机上演習は「実施したこと」ではなく「設計と振り返り」で価値が決まる——チェコのマサリク大学の研究チームが、2024年10月から2026年3月までに25回・延べ743人に机上演習（TTX）を実施し、そこから得た24の教訓をまとめた論文を公開しました。IEEE FIE 2026（工学教育の国際会議）に採録された実践報告です。
対象は大学の授業や課外活動で、参加者の大半は学生です。しかし内容は「限られた人員で訓練を回し、参加者に何かを持ち帰らせる」という、情シスが毎回ぶつかる課題とほぼそのまま重なります。IPAが無償配布している机上演習教材と組み合わせれば、自社の訓練設計にすぐ効く知見です。
この記事でわかること
- 机上演習（TTX）と「インジェクト」という基本の考え方
- 25回・743人の実践から出た教訓のうち、社内訓練に直結する7つ
- 訓練が「やっただけ」で終わる典型的な失敗パターン
- 無償で使える演習教材・方法論（IPA／NIST／ENISA）と、論文で使われたオープンソース基盤
この研究は何をしたのか
一文でいえば、机上演習を紙からWebプラットフォームに移し、2年間の運用で分かったことを24項目に整理した実践報告です。
| 項目 | 内容 |
|---|---|
| 論文 | Technology-Enhanced Tabletop Exercises for Cybersecurity Education: Lessons Learned |
| 著者・所属 | Jan Vykopal ほか3名／マサリク大学 情報学部（チェコ） |
| 発表先 | IEEE Frontiers in Education Conference（FIE ’26）本トラック採録。arXiv公開日 2026年7月30日 |
| 対象期間 | 2024年10月〜2026年3月 |
| 規模 | 演習25回／参加者 延べ743人／講師8名によるフォーカスグループ |
| 使用基盤 | INJECT Exercise Platform（IXP）v1〜v5。オープンソース |
机上演習（TTX）とは何ですか
机上演習（TTX：Tabletop Exercise）とは、実際にシステムを操作せず、インシデント時の役割を担う参加者どうしが会話しながら対応方針を決めていく訓練形式です。ランサムウェア感染やフィッシング、サービス停止といった想定シナリオに対し、「誰が何を判断し、誰に報告するか」を机上でなぞります。
演習を前に進める材料がインジェクト（inject）です。論文の定義では、参加者の行動と議論を促す入力全般を指し、具体的には次のようなものが該当します。
- 利用者から届いた「不審なメールが来た」という報告メール
- 検知システムのアラート
- 信頼できる組織が公開した新しいレポート
- 報道機関の速報
インジェクトは必ずしも明確な指示を含みません。後半で効いてくる情報だけを与えるもの、経営層向けの状況報告書という成果物を作らせるものもあります。実際には数週間続くインシデントを、数時間の演習に圧縮できるのがこの仕掛けの効用です。
論文は冒頭で、TTXは政府・軍・重要インフラ・民間企業では定着しているのに、大学では使われていないという非対称性を指摘しています。裏を返せば、企業側には実務としての蓄積がある一方、その設計知が体系化されずに個人の経験に留まりがちだ、ということでもあります。
25回の演習では何を題材にしたか
演習は大きく2つの形式に分かれます。
| 形式 | 内容 | ねらい |
|---|---|---|
| 議論型（Discussion） | 設問・意思決定課題・メディア入力に答える | コミュニケーションの改善 |
| シミュレーション型（Simulation） | 模擬メールや模擬ツールを操作しながら進める | プロセスに沿った現実的な体験 |
題材は次のとおりで、そのまま自社の演習ネタとして流用できます。
- 短い報告に対応するインシデント対応チームの動き（113人）
- インシデントハンドリングの複数フェーズの実践（111人）
- 注意喚起文とエグゼクティブサマリの作成（111人）
- 個人データ侵害への対応（109人）
- モバイル端末の紛失対応（合計153人・講師不在の自習型）
- フィッシング対応（学生・専門学校生・大会決勝進出者向けに3回、計69人）
- 内部不正への対応（21人）、海事分野の脅威モデリング（56人）
「注意喚起文と経営層向けサマリを書かせる」という題材は、日本の情シスにとっても現実的です。技術的な封じ込めより、経営層への説明で詰まる組織のほうが多いからです。
社内訓練にそのまま効く7つの教訓
1. チームは3人が最適
著者らの経験では、2人では視点が足りず、4人以上になると発言しない参加者が出ます。3人だと、意見が割れたときに3人目が対話を仲介できるのが理由です。ただしチーム数が増えるぶん、成果物に応答する講師側の人数が必要になる、という実務上のトレードオフも明記されています。
2. 最大の難所は「筋書き」ではなく「分岐の条件」
論文が「設計者にとって最も難しい思考の転換」と呼ぶのが、マイルストーン（進行条件）のロジックです。設計者は自然と物語で考えますが、必要なのは「どの行動がどの条件を成立させるか」「期待した行動が起きなかったら何が起きるか」という状態遷移の設計です。ここを飛ばすと、紙の上では流れるのに本番で止まる演習ができあがります。参加者が設計者の思う「当たり前」を踏まなかった瞬間、条件が成立せず演習が固まる、という失敗です。
これはツールを使わない紙の演習でも同じです。「進行役が空気を読んで次のインジェクトを配る」形で運用していると、この設計の穴が可視化されないまま残ります。
3. リアルタイム評価は人数が増えると詰まる
講師がその場で回答を評価する仕組みは強力ですが、複数チームが同時に「講師の判断待ち」に到達すると、待たされるチームと進むチームが出て進行がばらつきます。論文が挙げる対処は、評価を進行から切り離し、演習後にまとめて採点する方法（ただし即時フィードバックは失われる）と、AIに評価案を出させて講師が確認・修正する方法です。
4. デジタル化した瞬間、参加者は「他のWebサービス」と比べ始める
紙の演習は他の紙の演習と比べられますが、Web化すると参加者は日常的に使っている洗練されたアプリと比較します。ページの表示が遅い、操作導線が分かりにくいといった、従来なら気にされなかった摩擦が品質評価に直結する、という指摘です。社内ツールで演習を組む場合も、事前の動作確認と期待値の説明を軽視できません。
5. 振り返り（hot wash）が学習の本体
論文で最も強い表現が使われているのがここです。参加者は一貫して、予定されていた時間より長い振り返りを求めたと報告されています。他チームの判断と比べたい、シナリオ設計の意図を聞きたい、自分たちの対応が現実に通用するか議論したい、というニーズです。
そして最大のリスクとして、データが使われないまま終わり、参加者が「体験」だけを持ち帰り、チェックリストも次の一手も残らない状態が挙げられています。自習型（オンデマンド）の演習は最も規模を出せる形式ですが、この振り返りを犠牲にするため、最も持続する効果を最も便利な形と引き換えにしている、と論文は述べています。
6. シナリオは「資産」。再利用して初めて割に合う
ゼロから作る演習は高コストですが、いったん仕様化・実装したシナリオを次の対象者向けに再展開する追加コストは小さい、というのが実感として述べられています。文脈の細部を調整し、前回の反省を反映し、参加者を割り当てるだけです。演習を単発イベントではなく、価値が積み上がる資産として扱えるかが分かれ目になります。
7. AIは準備の加速には効くが、設計判断は代替しない
生成AIが有効だったのは、登場人物の口調を揃えてメールを書き直す、インジェクトの文面の変種を作る、シナリオ説明を渡してマイルストーンの抜けを指摘させる、といった限定された作業でした。演習で何を達成すべきか、分岐ロジックが妥当か、難易度が対象者に合っているかという判断は代替されなかったと明記されています。
現場目線の所感
この論文を読んで一番刺さるのは、教訓5と6です。訓練を企画すると、どうしても当日の進行に工数の大半を吸い取られます。参加者を集める調整、会議室の確保、シナリオの手直し。そして当日が終わると力尽きて、振り返りは「お疲れさまでした、気づきがあれば後日フィードバックを」で締めてしまう。結果として残るのは実施報告書だけ、というのは身に覚えのある光景です。
論文が指摘するとおり、参加者はむしろ振り返りを求めています。他チームの判断を知りたい、というのは学生に限った話ではありません。演習の設計時点で「振り返りに◯分」ではなく「振り返りで何を決めるか」まで決めておく——たとえば手順書の修正箇所を3つ挙げて担当と期限を付ける——という運用にできるかどうかが、翌年も予算が付くかの分かれ目になります。
もう一つ、教訓2は紙で演習を回している組織ほど効きます。進行役が場の空気で次のインジェクトを配れてしまうと、「手順書に書かれていない状況で誰も動けなかった」という最も価値ある発見が、進行役の機転で埋められて記録に残りません。あえて条件を決めておき、成立しなければ止まるままにしてみるのは、演習でしかできない安全な失敗の作り方です。
情シスはどうすべきか
自前でシナリオを起こす前に、公的機関が無償で出している教材と方法論を土台にするのが早道です。
- IPA「セキュリティインシデント対応机上演習教材」：ランサムウェア感染を題材にした演習資料と実施マニュアルが無償で配布されています。一般企業・中小企業向けと医療機関向けの2種類があり、カスタマイズも認められています（著作権はIPA、商用利用と販売・配布は不可）。外部のファシリテーターを呼ばずに自組織で実施できるよう作られており、最初の1回にはこれが最適です。→ セキュリティインシデント対応 机上演習教材（IPA）
- NIST SP 800-84：ITの計画・機能に関するテスト・訓練・演習プログラムの手引き。演習プログラム全体をどう組み立てるかの古典です。→ NIST SP 800-84
- ENISA サイバーセキュリティ演習方法論（2026年2月）：欧州の演習設計方法論。論文も参照しています。
- INJECT Exercise Platform：論文で使われた基盤で、公式サイトではMITライセンスのオープンソースとして案内されています。公開インスタンスはなく、自組織にインスタンスを立てて使う形です。演習定義のサンプルやVS Code拡張も提供されています。→ INJECT Exercise Platform
あわせて、演習の対象を情シスだけに閉じないことも重要です。判断が詰まるのは技術的な封じ込めより、報告経路と広報・法務との連携であることが多いためです。全社的な啓発にはIPA「対策のしおり」のような平易な資料を併用し、演習で見つかった穴を教育側にも還元すると効果が続きます。演習が扱う「対応」「復旧」という機能の位置づけを整理したい場合は、NISTサイバーセキュリティフレームワークの6機能を先に押さえておくと、経営層への説明がしやすくなります。訓練の実施自体をマネジメントシステムの要求として位置づけたい場合はISMS（ISO/IEC 27001）の基礎も参考になります。実際の事業停止がどう波及するかは日本交通のマルウェア感染事例が具体的です。
この研究をどう受け止めるか
過大評価しないための留意点も挙げておきます。
- 本論文は実践報告（innovative practice paper）であり、統制された比較実験ではありません。24の教訓は事後アンケートと講師8名のフォーカスグループに基づく著者らの経験知です。
- 「エンゲージメントと協働が向上した」という結果は観察と自己申告に基づくもので、効果量が数値で示されているわけではありません。
- 著者らは使用プラットフォームの開発元でもあります。ツールの評価部分は割り引いて読む必要があります。
- 参加者の大半は学生で、企業の実務者とは前提知識も利害も異なります。「3人が最適」なども自社で検証すべき仮説として扱うのが妥当です。
- IEEE FIE 2026に採録された論文の著者版がarXivで公開されたもので、正式なDOIは会議録の公開後に付与されます。
まとめ
- 机上演習の価値はツールや当日の進行ではなく、シナリオ設計と演習後の振り返りで決まる。参加者は一貫して振り返り時間の不足を訴えていた。
- 設計で最も壊れやすいのは物語ではなく進行条件のロジック。「期待した行動が起きなかったら何が起きるか」を先に決めておく。
- まずはIPAの無償の机上演習教材で1回実施し、シナリオを資産として使い回す。演習後に「担当と期限が付いた改善項目」が残る設計にする。
出典
- J. Vykopal, P. Čeleda, M. Horák, V. Švábenský, Technology-Enhanced Tabletop Exercises for Cybersecurity Education: Lessons Learned, IEEE FIE ’26 — arXiv:2607.28179
- IPA「セキュリティインシデント対応 机上演習教材」 — https://www.ipa.go.jp/security/sec-tools/ttx.html
- NIST SP 800-84, Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities — https://csrc.nist.gov/pubs/sp/800/84/final
- INJECT Exercise Platform（マサリク大学） — https://inject.muni.cz/
