LASSIC Media らしくメディア
情報セキュリティ10大脅威2026の組織編｜順位と対策を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 情報セキュリティ10大脅威2026の組織向けは、1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃です。
- IPAは順位を対策の優先順位ではないとしており、自社の機器や業務に照らして対策の順番を決める必要があります。
- 規則づくりや判断は社内に残し、修正プログラムの適用やバックアップの設計などの作業を外部に頼む形が取りやすいです。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
セキュリティ対策を見直すように言われたが、何から手を付ければよいか分からない。ニュースで見る「10大脅威」が自社にどう関係するのかがつかめない——。担当者が少ない組織では、こうした迷いが起こりがちです。情報セキュリティ10大脅威は、IPA（情報処理推進機構）が、前年に社会的な影響が大きかった事故や攻撃から選んで毎年公表している脅威の一覧です。
組織向けには順位が付き、社内の研修の題材にも使いやすい資料です。ただし万能ではなく、順位をそのまま対策の優先順位と読むと、自社に必要な対策を見落とします。本記事では、情報システムの担当者に向けて、2026年版の組織向けの順位、順位ごとに社内でやることと外部に頼めること、複数の脅威に共通する対策の基本、そして外部に頼むときに確認したい点を整理します。
目次
情報セキュリティ10大脅威とは
2026年版は、2026年1月29日に公開されました。*1 2025年に起きた事故や攻撃の状況からIPAが候補を選び、研究者や企業の実務担当者など約250名でつくる「10大脅威選考会」が審議と投票を経て決めたものです。*1
- 「組織」向けと「個人」向けの2つに分かれています
- 組織向けには順位が付き、個人向けは脅威の名前だけを五十音順に並べています
- 組織向けには、立場ごとの対策をまとめた64ページの解説書と、研修用のスライドがあります*1
- 解説書は、順位は対策すべき優先順位ではないとしています
順位は、選考会の参加者が社会的に影響が大きかったと判断した順であり、危険度を表しているわけではありません。*2 たとえば自社で使っている製品の修正プログラムが公開されたら、順位に関係なく「システムの脆弱性を悪用した攻撃」への対策を急ぐ必要があります。何から手を付けるかは、自社の機器や業務から決めます。
組織向けの順位一覧
2026年版の組織向けの順位を、初選出の年などとあわせて公表どおりに載せます。
| 順位 | 「組織」向け脅威 | 初選出年 | 10大脅威での取り扱い（2016年以降） |
|---|---|---|---|
| 1 | ランサム攻撃による被害 | 2016年 | 11年連続11回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 2019年 | 8年連続8回目 |
| 3 | AIの利用をめぐるサイバーリスク | 2026年 | 初選出 |
| 4 | システムの脆弱性を悪用した攻撃 | 2016年 | 6年連続9回目 |
| 5 | 機密情報を狙った標的型攻撃 | 2016年 | 11年連続11回目 |
| 6 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） | 2025年 | 2年連続2回目 |
| 7 | 内部不正による情報漏えい等 | 2016年 | 11年連続11回目 |
| 8 | リモートワーク等の環境や仕組みを狙った攻撃 | 2021年 | 6年連続6回目 |
| 9 | DDoS攻撃（分散型サービス妨害攻撃） | 2016年 | 2年連続7回目 |
| 10 | ビジネスメール詐欺 | 2018年 | 9年連続9回目 |
1位の「ランサム攻撃による被害」と2位の「サプライチェーンや委託先を狙った攻撃」は、4年続けて1位と2位に選ばれました。*2 ランサム攻撃は、データを暗号化したり盗んだ情報の公開を予告したりして金銭を要求する攻撃です。3位の「AIの利用をめぐるサイバーリスク」は初選出で、理解が不十分なまま使うと権利侵害や情報漏えいにつながる点が注意されています。*2
8位のリモートワークを狙った攻撃について、解説書は警察庁の統計を引き、2025年のランサムウェアの感染経路はVPN機器（社外から社内のネットワークにつなぐ機器）が66.3％、リモートデスクトップが20.7％だったと紹介しています。*2
順位ごとの社内対策と外部に頼めること
解説書は脅威ごとに、経営者層やシステム管理者などの立場に分けて対策を挙げています。その中から、社内で決めるべきことと、専門の事業者に任せやすい作業を順位ごとに分けると、次のようになります。
| 順位 | 脅威 | 社内でやること | 外部に頼めること |
|---|---|---|---|
| 1 | ランサム攻撃 | 身代金を要求されたときの姿勢を決める。バックアップの取得日時と頻度を決める | 書き換えできない形で保存するバックアップの設計と、復旧訓練の実施 |
| 2 | サプライチェーン・委託先 | 委託先との契約で、事故のときの責任範囲と点検の方法を決める | 委託先の対策状況の確認と、納品されたソフトウェアの部品と脆弱性の確認 |
| 3 | AIの利用 | 許可していないAIサービスの利用を禁じ、利用の規程を作る。秘密情報を入力しないよう教育する | 通信の記録からAIサービスの利用状況をつかむ仕組みづくり |
| 4 | 脆弱性の悪用 | 使っている機器とソフトウェアを把握し、重要度を決めて管理者を置く | 脆弱性情報の収集、適用の優先度付け、修正プログラムの適用 |
| 5 | 標的型攻撃 | 情報の管理と運用の規則を作る。事故を想定した訓練を行う | 許可したアプリだけを動かす設定と、攻撃の監視 |
| 6 | 地政学的リスク | 自社の事業がどんな影響を受けるかを調べ、情報を集める体制を作る | Webサイトが止まったときの代わりのサーバーと告知手段の準備 |
| 7 | 内部不正 | 基本方針と就業規則を整え、総括責任者を決める。定期的に教育する | アクセス権の最小化、離職者のIDの削除、操作の記録の監視 |
| 8 | リモートワーク | 支給した端末と私物の端末の違いを踏まえて規程を作り、例外の扱いを見直す | VPN機器の更新と多要素認証の設定、仮想デスクトップなどのリモート環境の構築 |
| 9 | DDoS攻撃 | Webサイトが止まったときの手順書と、利用者への告知の方法を決める | 配信網（CDN）や防御サービスの導入と、システムの冗長化 |
| 10 | ビジネスメール詐欺 | 支払いを複数人で承認し、口座の変更依頼は別の連絡手段で確かめる | なりすましメールを防ぐ送信ドメイン認証の設定 |
左の列は、規則づくりや経営の判断を伴う作業です。身代金を要求されたときの対応や、AIを業務でどう使ってよいかは、外部の事業者が代わりに決められません。右の列は製品の知識が要り、続けて手を動かす作業で、社内に担当者がいなければ外部に頼む候補になります。
解説書は、ランサム攻撃の被害を受けたときは原則として身代金を支払わずに復旧するよう求め、復旧を手伝う業者の選び方にも注意を促しています。*2 復旧の手順を事故の前に外部と決めておけば、慌てずに済みます。ランサム攻撃の対策と復旧計画はランサムウェア対策と復旧計画の要点でも扱っています。
順位より先に見る対策の基本
10の脅威は手口がばらばらに見えますが、解説書は、攻撃の入り口になる「攻撃の糸口」は似通っているとして、糸口を6つに分け、それぞれに対応する「情報セキュリティ対策の基本」を示しています。*2
さらに解説書は、複数の脅威に有効な「共通対策」として次の7つを挙げています。順位ごとの対策より先に、この7つの実施状況を確かめておくと抜けが見つかります。
- インシデント対応体制を整備し対応する
- PCやサーバー、ネットワーク機器、Webサイト等に適切なセキュリティ対策を行う
- 適切な取得日時、頻度を検討し、バックアップ運用を行う
- 適切な報告／連絡／相談を行う
- 情報リテラシー、モラルを向上させる
- 認証を適切に運用する
- 安易に添付ファイルの開封やリンク・URLのクリックをしない
インシデント（情報漏えいや攻撃などの事故）への備えとして、解説書は、自組織で解決できない場合を想定して外部の協力依頼先を手配しておくことも挙げています。*2 専門の部署を置けない会社ほど、相談先を先に決めておくことが大切です。
外部に頼むときに確認しておきたい点
10大脅威の対策を外部に頼むときは、頼む作業を順位ではなく自社の環境から選び、次の点を見積もりの前に確かめておきます。
- どこまで頼むか：機器とソフトウェアの洗い出し、修正プログラムの適用、バックアップの設計、監視のうち、どれを任せるか
- 責任の範囲：事故が起きたときに、委託先がどこまで対応するかを契約に書くか
- 事故のときの連絡：夜間や休日に、誰へどの手段で連絡するか。連絡を受けてから動き出すまでの目安をどう決めるか
- 検証の方法：バックアップから戻せるかを訓練で確かめるか。結果を報告書で受け取れるか
- 運用後の見直し：翌年の10大脅威や新しい脆弱性の情報に合わせて、対策を見直す場を設けるか
特に責任の範囲は2位の脅威と直接かかわり、解説書も委託契約で責任範囲を明確にして合意しておくことを求めています。委託先の対策をどう確かめるかは委託先・サプライチェーンのセキュリティ管理で、社内に担当者を置けない場合の体制づくりはセキュリティ人材不足をCSIRT/SOCの外注で補完する進め方で扱っています。
まとめ：10大脅威で確かめておきたい3つの点
10大脅威の順位を自社の対策に生かすうえで、確かめておきたい点は3つに整理できます。第一に、順位は優先順位ではないので、自社の機器やサービスに照らして手を付ける順番を決めること。第二に、対策の基本と7つの共通対策の実施状況を確かめること。第三に、規則づくりは社内に残し、修正プログラムの適用などの作業を誰が受け持つかを決めておくことです。この3点を踏まえておけば、「順位の上から対策を始めたが、自社の弱い入り口が手つかずだった」という事態を避けやすくなります。対策の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
10大脅威の資料は社内研修に使えますか
使えます。IPAは資料が研修やセキュリティ教育に活用されることを期待しており、組織向けのスライドをPDFとPowerPointで公開しています。*1 資料のデータや図表を引用するときは、IPAの名前、資料名、URLを出典として明記するよう求めています。
10大脅威に入らなかった脅威は気にしなくてよいですか
気にしなくてよいわけではありません。解説書は、ランクインした脅威が全てではないとし、2023年以降は圏外の「予期せぬIT基盤の障害に伴う業務停止」のように、ランク外でも影響の大きい脅威があると書いています。*2 過去の版の解説書にも目を通しておくよう勧めています。
10大脅威は毎年いつ公表されますか
2026年版は、1月29日に順位が決まり、組織向けの解説書は3月12日、研修用のスライドは3月31日に公開されました。*1 公開後に差し替えられることもあるため、使う前に最終更新日を確かめておきます。
情報セキュリティ対策の見直しのご相談
10大脅威をもとにした対策の棚卸しから、バックアップや認証の仕組みづくり、修正プログラムの適用と監視の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）。出典：公開日、選定の方法（約250名の10大脅威選考会）、組織向けの順位・初選出年・取り扱い、個人向けの五十音順の記載、解説書とプレゼンスライドの公開日、引用についてのお願い、更新履歴を参照（2026年10月確認）
- *2 参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」解説書［組織編］（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）。出典：はじめに、留意事項（順位は優先順位ではない・ランク外の脅威）、表1.2「情報セキュリティ対策の基本」、各脅威の「対策と対応」、8位で引用された警察庁の統計（ランサムウェアの感染経路の割合）、「共通対策」の記述を参照（2026年10月確認）
