情報セキュリティ10大脅威2026の知識マップ(知識グラフ)
IPAの情報セキュリティ10大脅威2026では、組織編の上位はランサム攻撃(11年連続1位)とサプライチェーン攻撃(8年連続2位)が固定化する一方、AIの利用をめぐるサイバーリスクが初選出でいきなり3位に入った。ランサム攻撃は事業停止を招きかねず、バックアップの取得・隔離保管・復旧確認が有効な備えになる。サプライチェーン攻撃は取引先からのセキュリティチェックシート要求という形で中小企業にも及び、脆弱性を悪用した攻撃は修正プログラム未適用の機器・ソフトが標的になるため更新の運用管理が対策の土台になる。内部不正には退職時のアカウント停止、ビジネスメール詐欺には振込先変更の電話確認が有効な対策として挙げられている。
情報セキュリティ10大脅威
IPAが毎年公表する、前年に社会的影響が大きかった情報セキュリティの脅威のランキング。研究者や企業の実務担当者など約250名の選考会が審議・投票で選ぶ。組織編と個人編がある。
10大脅威
ランサム攻撃
データを暗号化するなどして身代金を要求する攻撃。10大脅威の組織編で11年連続1位に選出されている。
ランサムウェア攻撃
IPA(独立行政法人情報処理推進機構)
情報セキュリティ10大脅威や中小企業向けセキュリティガイドラインに加えて、情報システム・モデル取引・契約書や非機能要求グレードなど、IT分野の実務文書を幅広く策定・公開している日本の独立行政法人。
情報処理推進機構
中小企業の情報セキュリティ対策ガイドライン
専任のセキュリティ担当者を置けない中小企業向けに、情報セキュリティ対策の考え方と手順を段階的にまとめたIPAの手引き。最新版は2026年3月27日公開の第4.0版。
中小企業ガイドライン
サプライチェーンや委託先を狙った攻撃
標的の企業を直接攻めるのではなく、セキュリティの弱い取引先や委託先を踏み台にして侵入する攻撃。10大脅威の組織編で8年連続2位に選出されている。
サプライチェーン攻撃
AIの利用をめぐるサイバーリスク
攻撃者のAI悪用と、自組織の従業員の生成AI利用の両面にまたがるリスク。2026年版で初めて脅威候補になり、いきなり3位に選出された。
AIリスク
システムの脆弱性を悪用した攻撃
修正プログラムが公開済みなのに適用されていない機器・ソフトウェアの既知の弱点を突く攻撃。10大脅威の組織編で6年連続4位に選出されている。
脆弱性悪用
機密情報を狙った標的型攻撃
特定の組織を狙い、業務に見せかけたメールなどで侵入する攻撃。10大脅威の組織編で11年連続5位に選出されている。
標的型攻撃
地政学的リスクに起因するサイバー攻撃
国際情勢を背景にした攻撃や情報戦。10大脅威の組織編で2年連続6位に選出されている。
地政学的サイバーリスク
内部不正による情報漏えい等
退職者による顧客データの持ち出しなど、従業員・元従業員が関わる情報漏えいの脅威。10大脅威の組織編で11年連続7位に選出されている。
内部不正
リモートワーク等の環境や仕組みを狙った攻撃
VPN機器や自宅PCを経由した侵入。10大脅威の組織編で6年連続8位に選出されている。
リモートワーク攻撃
DDoS攻撃
大量の通信を送りつけてサービスを止める攻撃。10大脅威の組織編で2年連続9位に選出されている。
分散型サービス妨害攻撃
ビジネスメール詐欺
取引先や経営者になりすまして偽の振込先へ送金させる詐欺。10大脅威の組織編で9年連続10位に選出されている。
事業停止
受注も出荷もできなくなるなど、事業活動が止まる状態。
バックアップ
システムやデータの複製を取得・隔離保管し、復旧できることを確認する対策。
情報セキュリティ6か条
IPAが中小企業向けに示す最低限の対策項目。OS・ソフトの更新、ウイルス対策ソフト、パスワード強化、共有設定の見直し、バックアップ、手口を知ることの6項目からなる。
6か条
情報セキュリティ5か条(旧)
セキュリティチェックシート
取引先が委託先企業のセキュリティ対策水準を確認するために送付する確認票。
AI利用による意図しない情報漏えい
AIへの不十分な理解に起因して、顧客情報や設計情報などが意図せず外部に漏れる情報漏えい。
AI起因の情報漏えい
AI生成物の未検証利用
AIが加工・生成した結果を十分に検証せず、そのまま業務に使ってしまうこと。
AI出力の鵜呑み
AI悪用によるサイバー攻撃
攻撃者がAIを悪用することで、サイバー攻撃が容易化・巧妙化すること。
AI悪用攻撃
修正プログラム未適用の機器・ソフト
修正プログラムが公開されているにもかかわらず適用されていないVPN機器・OS・Webサイトなど。
更新の放置
更新の運用管理
OS・ソフトウェア・機器の更新を誰がいつ適用するかを決め、実行する運用の仕組み。
パッチ管理の運用
情報漏えい
本来外部に出るべきでない情報が組織の外へ流出すること。
退職時のアカウント停止
退職・異動した従業員が使っていた業務システム・クラウドサービス・VPNのアカウントを停止する手続き。
アカウント無効化
偽の振込先への送金
取引先や経営者になりすました詐欺者が指定する、偽の振込先へ資金を送ってしまうこと。
不正送金
振込先変更の電話確認
振込先の変更依頼を受けたとき、メールとは別の手段(電話)で本人・本物の取引先かどうかを確認する業務ルール。
折り返し確認
IPAが情報セキュリティ10大脅威を選考会の審議・投票を経て毎年公表する
IPAが中小企業の情報セキュリティ対策ガイドラインを策定・公開する
情報セキュリティ10大脅威2026の組織編は、ランサム攻撃を1位として含む
情報セキュリティ10大脅威2026の組織編は、サプライチェーンや委託先を狙った攻撃を2位として含む
情報セキュリティ10大脅威2026の組織編は、初選出のAIの利用をめぐるサイバーリスクを3位として含む
情報セキュリティ10大脅威2026の組織編は、システムの脆弱性を悪用した攻撃を4位として含む
情報セキュリティ10大脅威2026の組織編は、機密情報を狙った標的型攻撃を5位として含む
情報セキュリティ10大脅威2026の組織編は、地政学的リスクに起因するサイバー攻撃を6位として含む
情報セキュリティ10大脅威2026の組織編は、内部不正による情報漏えい等を7位として含む
情報セキュリティ10大脅威2026の組織編は、リモートワーク等の環境や仕組みを狙った攻撃を8位として含む
情報セキュリティ10大脅威2026の組織編は、DDoS攻撃を9位として含む
情報セキュリティ10大脅威2026の組織編は、ビジネスメール詐欺を10位として含む
ランサム攻撃による被害は情報漏えいにとどまらず、受注も出荷もできない事業停止に直結する
バックアップの取得・隔離保管・復旧確認が、侵入されても事業を再開できる備えになる
情報セキュリティ6か条は第4.0版で「バックアップを取ろう」を項目に追加した
中小企業の情報セキュリティ対策ガイドラインは、最低限の対策項目として情報セキュリティ6か条を示している
サプライチェーン攻撃への警戒の高まりが、取引先からセキュリティチェックシートが届く実務上の変化として表れている
AIへの不十分な理解に起因する意図しない情報漏えいは、AIの利用をめぐるサイバーリスクに含まれる
AIが加工・生成した結果を十分に検証せず鵜呑みにすることで生じる問題は、AIの利用をめぐるサイバーリスクに含まれる
AIの悪用によるサイバー攻撃の容易化・手口の巧妙化は、AIの利用をめぐるサイバーリスクに含まれる
修正プログラムが公開済みなのに適用されていない機器・ソフトが、脆弱性を悪用した攻撃の標的になる
更新を誰がいつ適用するかという運用管理を整えることが、脆弱性を悪用した攻撃への対策になる
退職者による顧客データの持ち出しなど、従業員・元従業員が関わる内部不正が情報漏えいを引き起こす
アクセス権限の整理や退職時のアカウント停止が、内部不正による情報漏えいの対策になる
ビジネスメール詐欺は、取引先や経営者になりすまして偽の振込先へ送金させる
振込先の変更を必ず電話で確認する業務ルールが、ビジネスメール詐欺の決定打になる