セキュリティインシデントの机上訓練｜第一報・役割・証拠を練習する

机上訓練は、想定した状況を参加者へ提示して、取る行動や判断を確認する練習です。文書を読むだけでなく、担当者が不在、連絡手段が使えない、情報が不足するといった条件を加えて、実際に手順を使えるかを考えます。侵入テストや復元テストとは目的が異なります。

IPAの中小企業向けガイドライン第4.0版にはインシデント対応の手引きが用意されています。本記事ではその相談・役割・記録という考え方を背景に、独自の架空ケースを作ります。以下の順序や時間は公式の一律の対応期限ではなく、実際の事故では組織の手順と専門家の判断を優先します。

架空の利用者が、ファイル共有サービスの不審な操作通知を受け取ったとします。「自分はこの時間に使っていない」と話しますが、被害や侵入経路はまだ分かりません。研修では、本人の操作、時刻、対象、通知の内容、確認済み事項と不明点を整理します。

この情報だけで原因を断定しないことが重要です。実際に被害が広がる可能性があるなら、責任者が影響範囲と封じ込めを判断します。練習の途中で本番サービスを停止したり、社員の実アカウントを無断で変更したりしないよう、机上の議論と実操作を明確に分けます。

第一報の学習用項目は、発見した時刻、対象のサービス、確認した現象、既に行った操作、影響の可能性、不明点、連絡先です。原因を確定できなければ「不明」と書き、推測を事実の欄へ混ぜないようにします。報告を受けた人が、次に誰へ確認するかを判断できることを目指します。

パスワード、秘密の鍵、不要な個人情報をそのまま載せる必要はありません。機密性が高い記録は、定められた安全な方法で管理者へ共有します。顧客への通知や法令上の報告の要否・期限は、この練習だけで決めず、責任者と必要な専門家へつなげます。

ログや端末を自己判断で削除・初期化すると、何が起きたか確認できなくなる場合があります。一方、被害拡大が疑われるのに、保全だけを理由に何もしないことも適切とは限りません。技術担当者が組織の手順に沿って、隔離、停止、保全、記録を調整します。

訓練では、「誰が操作できるか」「何を保存するか」「業務が止まる影響を誰が判断するか」を問います。会社によって設備や権限が違うため、全員に同じ実操作を暗記させるより、自分が行ってよい範囲と専門家へ任せる範囲を理解することが大切です。

架空の追加条件として、担当者が休暇中、社内メールが使えない、委託先のログ取得に時間がかかる、と提示します。代替窓口、別の連絡方法、依頼すべき情報、判断の保留と期限を考えてもらいます。連絡先一覧があるだけでなく、実際に使えるかを確認します。

速さだけを競うと、根拠なく操作を急ぐ練習になってしまいます。確認までの時間は記録しつつ、事実と推測が分かれていたか、必要な人へ連絡できたか、許可された範囲を守ったかも評価します。参加者個人を晒すのではなく、手順と体制の改善に使ってください。

振り返りでは、判断の記録、足りなかった連絡先、曖昧だった承認権限、変更する手順、再確認日をまとめます。「訓練を開催した」という記録だけでは、改善が実行されたか分かりません。修正した手順を次のケースで再び試します。

個人の学習では、架空の第一報と役割分担表を作ることが小さな成果物になります。復旧を深めるならバックアップの復元訓練、役割を選ぶならセキュリティエンジニアの学習ロードマップへ進んでください。

本記事のケース・図解は当サイト独自の学習用です。公表事例と架空の練習例を区別し、実際の試験問題や過去問を再現していません。時事情報がそのまま出題されるという意味ではありません。

学習範囲を確認するなら情報・サイバーセキュリティ管理士の概要、理解を確かめるなら登録不要の無料お試し20問へ。収録内容と料金は管理士のコースページで確認できます。

外部の制度・事例は2026年10月14日時点で確認しました。事件の評価や製品の対応状況は更新されるため、実務判断では末尾の一次資料も再確認してください。