サイバー保険の引受条件・ISMS・取引先監査・経営ガバナンスの観点から、年次サイバーセキュリティ訓練の実施が中堅企業でも必須に近い状況になっている。ただ実施しただけで満足していないか？ 形骸化した訓練は、実インシデント時に何の役にも立たない。

本記事では、従業員 100〜1,000名規模の企業向けに、机上演習・技術演習・フルレッドチームの3段階訓練の使い分け、経営層を巻き込む設計、予算別プランまでを整理する。情シス・セキュリティ責任者・経営企画向けの実装ガイドだ。

訓練の3段階

レベル1：机上演習（Tabletop Exercise）

  • シナリオベースでの対応手順の確認
  • 経営層・法務・広報・情シス・現場が会議形式で議論
  • 費用：社内リソース + 外部ファシリテーター 30〜100万円

レベル2：技術演習（Technical Exercise）

  • SOC・CSIRT の対応能力をシミュレーション環境で試す
  • ログ解析・フォレンジック・隔離措置の手順実演
  • 費用：100〜500万円

レベル3：フルレッドチーム演習

  • 実環境で模擬攻撃（ホワイトハッカーによる侵入試験）
  • 検知・対応の実効性を総合評価
  • 費用：500〜3,000万円

選び方： 企業規模・業種・経験で段階を選ぶ。初めてならレベル1 → レベル2 → レベル3 の順に年次で成熟度を上げる。

セクションまとめ： 訓練は3段階。初年度は机上演習、成熟度に応じて技術演習→レッドチームへ進む。

机上演習の設計（最重要）

机上演習は訓練の土台。これが機能しないと技術演習・レッドチームも活かせない。

シナリオ選定

年度ごとにテーマを変えて実施：

  • ランサムウェア侵入：基幹システム全停止の対応
  • 内部不正：管理者アカウント悪用の検知と対応
  • サプライチェーン侵害：委託先経由の情報漏えい
  • DDoS 攻撃：ECサイト・基幹業務の停止
  • フィッシング成功：役員アカウントの乗っ取り

参加者

  • 経営層（CEO / COO / CFO） ← 必須
  • 情シス・セキュリティ責任者
  • 法務・コンプライアンス
  • 広報・人事
  • 現場マネージャー

特に経営層の参加が成功のカギ。実インシデント時の意思決定スピードを平時に体験させる効果は大きい。

実施フロー（半日〜1日）

  1. キックオフ（30分）：シナリオ提示、役割確認
  2. フェーズ1 覚知対応（60分）：最初の30分で何をするか
  3. フェーズ2 拡大対応（60分）：影響範囲特定・外部コミュニケーション
  4. フェーズ3 収束対応（60分）：復旧計画・再発防止
  5. 振り返り（60分）：気付き・改善点の抽出
  6. 次年度への宿題：優先改善項目の決定

セクションまとめ： 机上演習は経営層参加必須、半日〜1日でシナリオを完走。振り返りで次年度の改善項目を確定。

技術演習の設計

レベル2 では、SOC / CSIRT の対応手順を実地に試す。

演習内容例

ログ解析演習：

  • 疑似的な侵害ログを渡し、IoC を特定する
  • タイムラインを組み立てる
  • 影響範囲を推定する

フォレンジック演習：

  • ディスクイメージから侵害痕跡を探す
  • メモリダンプから不正プロセスを特定
  • ネットワークトラフィックの解析

隔離・復旧演習：

  • 仮想環境で隔離措置を実施
  • バックアップからの復旧タイム計測
  • 認証情報の一括ローテーション

外部パートナーの活用

多くの中堅企業で、技術演習は外部セキュリティベンダーに委託するのが現実的：

  • Mandiant / PwC / Deloitte / NRI セキュア / 中小規模のセキュリティコンサル
  • シナリオ作成と評価を外部、実演は社内 SOC/CSIRT が担当

セクションまとめ： 技術演習は SOC/CSIRT のリアル対応を試す。シナリオは外部ベンダー、実演は社内の組み合わせが現実的。

サイバーセキュリティ訓練の設計をGXOにご相談ください

企業規模・業種・セキュリティ成熟度をお聞きし、初年度に実施すべき訓練レベルと具体的なシナリオ、外部パートナー選定までご提案します。机上演習のファシリテーション代行もご相談可能です。

訓練設計を無料相談する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

フルレッドチーム演習

レベル3 は実環境への模擬攻撃。成熟度の高い企業・重要インフラ系で実施される。

実施形態

ホワイトボックス型：

  • 企業側が防御側として、情報を部分開示した上で攻撃を受ける
  • 範囲を限定して短期（1〜2週間）

ブラックボックス型：

  • 企業側はいつ・何が起きるか知らされない
  • 実運用の検知・対応能力を赤裸々に試す
  • 期間 1〜3ヶ月

倫理・範囲の設計

  • 事前合意書で範囲を明確化（攻撃対象・禁止操作）
  • 業務影響の避けるため本番実行は営業時間外
  • 重要業務中（月末決算期等）は避ける

効果

  • 実インシデント時の対応能力を事前に可視化
  • SOC/EDR の死角を発見
  • 経営層へのリスク説明の説得力が桁違い

セクションまとめ： レッドチームは成熟度の高い企業向け。事前合意書の範囲設計と、業務影響への配慮が重要。

予算別プラン

予算100万円（小規模中堅企業）

  • 机上演習のみ、半日コース
  • 外部ファシリテーターに依頼
  • 参加者：経営層 + 情シス 10〜15名

予算300〜500万円（中堅企業）

  • 机上演習 + 小規模技術演習
  • ログ解析・フォレンジックの部分演習
  • 参加者：経営層 + 情シス + SOC 20〜30名

予算1,000〜3,000万円（大企業）

  • 机上演習 + 技術演習 + ミニレッドチーム
  • フルレッドチームは 2〜3 年に 1 回
  • 参加者：経営層 + 全関連部門 50〜100名

補助金活用

  • IT導入補助金セキュリティ対策推進枠で一部対象
  • ものづくり補助金のセキュリティ枠
  • 厚生労働省の教育訓練助成金も場合により活用可

セクションまとめ： 予算別に段階設計。100万円でも机上演習はできる。補助金活用で実質負担を下げる。

訓練実施前チェックリスト

  • [ ] 今年度の訓練テーマ（シナリオ）を決定した
  • [ ] 経営層の参加を確定した
  • [ ] 外部ファシリテーター or ベンダーを選定した
  • [ ] 訓練日程を業務影響の少ない時期に設定した
  • [ ] 振り返りと改善項目の抽出プロセスを準備した
  • [ ] 改善項目を来年度予算・組織変更に反映する運用がある
  • [ ] サイバー保険の引受条件に訓練実施が明記されているか確認した
  • [ ] ISMS / 取引先監査の要求に適合しているか確認した

FAQ

Q1. 訓練を形骸化させないコツは？

経営層の参加と振り返りでの改善項目決定の2点。形骸化する訓練は、参加者のモチベーションが低い か、結果が翌年に活かされないケースが大半です。

Q2. レッドチームで本番業務を止めるのは避けたい

事前合意書で攻撃範囲と禁止操作を明確化します。多くのベンダーは業務影響を最小化する攻撃設計に慣れていますが、念のため非本番環境（ステージング等）で部分実施する選択肢もあります。

Q3. 訓練頻度はどれくらいが適切ですか？

年 1 回の机上演習 + 年 1 〜 2 回の技術演習が中堅企業の標準です。レッドチームは 2〜3 年に 1 回で十分。

参考情報

  • NIST SP 800-84「Guide to Test, Training, and Exercise」
  • IPA「サイバーセキュリティ演習ガイド」
  • NCA（日本サイバーセキュリティ協議会）「演習手引き」
  • 経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」

関連記事

年次セキュリティ訓練の設計・実施はGXOにご相談ください

机上演習のシナリオ作成・ファシリテーション、技術演習の部分委託、レッドチーム設計まで段階的にサポートします。補助金活用での実質負担軽減もご相談可能です。オンラインを中心に全国対応可能です。

訓練設計を無料相談する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK