいメールを送ると、従業員のモチベーション低下につながる恐れがあります。
注意点
標的型攻撃メール訓練を実施する際は、以下の点に注意が必要です。
- 訓練であることの事後周知
- 訓練終了後は、速やかに全社に「訓練であった」ことを周知します。「本当に攻撃を受けたのではないか」という不安を放置しないようにします。
- 開封者を責めない文化の醸成
- 訓練で開封してしまった従業員を責めたり、人事評価に反映させたりすることは避けます。「開封したら責められる」という雰囲気があると、本当の攻撃を受けたときに報告を躊躇してしまいます。
- 報告行動を評価する
- 「怪しい」と感じて報告した従業員を積極的に評価します。たとえ訓練メールでなくても、報告してくれたことは歓迎すべき行動です。報告を促進する文化づくりが、訓練の最大の目的です。
インシデント対応訓練のシナリオ例
机上演習で使用するシナリオは、自社の状況に合わせてカスタマイズすることが重要です。ここでは、シナリオ作成の参考となる3つの例を紹介します。
シナリオ例1：VPN経由の侵入
状況設定の概要
自社が運用するVPN機器に対し、既知の脆弱性を悪用した攻撃が行われた想定です。休日の深夜に侵入され、複数のサーバーでファイルが暗号化されていることが、月曜朝に出社した従業員によって発見されます。
検討すべき判断ポイント
- 全社ネットワークを遮断すべきか、被害範囲を特定してから判断すべきか
- 休日対応の連絡体制は機能したか
- バックアップからの復旧にどれくらい時間がかかるか
- 顧客情報の漏洩有無をいつまでに確認できるか
想定される対応フロー
初動対応として、感染端末の特定とネットワーク分離を行います。その後、インシデント対応の手順に従い、被害範囲の調査、関係者への報告、復旧作業と並行して進めます。
シナリオ例2：二重恐喝への対応
状況設定の概要
ランサムウェアによるファイル暗号化に加え、攻撃者から「身代金を支払わなければ窃取したデータをリークサイトで公開する」という脅迫を受けた想定です。顧客の個人情報が含まれている可能性があります。
検討すべき判断ポイント
- 身代金要求への対応方針（支払いの可否）
- 個人情報保護委員会への報告のタイミング
- 顧客への通知の内容と時期
- メディア対応の準備
想定される対応フロー
法務部門、経営層を交えた意思決定が必要になります。警察への相談、弁護士との連携、広報対応の準備を同時並行で進める必要があります。
シナリオ例3：サプライチェーン経由の攻撃
状況設定の概要
業務委託先のシステムがランサムウェアに感染し、自社から委託していたデータが影響を受けた想定です。委託先から「御社のデータも被害を受けた可能性がある」という連絡を受けるところから始まります。
検討すべき判断ポイント
- 委託先から得るべき情報は何か
- 自社システムへの影響確認の方法
- 委託元（自社の顧客）への報告の要否
- 委託契約における責任範囲の確認
想定される対応フロー
サプライチェーン攻撃の特徴として、自社だけでは情報収集が完結しない点があります。委託先との連携、契約内容の確認、関係各所への報告などを同時に進める必要があります。
※これらはシナリオの構成要素と検討ポイントの例示です。実際の演習では、自社の業種・規模・システム環境に合わせた詳細なシナリオを作成してください。
訓練結果の評価と改善
評価の観点
訓練終了後は、以下の観点から評価を行います。
| 評価項目 | 評価基準の例 |
|---|---|
| 対応の迅速性 | 検知から初動対応までの所要時間は適切だったか |
| 手順の遵守 | 定められた対応手順に従って行動できたか |
| 関係者間の連携 | 必要な情報が必要な人に伝わったか、連携に滞りはなかったか |
| 意思決定の適切性 | 経営判断が必要な場面で、適切なタイミングで意思決定できたか |
| コミュニケーションの有効性 | 外部（顧客、取引先、メディア）への連絡は適切に行えたか |
評価は、参加者からのフィードバックと、ファシリテーターの観察結果をもとに行います。客観的な評価を行うために、事前に評価シートを準備しておくとよいでしょう。
改善サイクル
訓練で発見した課題は、確実に改善につなげることが重要です。
- 訓練結果の文書化
- 訓練の実施内容、参加者、シナリオ、主要な議論内容、発見された課題を文書として記録します。次回訓練の参考資料として、また監査対応の証跡としても活用できます。
- 課題の抽出
- 「対応手順が曖昧だった箇所」「連絡先が不明だった」「判断基準がなかった」など、具体的な課題をリストアップします。
- 対策の策定
- 抽出した課題に対し、具体的な改善策を検討します。責任者と期限を明確にし、確実に実行されるようにします。
- 手順書の改訂
- 訓練で明らかになった問題点を反映し、インシデント対応マニュアルやバックアップ運用手順などを改訂します。
- 次回訓練への反映
- 改善策が有効に機能しているかを、次回の訓練で確認します。PDCAサイクルを回し続けることで、対応力は着実に向上します。
外部サービスの活用
標的型攻撃メール訓練サービス
自社で訓練メールの作成・送信・結果集計を行うには相応の工数がかかります。SaaS型の標的型攻撃メール訓練サービスを利用すれば、これらの作業を効率化できます。
サービス選定のポイント
- 機能面
- テンプレートの豊富さ、カスタマイズ性、多言語対応、結果レポートの詳細度などを確認します。
- コスト面
- 従業員数に応じた料金体系が一般的です。年間契約か従量課金かも確認します。
- サポート面
- 訓練設計のコンサルティング、結果分析のサポート、教育コンテンツの提供などの付帯サービスも比較検討します。
インシデント対応訓練支援サービス
机上演習の企画・運営を、外部のセキュリティコンサルティング会社に依頼する方法もあります。
依頼できる内容
- シナリオの作成（自社向けカスタマイズ）
- ファシリテーション（当日の進行役）
- 評価レポートの作成
- 改善提案
特に、経営層を含む演習や、大規模な組織横断演習を行う場合は、専門家のファシリテーションが効果的です。
費用の目安
外部サービスの費用は、規模や内容によって大きく異なります。
| サービス種類 | 費用レンジ（参考） |
|---|---|
| 標的型メール訓練（SaaS型・年間） | 数十万円〜数百万円（従業員数による） |
| 机上演習支援（1回） | 50万円〜300万円程度 |
| 総合的な訓練プログラム策定 | 100万円〜500万円程度 |
中小企業の場合、まずはIPA等の無料教材を活用して内製で始め、必要に応じて外部サービスを検討する段階的なアプローチも有効です。中小企業向けの対策ガイドも参考にしてください。
よくある質問（FAQ）
- Q: 訓練はどのくらいの頻度で実施すべきですか？
- A: 標的型攻撃メール訓練は年2〜4回程度、机上演習は年1回以上の実施が推奨されます。訓練の効果は時間とともに薄れるため、定期的な実施が重要です。また、組織体制の変更や新しい脅威の出現に合わせて、臨時の訓練を行うことも検討してください。
- Q: 中小企業でも訓練は必要ですか？
- A: 規模に関わらず、訓練は必要です。中小企業は大企業と比べてセキュリティ体制が手薄なことが多く、攻撃者にとっては狙いやすいターゲットです。大規模な訓練が難しい場合は、まずは簡易版から始めることをお勧めします。例えば、「全員参加の勉強会でインシデント発生時の対応を確認する」だけでも効果があります。
- Q: 標的型メール訓練で開封率が高かった場合どうすればよいですか？
- A: 開封率の高さを責めるのではなく、教育の機会と捉えてください。開封してしまった従業員には個別にフィードバックを行い、見分けるポイントを丁寧に説明します。全社に向けては、「開封してしまうことは誰にでもありうる」というメッセージとともに、「怪しいと思ったら報告する」ことの重要性を伝えてください。繰り返し訓練を行うことで、開封率は改善していきます。
- Q: 机上演習に経営層を参加させるにはどうすればよいですか？
- A: 経営判断が必要となるシナリオを設定することが効果的です。「身代金を支払うか否か」「いつ、どのように公表するか」「株主・取引先への説明」といった、経営層でなければ判断できない場面を組み込みます。また、役員向けに時間を短縮した「エグゼクティブ版」を別途用意する方法もあります。経営層の参加は、組織全体のセキュリティ意識向上にもつながります。
- Q: 外部サービスを使わずに訓練できますか？
- A: 可能です。IPAが提供する無料の演習シナリオや教材を活用すれば、コストを抑えて訓練を実施できます。標的型メール訓練も、メールの作成・送信・結果確認を手作業で行うことは可能です（工数はかかります）。まずは内製で始めてみて、必要に応じて外部サービスの活用を検討するとよいでしょう。
関連リンク
- ランサムウェアとは？仕組み・感染経路・対策・復旧方法を徹底解説
- ランサムウェア対策完全ガイド｜企業が今すぐ実践すべき防御策
- ランサムウェア感染時の対応手順｜初動から復旧までの完全マニュアル
- 会社PCがウイルス感染？5分間緊急初動マニュアル
- ランサムウェアと法的責任｜報告義務・損害賠償・身代金の法的論点
まとめ
ランサムウェア対策は、技術的な対策を導入するだけでは十分ではありません。実際に攻撃を受けたときに組織として適切に対応できるかどうかは、日頃の訓練によって大きく左右されます。
机上演習では、関係者が集まって「もしもの場面」を想定し、対応を議論することで、計画の不備を発見し、連携を強化できます。標的型攻撃メール訓練では、従業員一人ひとりのセキュリティ意識を高め、「怪しいと思ったら報告する」文化を醸成できます。
訓練は一度実施して終わりではなく、継続的に行うことが重要です。訓練結果を評価し、課題を改善し、次の訓練に反映するサイクルを回し続けることで、組織のインシデント対応力は着実に向上します。
IPAが提供する無料教材や、外部の訓練支援サービスも活用しながら、自社に合った訓練プログラムを構築してください。
ご注意・免責事項
- 本記事は一般的な情報提供を目的としており、個別の状況に対する専門的助言ではありません
- 実際に被害に遭われた場合は、以下の公的機関にご相談ください
- 警察相談専用ダイヤル：#9110
- IPA情報セキュリティ安心相談窓口：03-5978-7509
- セキュリティ対策や訓練の導入は、自社の状況に応じて専門家やベンダーと相談の上ご判断ください
- 記載内容は作成時点の情報であり、攻撃手口は日々進化しています
ランサムウェア総合対策ナビ
更新履歴
- 初稿公開
