情報セキュリティ10大脅威2026の知識マップ(知識グラフ)
type: Dataset
description: IPAの情報セキュリティ10大脅威2026では、組織編の上位はランサム攻撃(11年連続1位)とサプライチェーン攻撃(8年連続2位)が固定化する一方、AIの利用をめぐるサイバーリスクが初選出でいきなり3位に入った。ランサム攻撃は事業停止を招きかねず、バックアップの取得・隔離保管・復旧確認が有効な備えになる。サプライチェーン攻撃は取引先からのセキュリティチェックシート要求という形で中小企業にも及び、脆弱性を悪用した攻撃は修正プログラム未適用の機器・ソフトが標的になるため更新の運用管理が対策の土台になる。内部不正には退職時のアカウント停止、ビジネスメール詐欺には振込先変更の電話確認が有効な対策として挙げられている。

情報セキュリティ10大脅威
type: Concept
definition: IPAが毎年公表する、前年に社会的影響が大きかった情報セキュリティの脅威のランキング。研究者や企業の実務担当者など約250名の選考会が審議・投票で選ぶ。組織編と個人編がある。
alternative label: 10大脅威
alternative label: IPA 10 Major Threats
uses: ランサム攻撃
uses: サプライチェーンや委託先を狙った攻撃
uses: AIの利用をめぐるサイバーリスク
uses: システムの脆弱性を悪用した攻撃
uses: 機密情報を狙った標的型攻撃
uses: 地政学的リスクに起因するサイバー攻撃
uses: 内部不正による情報漏えい等
uses: リモートワーク等の環境や仕組みを狙った攻撃
uses: DDoS攻撃
uses: ビジネスメール詐欺

ランサム攻撃
type: Concept
definition: データを暗号化するなどして身代金を要求する攻撃。10大脅威の組織編で11年連続1位に選出されている。
alternative label: ランサムウェア攻撃
alternative label: Ransomware Attack
may cause: 事業停止

IPA(独立行政法人情報処理推進機構)
type: Concept
definition: 情報セキュリティ10大脅威や中小企業向けセキュリティガイドラインに加えて、情報システム・モデル取引・契約書や非機能要求グレードなど、IT分野の実務文書を幅広く策定・公開している日本の独立行政法人。
alternative label: 情報処理推進機構
alternative label: Information-technology Promotion Agency
implements: 情報セキュリティ10大脅威
implements: 中小企業の情報セキュリティ対策ガイドライン

中小企業の情報セキュリティ対策ガイドライン
type: Concept
definition: 専任のセキュリティ担当者を置けない中小企業向けに、情報セキュリティ対策の考え方と手順を段階的にまとめたIPAの手引き。最新版は2026年3月27日公開の第4.0版。
alternative label: 中小企業ガイドライン
alternative label: SME Security Guideline
alternative label: IPA SME Security Guideline
uses: 情報セキュリティ6か条

サプライチェーンや委託先を狙った攻撃
type: Concept
definition: 標的の企業を直接攻めるのではなく、セキュリティの弱い取引先や委託先を踏み台にして侵入する攻撃。10大脅威の組織編で8年連続2位に選出されている。
alternative label: サプライチェーン攻撃
alternative label: Supply Chain Attack

AIの利用をめぐるサイバーリスク
type: Concept
definition: 攻撃者のAI悪用と、自組織の従業員の生成AI利用の両面にまたがるリスク。2026年版で初めて脅威候補になり、いきなり3位に選出された。
alternative label: AIリスク
may cause: AI利用による意図しない情報漏えい
may cause: AI生成物の未検証利用
may cause: AI悪用によるサイバー攻撃

システムの脆弱性を悪用した攻撃
type: Concept
definition: 修正プログラムが公開済みなのに適用されていない機器・ソフトウェアの既知の弱点を突く攻撃。10大脅威の組織編で6年連続4位に選出されている。
alternative label: 脆弱性悪用
alternative label: Vulnerability Exploitation

機密情報を狙った標的型攻撃
type: Concept
definition: 特定の組織を狙い、業務に見せかけたメールなどで侵入する攻撃。10大脅威の組織編で11年連続5位に選出されている。
alternative label: 標的型攻撃
alternative label: Targeted Attack

地政学的リスクに起因するサイバー攻撃
type: Concept
definition: 国際情勢を背景にした攻撃や情報戦。10大脅威の組織編で2年連続6位に選出されている。
alternative label: 地政学的サイバーリスク

内部不正による情報漏えい等
type: Concept
definition: 退職者による顧客データの持ち出しなど、従業員・元従業員が関わる情報漏えいの脅威。10大脅威の組織編で11年連続7位に選出されている。
alternative label: 内部不正
alternative label: Insider Threat
may cause: 情報漏えい

リモートワーク等の環境や仕組みを狙った攻撃
type: Concept
definition: VPN機器や自宅PCを経由した侵入。10大脅威の組織編で6年連続8位に選出されている。
alternative label: リモートワーク攻撃

DDoS攻撃
type: Concept
definition: 大量の通信を送りつけてサービスを止める攻撃。10大脅威の組織編で2年連続9位に選出されている。
alternative label: 分散型サービス妨害攻撃
alternative label: Distributed Denial of Service

ビジネスメール詐欺
type: Concept
definition: 取引先や経営者になりすまして偽の振込先へ送金させる詐欺。10大脅威の組織編で9年連続10位に選出されている。
alternative label: BEC
alternative label: Business Email Compromise
may cause: 偽の振込先への送金

事業停止
type: Concept
definition: 受注も出荷もできなくなるなど、事業活動が止まる状態。
alternative label: Business Disruption

バックアップ
type: Concept
definition: システムやデータの複製を取得・隔離保管し、復旧できることを確認する対策。
alternative label: Backup
mitigates: ランサム攻撃

情報セキュリティ6か条
type: Concept
definition: IPAが中小企業向けに示す最低限の対策項目。OS・ソフトの更新、ウイルス対策ソフト、パスワード強化、共有設定の見直し、バックアップ、手口を知ることの6項目からなる。
alternative label: 6か条
alternative label: 情報セキュリティ5か条(旧)
alternative label: Six Basic Security Articles
uses: バックアップ

セキュリティチェックシート
type: Concept
definition: 取引先が委託先企業のセキュリティ対策水準を確認するために送付する確認票。
alternative label: Security Check Sheet

AI利用による意図しない情報漏えい
type: Concept
definition: AIへの不十分な理解に起因して、顧客情報や設計情報などが意図せず外部に漏れる情報漏えい。
alternative label: AI起因の情報漏えい
broader: 情報漏えい

AI生成物の未検証利用
type: Concept
definition: AIが加工・生成した結果を十分に検証せず、そのまま業務に使ってしまうこと。
alternative label: AI出力の鵜呑み

AI悪用によるサイバー攻撃
type: Concept
definition: 攻撃者がAIを悪用することで、サイバー攻撃が容易化・巧妙化すること。
alternative label: AI悪用攻撃

修正プログラム未適用の機器・ソフト
type: Concept
definition: 修正プログラムが公開されているにもかかわらず適用されていないVPN機器・OS・Webサイトなど。
alternative label: 更新の放置
may cause: システムの脆弱性を悪用した攻撃

更新の運用管理
type: Concept
definition: OS・ソフトウェア・機器の更新を誰がいつ適用するかを決め、実行する運用の仕組み。
alternative label: パッチ管理の運用
mitigates: システムの脆弱性を悪用した攻撃

情報漏えい
type: Concept
definition: 本来外部に出るべきでない情報が組織の外へ流出すること。
alternative label: Information Leakage

退職時のアカウント停止
type: Concept
definition: 退職・異動した従業員が使っていた業務システム・クラウドサービス・VPNのアカウントを停止する手続き。
alternative label: アカウント無効化
mitigates: 内部不正による情報漏えい等

偽の振込先への送金
type: Concept
definition: 取引先や経営者になりすました詐欺者が指定する、偽の振込先へ資金を送ってしまうこと。
alternative label: 不正送金

振込先変更の電話確認
type: Concept
definition: 振込先の変更依頼を受けたとき、メールとは別の手段(電話)で本人・本物の取引先かどうかを確認する業務ルール。
alternative label: 折り返し確認
mitigates: ビジネスメール詐欺

subject: IPA(独立行政法人情報処理推進機構)
predicate: implements
object: 情報セキュリティ10大脅威
description: IPAが情報セキュリティ10大脅威を選考会の審議・投票を経て毎年公表する
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: IPA(独立行政法人情報処理推進機構)
predicate: implements
object: 中小企業の情報セキュリティ対策ガイドライン
description: IPAが中小企業の情報セキュリティ対策ガイドラインを策定・公開する
evidence: security
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: ランサム攻撃
description: 情報セキュリティ10大脅威2026の組織編は、ランサム攻撃を1位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: サプライチェーンや委託先を狙った攻撃
description: 情報セキュリティ10大脅威2026の組織編は、サプライチェーンや委託先を狙った攻撃を2位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: AIの利用をめぐるサイバーリスク
description: 情報セキュリティ10大脅威2026の組織編は、初選出のAIの利用をめぐるサイバーリスクを3位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: システムの脆弱性を悪用した攻撃
description: 情報セキュリティ10大脅威2026の組織編は、システムの脆弱性を悪用した攻撃を4位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: 機密情報を狙った標的型攻撃
description: 情報セキュリティ10大脅威2026の組織編は、機密情報を狙った標的型攻撃を5位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: 地政学的リスクに起因するサイバー攻撃
description: 情報セキュリティ10大脅威2026の組織編は、地政学的リスクに起因するサイバー攻撃を6位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: 内部不正による情報漏えい等
description: 情報セキュリティ10大脅威2026の組織編は、内部不正による情報漏えい等を7位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: リモートワーク等の環境や仕組みを狙った攻撃
description: 情報セキュリティ10大脅威2026の組織編は、リモートワーク等の環境や仕組みを狙った攻撃を8位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: DDoS攻撃
description: 情報セキュリティ10大脅威2026の組織編は、DDoS攻撃を9位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ10大脅威
predicate: uses
object: ビジネスメール詐欺
description: 情報セキュリティ10大脅威2026の組織編は、ビジネスメール詐欺を10位として含む
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: ランサム攻撃
predicate: mayCause
object: 事業停止
description: ランサム攻撃による被害は情報漏えいにとどまらず、受注も出荷もできない事業停止に直結する
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: バックアップ
predicate: mitigates
object: ランサム攻撃
description: バックアップの取得・隔離保管・復旧確認が、侵入されても事業を再開できる備えになる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 情報セキュリティ6か条
predicate: uses
object: バックアップ
description: 情報セキュリティ6か条は第4.0版で「バックアップを取ろう」を項目に追加した
evidence: security
verified at: 2026-08-01
certainty: established

subject: 中小企業の情報セキュリティ対策ガイドライン
predicate: uses
object: 情報セキュリティ6か条
description: 中小企業の情報セキュリティ対策ガイドラインは、最低限の対策項目として情報セキュリティ6か条を示している
evidence: security
verified at: 2026-08-01
certainty: established

subject: サプライチェーンや委託先を狙った攻撃
predicate: mayCause
object: セキュリティチェックシート
description: サプライチェーン攻撃への警戒の高まりが、取引先からセキュリティチェックシートが届く実務上の変化として表れている
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: context-dependent

subject: AIの利用をめぐるサイバーリスク
predicate: mayCause
object: AI利用による意図しない情報漏えい
description: AIへの不十分な理解に起因する意図しない情報漏えいは、AIの利用をめぐるサイバーリスクに含まれる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: AIの利用をめぐるサイバーリスク
predicate: mayCause
object: AI生成物の未検証利用
description: AIが加工・生成した結果を十分に検証せず鵜呑みにすることで生じる問題は、AIの利用をめぐるサイバーリスクに含まれる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: AIの利用をめぐるサイバーリスク
predicate: mayCause
object: AI悪用によるサイバー攻撃
description: AIの悪用によるサイバー攻撃の容易化・手口の巧妙化は、AIの利用をめぐるサイバーリスクに含まれる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 修正プログラム未適用の機器・ソフト
predicate: mayCause
object: システムの脆弱性を悪用した攻撃
description: 修正プログラムが公開済みなのに適用されていない機器・ソフトが、脆弱性を悪用した攻撃の標的になる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 更新の運用管理
predicate: mitigates
object: システムの脆弱性を悪用した攻撃
description: 更新を誰がいつ適用するかという運用管理を整えることが、脆弱性を悪用した攻撃への対策になる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 内部不正による情報漏えい等
predicate: mayCause
object: 情報漏えい
description: 退職者による顧客データの持ち出しなど、従業員・元従業員が関わる内部不正が情報漏えいを引き起こす
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 退職時のアカウント停止
predicate: mitigates
object: 内部不正による情報漏えい等
description: アクセス権限の整理や退職時のアカウント停止が、内部不正による情報漏えいの対策になる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: ビジネスメール詐欺
predicate: mayCause
object: 偽の振込先への送金
description: ビジネスメール詐欺は、取引先や経営者になりすまして偽の振込先へ送金させる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established

subject: 振込先変更の電話確認
predicate: mitigates
object: ビジネスメール詐欺
description: 振込先の変更を必ず電話で確認する業務ルールが、ビジネスメール詐欺の決定打になる
evidence: 10threats2026.html
verified at: 2026-08-01
certainty: established