机上演習（きじょうえんしゅう）は、英語のTabletop Exerciseにあたる言葉で、テーブルトップ演習とも呼ばれます。実際のシステムを操作せず、関係者が集まって「こういう事故が起きた」という想定で、判断と連絡を口頭で進めていく形式です。

JPCERT/CCの『CSIRTガイド』は、演習の位置づけをこう説明しています。

ここに、この記事でいちばん伝えたい安心材料があります。「コミュニケーションチェックのみを行う場合もあります」。

似ている訓練との違い

「演習」「訓練」「テスト」は現場では混ざって使われます。実際に操作するかどうかで整理すると分かりやすくなります。

分類は筆者によるものです。名称は組織によって揺れます。国の調査資料でも、同じ演習に「机上演習・オンライン」「実機演習・机上演習」のように複数の形式が併記されています（第4章）。

机上演習の強みは、止められないシステムを止めずに済むことです。本番環境を触る訓練は、それ自体が事故になり得ます。机の上でやる限り、何を想定しても安全です。だから「ランサムウェアで基幹システムが全滅した」のような、実機では絶対に試せない想定を扱えます。

第1章 おわり — 次は第2章

机上演習でいちばん多い失敗は、準備不足でも進行のまずさでもありません。目的の取り違えです。

「手順どおりにできるか確かめよう」——そう考えて演習をすると、手順どおりにできた時点で「成功」になります。参加者は満足し、報告書には「問題なく完遂」と書かれ、次の年も同じことをします。そして本番で、手順に書かれていなかったことが起きます。

国の文書は、目的をはっきり書いています。2026年7月31日に決定された『重要インフラのサイバーセキュリティ対策のための統一基準』（2026年10月1日施行）です。

「課題の抽出及び改善」——目的は課題を出すことです。JPCERT/CCも同じ立場です。

2つの文書が同じことを言っています。演習の成果物は「問題なく完遂しました」という報告ではなく、修正されたマニュアルです。

国の全分野一斉演習も、同じことを狙っています

国家サイバー統括室が実施する全分野一斉演習の説明も、能力の披露ではなく把握と改善に置かれています。

「自社の意思決定や組織内のコミュニケーションの特性把握」——狙っているのは技術力ではなく、その組織の癖です。誰に情報が集まりすぎるか、どこで判断が止まるか、誰が抜けるか。これは机の上でしか見えません。

第2章 おわり — 次は第3章

JPCERT/CCが「コミュニケーションチェックのみ」でもよいとしている以上、いきなり大きく始める必要はありません。3段階に分けて、今の自組織に合うものから始めるのが現実的です。

段階の分け方は筆者によるものです。Lv.1は、JPCERT/CCの言う「コミュニケーションチェックのみ」にあたります。

Lv.1を軽く見ないでください。ここでいちばん多く問題が出ます。ありがちな結果を挙げます。

実務でよく見られる例です。連絡網や初動の作り方は インシデント対応プレイブック と 最初の30分 にまとめています。

第3章 おわり — 次は第4章

机上演習は自前で企画するものだと思われがちですが、公的機関が提供している演習に参加するという道があります。しかもかなりの数があります。

全分野一斉演習（20回目・900組織超）

国家サイバー統括室が主催する、いちばん大きな演習です。2025年11月12日に実施されました。

国家サイバー統括室の実施報告（2025年11月13日）および『重要インフラにおける安全基準等の浸透状況に関する調査［2025年度］』より。この演習は旧称を「分野横断的演習」といいます。

2025年度の新しい試みに注目してください。「他組織の障害が自社に影響が及ぶ際の対応」——自社は無事なのに、取引先やインフラが止まって業務が動かなくなる、という想定です。これは机上演習でしか扱えません。実機では他社を止められないからです。関連する考え方は サプライチェーン攻撃 にあります。

そして、この演習は参加して終わりではありません。行動計画は、参加者側の宿題まで書いています。

また、国は「全分野一斉演習の一部を疑似的に体験できる演習プログラム等の提供に取り組む」としています。対象事業者でなくても、教材が公開される方向だということです。

公的な演習の一覧

2025年度の調査では、回答した事業者が実際に参加している演習が実名で挙がっています。形式の欄が、この記事にとって重要です。

『重要インフラにおける安全基準等の浸透状況に関する調査について［2025年度］』設問30の自由記述（主な記載）より。参加資格や開催時期は主体ごとに異なりますので、参加を検討する場合は各主体の案内をご確認ください。この他にIPAが CyberSPEX・CyberSTIX・CyberREX を実施しています。

第4章 おわり — 次は第5章

では実際、どれくらいの組織が演習をしているのか。重要インフラ15分野の2,103事業者に聞いた結果があります（2025年度調査、回答率54.2%）。

『重要インフラにおける安全基準等の浸透状況に関する調査について［2025年度］』設問29より。金融分野を含みます。複数回答のため合計は100%を超えません。

3つ、読み取れることがあります。

解釈は筆者によるものです。調査は事業者の自己申告にもとづきます。

そして、演習と表裏一体の数字がもう1つあります。警察庁の資料です。

同じ資料は、被害の抑制に有効な取組として「ランサムウェア攻撃を受けた際の対応に関する訓練」を、オフラインバックアップやログの取得と並べて挙げています。

第5章 おわり — 次は第6章

ここからは筆者が作ったテンプレートです。公的な雛形ではありませんが、どれも当サイトで一次資料から書いた記事が題材の裏づけになっています。

使い方は共通です。①最初の状況を読み上げる ②各自が「自分は次に何をするか」を口頭で述べる ③追加の状況を出す ④また述べる——これを2〜3回繰り返します。司会は答えを持っていなくて構いません。止まった場所を書き留めるのが仕事です。

① ランサムウェア（Lv.2／1時間）

初動の手順は 最初の30分、報告義務の期限は 二重恐喝とは？ の報告義務の章にまとめています。

② BEC・送金してしまった（Lv.2／45分）

手口と見分け方は BECとヘッダの確認 にあります。この演習は経理・財務部門を必ず入れてください。

③ 取引先からの被害連絡（Lv.2／45分）

1行目で詰まる組織が非常に多い題材です。委託先の管理は サプライチェーン攻撃 へ。

④ 元従業員による持ち出し（Lv.2／45分）

対策の枠組みは 内部不正とは？、証拠の扱いは デジタルフォレンジック へ。事案の形で深く考えたい方は 支援士試験の午後II演習 も題材になります。

⑤ 他社が止まって、自社が動かない（Lv.3／半日）

これは第4章で見た、国が2025年度に初めて取り入れた「他組織の障害が自社に影響が及ぶ際の対応」と同じ発想の題材です。

第6章 おわり — 次は第7章

第2章で、演習の目的は「課題の抽出及び改善」だと確認しました。では、課題が出なかったときに何を見直せばいいのか。設計の側にある、よくある原因を挙げます。

整理は筆者によるものです。3行目は特に効きます。「対応します」を許すと、演習は一気に形骸化します。

記録は3つの列だけで足ります

立派な報告書は要りません。次につながる記録は、次の3列があれば成立します。

JPCERT/CCが「演習により問題が見つかった場合は、対応マニュアルなど、一連の対応手順を修正します」としているとおり、記録のゴールは文書の修正です。

最後に、頻度について。JPCERT/CCも統一基準も「定期的に」としか書いていません。具体的な回数は示されていないので、まずは年1回を暦に固定し、大きな制度変更や組織変更があったときに臨時で回す——という運用が現実的です。正解の頻度より、決まった日付があることのほうが効きます。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ