15分でできる情報セキュリティ事故の机上訓練｜年末前に連絡と初動を確かめる

想定読者

専任の情報システム担当がいない小さな会社の経営者・総務担当の方です。セキュリティ事故への備えは気になるものの、大がかりな訓練をする余裕も専門知識もなく、まず会議室で短時間に確かめる方法を知りたい方に向けています。

要点

• 机上訓練は、シナリオを読み上げて「誰が気づき、誰に連絡し、何を止めるか」を会議室で口頭で確かめる15分の練習です。機器も専門知識も要りません。
• シナリオ1本・役割4つ・記録1枚に絞れば小さな会社でも続けられます。連絡先の古さや判断者の不在といった穴が、事故の前に見つかります。
• 年末の繁忙期や休業前は連絡がつきにくく判断も遅れやすいため、その直前に行うと効果が高くなります。

事故が起きてから慌てないために、会議室で15分確かめる

机上訓練とは何か｜実機を使わず、口頭で動きを確かめる練習

机上訓練とは、「こんなことが起きたら、私たちはどう動くか」を、パソコンも機器も触らずに、机の上（会議室）で話し合いながら確かめる練習のことです。

消防署の避難訓練の「話すだけ版」と考えると分かりやすいでしょう。

進め方は単純です。進行役が事故の場面を読み上げ、参加者は「自分ならまず何をするか」「誰に連絡するか」「誰が止めると決めるか」を口頭で答えます。

所要時間は15分ほどで、準備するのは紙とペンくらいです。

大切なのは、この訓練が確かめるのは「人の動き」であって、技術の腕前ではないという点です。ウイルスの駆除や機器の復旧といった実機を使った作業は、この訓練の範囲外です。

そうした作業は、いざというときに保守会社や専門の窓口に任せる前提で、「そこへ誰がどうつなぐか」までを確かめます。

小さな会社で起きがちな「誰に連絡するか分からない」「誰が止めていいか決まっていない」

専任の担当者がいない会社では、事故そのものよりも、その直後の迷いが被害を広げやすくなります。たとえば次のような場面です。

• 異変に気づいた人が、誰に伝えればよいか分からず、様子を見てしまう
• 連絡を受けた総務が、パソコンやネットワークを止めてよいのか判断できない
• 経営者は外出中で、判断を代わりにできる人が決まっていない
• 保守会社や回線事業者の連絡先・受付時間が、担当者個人の頭の中にしかない
• 取引先やお客様に知らせるべきかどうかを、誰が決めるのか曖昧

こうした点は、普段は問題になりません。事故が起きた瞬間に初めて表に出るため、起きてから慌てることになります。

机上訓練は、この「普段は見えない穴」を、事故の前に見つけるためのものです。

年末の繁忙期・休業前に実施する理由とタイミング

年末前や長期休業の前は、机上訓練にとって特に適した時期です。理由は三つあります。

1. 繁忙期は全員が目の前の仕事に追われ、異変への反応が遅れやすい
2. 休業に入ると、取引先も社内も連絡がつきにくく、判断者が不在になりやすい
3. 休業前なら、見つかった穴（連絡先の更新や代理の指名など）を休みに入る前に直せる

実施の目安は、休業の2〜3週間前です。直す項目が出ても、休業前に対応する時間が残ります。年末だけでなく、期首（新年度の始まり）や、夏季休暇の前も同じ考え方で使えます。

準備｜シナリオ・役割・当日の道具をそろえる

シナリオの作り方｜ウイルス感染の疑いと不審な通信を想定した例文と状況の追加の仕方

シナリオは、1本あれば十分です。最初から網羅的に作ろうとせず、「実際に起きやすいこと」を1つ選びます。

作り方のコツは、最初に短い場面を読み上げ、その後で状況を小出しに追加していくことです。一度にすべてを伝えると、考える余地がなくなってしまいます。

そのまま使える例を2本紹介します。

シナリオ例1：ウイルス感染の疑い

最初の読み上げ：
「午後2時ごろ、従業員のAさんが『PCの画面に警告が出て、ファイルが開けなくなりました』と申し出てきました。」

状況の追加（小出しに読み上げます）：

• 追加1：「しばらくして、ほかのPCにも同じ表示が出たと別の従業員から声がかかった」
• 追加2：「共有フォルダのファイル名が、見慣れない名前に変わっている」
• 追加3：「社長は外出中で、電話は取れるが、移動中ですぐには戻れない」

確かめたい問い：

• 最初に気づいたAさんは、誰に伝えますか？
• 連絡を受けた人は、まず何を止めますか？ 「LANケーブルを抜く」「Wi-Fiを切る」といった基本の動きを知っていますか？
• 止めてよいかどうかは、誰が判断しますか？ その人が不在のときは？
• 保守会社に連絡するなら、連絡先と受付時間は分かりますか？
• 取引先やお客様に知らせるかどうかは、誰が決めますか？

シナリオ例2：取引先からの指摘

最初の読み上げ：
「総務のBさんが、取引先から電話を受けました。『御社から不審なメールが届いたと連絡がありました』とのことです。」

状況の追加：

• 追加1：「問題のメールの送信者は、自社の従業員のアドレスになっている。本人は心当たりがないと言う」
• 追加2：「別の取引先からも、同じような連絡が来た」
• 追加3：「夕方になり、その従業員から『パスワードを入力してしまったかもしれない』と相談があった」

確かめたい問い：

• 取引先からの電話を受けた人は、次に誰へ伝えますか？
• 疑いのあるアカウント（メールなどの利用権）を一時的に止めるかどうか、誰が判断しますか？
• 取引先やお客様へ「不審なメールを開かないでください」と知らせるかどうかは、誰が決めますか？ 文面は誰が作りますか？
• 個人情報が関わりそうな場合、どこに相談しますか？

どちらのシナリオも、操作手順の解説は不要です。「誰が気づき、誰に伝え、誰が判断するか」という人の動きだけを確かめます。

実機での復旧作業は範囲外ですので、話が技術的な方向へそれたら、「それは専門の窓口に任せる部分として、そこへどうつなぐかを考えましょう」と戻してください。

役割の割り振り｜気づく人・連絡を受ける人・止める判断をする人・記録する人

役割は、次の4つに絞ります。

小さな会社では、1人が複数の役割を兼ねて構いません。たとえば総務担当が「連絡の窓口」と「記録係」を兼ねる形でも、まずは十分です。

ただし、訓練のときは「いま、どの役割で話しているか」を意識して答えてもらうと、役割ごとの迷いが見えやすくなります。

とくに重要なのが、「止める判断者」です。ネットワークやパソコンを止めると業務に影響が出るため、現場の人は止めてよいのか迷います。

判断者が経営者だけだと、外出や休業中に動けなくなります。そのため、不在のときに代わる人（代理）を必ず1名決めておきます。

休業前の訓練では、「その代理の人が休暇で不在だったらどうするか」まで一歩進めて考えると、さらに実践的です。

実施前の準備チェックリスト

訓練の当日に慌てないよう、次の項目を実施前に確かめておきます。すべて整っていなくても構いません。

「整っていない」と分かること自体が、訓練の成果の一部です。

机上訓練の実施前チェックリスト

• [ ] 社内の緊急連絡先（従業員・役員の電話番号）を最新にした
• [ ] 保守会社・回線事業者・ベンダーの窓口と受付時間を一覧にできる
• [ ] パソコンやネットワーク機器ごとの管理者が分かる
• [ ] 止める判断をする人と、不在時の代理を決めた
• [ ] 取引先への連絡を誰が判断するか決めた
• [ ] 参加者の日程と15分の時間を押さえた
• [ ] 使うシナリオを1本選んだ
• [ ] 記録用紙を用意した

当日の進め方｜15分のタイムテーブルと進行のコツ

0〜3分：ルールと想定の説明

最初の3分で、訓練のルールを共有します。ここで空気をつくれるかどうかが、訓練の質を左右します。

次の3点を、進行役が口に出して伝えてください。

• 責めない：誰かの対応を評価する場ではありません。
• 正解探しではない：うまく答えることが目的ではありません。
• 分からないことを出す：「分かりません」「知りません」と言えることが、いちばん価値のある発言です。

続いて、役割を確認し、今日使うシナリオが「想定の話」であることを伝えます。実際の機器には触れず、すべて口頭で行うことも、あらためて確認しましょう。

3〜12分：状況を小出しに読み上げ、気づく→連絡→止める→判断の順に口頭で確認する

ここが訓練の中心です。シナリオの最初の場面を読み上げ、そのあとは次の順に、1つずつ問いかけていきます。

1. 気づく：最初に気づくのは誰か。どう伝えるか。
2. 連絡する：伝えられた人は、次に誰へ連絡するか。連絡先は手元にあるか。
3. 止める：何を止める必要があるか。誰が止めてよいか。
4. 判断する：取引先・お客様に知らせるかどうかを、誰が決めるか。

状況の追加は、答えが出そろったタイミングで1つずつ読み上げます。「ほかのPCにも同じ表示が出た」と聞くと、参加者の判断は変わります。

その変化を見るのが、小出しにする狙いです。

進行のコツは、答えに詰まったときに助け舟を出しすぎないことです。詰まった場面こそが、会社の穴だからです。

記録係は、「誰が答えに詰まったか」「どの連絡先が分からなかったか」を、そのまま書き留めてください。

なお、個人情報が漏れた可能性が出てきた場合の報告義務や、届出が必要かどうかの判断は、会社の状況によって異なります。

この場では結論を出さず、「確認する窓口はどこか」を確かめるにとどめ、実際の判断は専門家や所管の窓口に相談する前提にしてください。

12〜15分：出てきた「詰まった点」を拾い、その場で担当と期限を決める

最後の3分は、振り返りです。記録係が書き留めた「詰まった点」を読み上げ、そのうち直す項目を選びます。

直すのは、多くても3つ程度に絞ります。欲張って10項目を挙げても、結局どれも終わらないからです。

選んだ項目には、その場で「誰が」「いつまでに」を決めます。たとえば「保守会社の連絡先の一覧を作る（総務・来週末まで）」のように、担当と期限がそろっていれば、訓練は終わったあとにも効き続けます。

終わったあとの記録・見直しと、続けるための工夫

記録の型｜実施日・想定・詰まった点・直すこと・担当・期限を1枚にまとめる

記録は、A4用紙1枚、または1つのファイルにまとめます。次の項目を埋められる形にしておけば十分です。

• 実施日と参加者
• 使った想定（シナリオ名）
• 詰まった点（誰が・どこで迷ったか）
• 直すこと（多くても3つ）
• 担当と期限
• 次回の実施予定と、次回に試したい想定

記録を残す最大の理由は、次回の訓練で「前回直すと決めたことが直っているか」を確かめられるからです。

直ったことが分かれば、訓練を続けるはりあいにもなります。

よくある穴と直し方（連絡先の古さ、判断者の不在、夜間休日の連絡、取引先への連絡判断など）

小さな会社で、机上訓練をするとよく見つかる穴と、直し方の例をまとめます。

連絡先の古さは、よく見つかる穴のひとつです。一覧に書いてあっても、電話番号が変わっていたり、担当者が退職していたりします。

机上訓練のたびに、一覧の中から数件を実際に確認するだけでも、精度が上がります。

夜間や休日については、保守会社や回線事業者の受付が平日の日中だけの場合もあります。

契約内容や窓口の案内を確認し、時間外に連絡が取れる経路があるかを調べておきましょう。

ログの保全や通信の点検といった技術的な手順については、別の記事で詳しく扱っています。この訓練では、そこまで踏み込まず、人の動きの確認に集中してください。

年末前・休業前に実施するタイミングと、年1〜2回の習慣にする方法

机上訓練は、1回やって終わりにするよりも、定期的に繰り返すほうが効果が積み上がります。続けるための工夫を紹介します。

• 年1〜2回、時期を決める：年末前と期首、あるいは夏季休暇の前など、カレンダーに先に入れてしまいます。
• 節目のあとに追加で行う：人の入れ替わりや、新しい機器・システムを入れた直後にも、短く実施します。連絡先や管理者が変わるタイミングだからです。
• 想定を変える：前回がウイルス感染なら、今回は取引先からの指摘にします。使うシナリオを入れ替えるだけで、新しい穴が見つかります。
• 完璧を目指さない：1回で直す項目は多くても3つ。網羅的なシナリオや、完璧な正解を求めないことが、続けるコツです。
• 時間を延ばさない：15分に収めると、会議の合間にも入れやすくなります。

休業前に行う場合は、「休業中に同じことが起きたら」という条件をシナリオに加えてみてください。判断者が不在で、取引先の窓口も休みになるため、年末年始の連絡体制の穴が一気に見えてきます。

まとめ｜次の会議で15分だけ時間をもらいましょう

机上訓練に、特別な機器や専門知識は要りません。シナリオ1本、役割4つ、記録1枚。これだけで、連絡先の古さや判断者の不在といった、事故のときに困る穴が、事前に見つかります。

最初の一歩は、次の定例会議で15分だけ時間をもらうことです。そのために、今日のうちにできることは次の3つです。

1. 本記事のシナリオ例から、どちらか1本を選ぶ
2. 実施前のチェックリストを見ながら、連絡先と判断者の代理を確認する
3. 会議の案内に「15分の机上訓練」と書き、時間を押さえる

訓練は、誰かを責める場ではなく、詰まった点を見つける場です。うまくできなかった点がたくさん出たとしても、それは事故の前に見つかったという意味で、大きな成果です。

年末前のこの時期に、まず1回、会議室で15分だけ試してみてください。