IPA情報セキュリティ10大脅威2026は、順位そのものより、自社の資産と運用に置き換えることが重要である。 旧版にあった未確認の費用、補助制度、対策効果、業界団体の断定は削除した。
IPAは2026年1月29日に「情報セキュリティ10大脅威 2026」を公開し、2025年に発生した社会的影響の大きい事故や攻撃状況から候補を選び、研究者や企業実務担当者などの選考会で決定したと説明している。組織向けの上位には、ランサム攻撃による被害、サプライチェーンや委託先を狙った攻撃、AIの利用をめぐるサイバーリスクが並ぶ。
中小企業が最初に見る3領域
横にスクロールして確認できます
| 領域 | 自社で確認すること |
|---|---|
| ランサム攻撃 | バックアップ、復元テスト、管理者権限、EDR、初動連絡 |
| 委託先・取引先 | 外部ベンダー、保守会社、クラウド、サイト制作会社との責任分界 |
| AI利用リスク | 生成AIへの入力禁止情報、出力確認、AIを悪用した詐欺メールへの教育 |
ランキングの文章を社内共有するだけでは、対策は進まない。自社のWebサイト、EC、基幹システム、SaaS、取引先連携、バックアップを一覧化し、止まると困る順に並べる必要がある。
FREE DOWNLOAD
中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします
多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。
復旧・継続支援でGXOができること
横にスクロールして確認できます
| 相談テーマ | 初月に作るもの | 継続支援 |
|---|---|---|
| ランサム対策 | バックアップ棚卸し、復元手順 | 復元テスト、月次レビュー |
| サイト改ざん | CMS、プラグイン、サーバーログ確認 | 改修、監視、保守 |
| 委託先管理 | ベンダー一覧、契約、連絡先 | セキュリティ条項、定期確認 |
| AI利用統制 | 入力禁止情報、承認済みAI一覧 | 教育、ログ、RAG権限設計 |
| CSIRT初動 | 連絡網、判断者、外部支援先 | 机上訓練、復旧計画 |
10大脅威を読んだ後に「何からやるべきか分からない」となったときは、月額のセキュリティ運用、ハッキング後の復旧、レガシー刷新、FDE/外部チームアサインといった形で、優先順位を決めながら段階的に着手できます。
90日で行う優先対策
横にスクロールして確認できます
| 期間 | 成果物 |
|---|---|
| 1か月目 | 資産台帳、外部公開サイト一覧、管理者権限一覧 |
| 2か月目 | バックアップ復元テスト、AI利用ルール、委託先連絡表 |
| 3か月目 | インシデント初動手順、月次確認会、改善バックログ |
重要なのは、対策製品を買うことではなく、事故時に止める、残す、戻す、説明する手順を決めることだ。
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
経営に報告する形へ変換する
横にスクロールして確認できます
| 技術項目 | 経営向けの言い換え |
|---|---|
| バックアップ未検証 | 事故時に何日止まるか分からない |
| 管理者ID共有 | 退職者や委託先の操作を追跡できない |
| 古いCMS | 会社サイトや採用サイトの改ざんリスクがある |
| MFA未導入 | メール・SaaS乗っ取り時に取引先へ被害が広がる |
| AI利用ルールなし | 顧客情報や未公開資料が外部AIへ入力される恐れがある |
セキュリティ対策は、情シスだけで抱えると後回しになりやすい。売上停止、顧客説明、採用広報、取引継続に置き換えると、経営が予算判断しやすくなる。
相談前に用意すると早い資料
- 外部公開サイト、EC、予約システム、問い合わせフォームの一覧
- 重要SaaS、メール、ファイル共有、会計、人事システムの一覧
- バックアップの保存先、復元手順、最後に復元した日
- 委託先、制作会社、保守会社、クラウド管理者の一覧
- 過去の障害、改ざん、フィッシング、アカウント乗っ取りの履歴
優先順位の付け方
最初に見るべきなのは、攻撃されやすさだけではない。止まったときに売上、顧客対応、請求、採用、現場作業が止まるものから優先する。たとえば、古い会社サイトより、問い合わせフォームや採用フォームの方が事業影響が大きい場合がある。
GXOでは、脅威の順位をそのまま対策順にせず、事業停止、顧客説明、復旧難易度、委託先依存で並べ替える。この整理を行うと、初月の診断から、バックアップ、Web改修、セキュリティ運用、レガシー刷新へ提案を分けやすい。
小さく始めるなら、外部公開サイト、メール、バックアップの3つだけを初回対象にする。ここは被害が見えやすく、復旧支援や月次運用にもつなげやすい。
10大脅威を、自社の復旧計画と月次運用に変えたい方へ
GXOは、資産棚卸し、ハッキング後復旧、バックアップ、AI利用統制、委託先管理、セキュリティ運用伴走まで支援します。
公式情報・確認日
- IPA 情報セキュリティ10大脅威2026（確認日: 2026年7月1日）: https://www.ipa.go.jp/security/10threats/10threats2026.html
- IPA 中小企業の情報セキュリティ対策ガイドライン（確認日: 2026年7月1日）: https://www.ipa.go.jp/security/guide/sme/about.html
関連記事
FAQ
まず何から確認すべきですか？
最初に確認すべきなのは、対象業務、対象データ、責任者、判断期限です。情報収集だけで終えると、導入可否や対応優先順位を決められません。
社内だけで進めるべきですか？
既存業務の棚卸しは社内で進められます。ただし、要件定義、セキュリティ、費用対効果、ベンダー比較が絡む場合は、外部視点を入れた方が手戻りを抑えやすくなります。
GXOにはどの段階で相談できますか？
構想段階、予算化前、RFP作成前、既存システムの見直し段階から相談できます。脆弱性管理、外部公開資産棚卸し、月次セキュリティ運用、インシデント対応の相談を入口に、実装や運用改善まで整理できます。
公式・一次情報（最終確認: 2026年7月12日）
- IPA 情報セキュリティ: https://www.ipa.go.jp/security/
- CISA Cybersecurity Resources: https://www.cisa.gov/topics/cybersecurity-best-practices
制度、仕様、価格、法令、脆弱性情報は改定されるため、発注・申請・対応の直前にリンク先の最新版と適用条件を再確認してください。
