最新セキュリティマネジメント（第59回） 2026年版「情報セキュリティ10大脅威」：企業が把握すべき最新リスクと対策

リスクマネジメント 働き方改革

公開日：2026.04.20

　独立行政法人情報処理推進機構（以下、IPA）は2026年1月29日に「情報セキュリティ10大脅威2026」を発表した。社会的に影響が大きかったセキュリティの攻撃状況などから選定された候補に、約250名の専門家や実務担当者が投票して決定されたもので、「組織」向けの脅威と「個人」向けの脅威に分けられている。ここでは今回の発表を基に、企業として把握すべきリスクとその対策を考える。

資料DLバナー_セキュリティおまかせ.png

組織を狙う脅威のトップ3と注目の新顔 ---- ランサムウエア攻撃が11年連続1位、AIリスクが初選出

　2026年版の組織向けの情報セキュリティ10大脅威では、ランサムウエア攻撃が11年連続で1位を維持した。今回特に注目すべきは、生成AI（Generative AI）の普及を背景とした「AIの利用をめぐるサイバーリスク」が新たに3位に初選出されたことだ。以下に本記事で取り上げる主要な脅威を示す。

情報セキュリティ10大脅威 2026 [組織]から本記事で取り上げる主要な脅威

順位 脅威名 備考
1 ランサム攻撃による被害 11年連続選出
2 サプライチェーンや委託先を狙った攻撃 8年連続選出
3 AIの利用をめぐるサイバーリスク 初選出
6 地政学的リスクに起因するサイバー攻撃（情報戦を含む） 近年の注目トレンド
9 DDoS攻撃（分散型サービス妨害攻撃） 近年の注目トレンド

順位・備考は独立行政法人情報処理推進機構（IPA）の発表資料を基に作成

　最も注意すべきセキュリティリスクである1位の「ランサムウエア攻撃による被害」は、実際に被害の届出も多い。攻撃の手口はさまざまだ。機器の脆弱性を悪用する方法や、盗み取ったIDやパスワードを用いた不正アクセスによって組織内のネットワークに侵入する手口が代表的だ。侵入後はPCやサーバーをランサムウエアに感染させてデータを暗号化し、利用できなくした上で身代金を要求する。国内でも大手通販会社や大手飲料メーカーが業務停止に追い込まれた事例が報告されている。

　8年連続選出の2位「サプライチェーンや委託先を狙った攻撃」も依然として重大なリスクだ。多くの企業間取引がネットワーク上で行われサプライチェーンが形成されている中、大手企業に比べてセキュリティ対策が脆弱な中小企業が狙われ、サプライチェーン全体に波及する被害が発生している。

　今回初選出の3位「AIの利用をめぐるサイバーリスク」は、生成AIの進化と普及によって顕在化した新たなリスクだ。他者の権利を侵害したり、意図せず情報を漏えいしたりする問題のほか、AIの回答を鵜呑みにして誤情報を拡散するリスクもある。

　その他、最近のトレンドとして挙げられるのが、6位の「地政学的リスクに起因するサイバー攻撃（情報戦を含む）」と9位の「DDoS攻撃（分散型サービス妨害攻撃）」だ。ウクライナ戦争でも相手に対するサイバー攻撃が繰り広げられているように、国家支援型の攻撃が増加傾向にある。これらが新たなトレンドとして注目される背景には、地政学的緊張の高まりとインターネットインフラへの依存度の上昇がある。

企業が取るべき情報セキュリティ対策の基本 ----「脅威の把握」「資産の洗い出し」「対策の実施」の3ステップ

　さまざまな情報セキュリティの脅威が増えている中で、企業はどう対応していくべきか。脅威が多様化していることは確かだが、そのすべてにきめ細かく対応するのは、多くの企業にとって現実的ではない。重要なのは「情報セキュリティ対策の基本」を着実に守ることであり、以下の3ステップで整理できる。

  • 1．脅威の把握：自社のビジネスに影響を与えそうな脅威を抽出し、優先度の高いリスクを特定する
  • 2．自社資産の洗い出し：保護すべきデータや機器を明確にし、優先順位をつける
  • 3．対策の選択と実施：優先度の高い資産に対する対策状況を評価し、未実施のものから順に導入を進める

　脅威と自社の状況を正確に把握することが、対策の第一歩となる。中国の有名な兵法家である孫子は「彼を知り己を知れば百戦危うからず」と説いているが、情報セキュリティ対策においても、「敵を知り、己を知る」という視点が有効だ。

　ステップ1：脅威の把握では、自社のビジネスへの影響が大きいものに絞り込んで対応することだ。例えば、部品の製造業であればサプライチェーン攻撃の対象になりやすく、生産ラインが停止すれば取引先にも影響が及び、ビジネス全体に大きなダメージをもたらす。

　ステップ2：自社資産の洗い出しでは、自社にどんなデータや機器があり、どれを優先的に保護すべきかを洗い出す。医療機関であれば、患者の健康データの流出は重大な問題となる。電子カルテのデータがランサムウエアに感染して利用できなくなり、病院機能が停止した事例もある。

　ステップ3：対策の選択と実施では、優先順位の高い資産に対する対策状況を評価した上で、導入すべき対策を選択する。優先順位の高い資産に対して対策が「未実施」であれば、早急に導入を進めるべきだ。

　企業活動においてICT（情報通信技術）が重要な役割を果たすようになった今、情報セキュリティ対策の実施は必要不可欠だ。経済産業省のサイバーセキュリティ経営ガイドラインなどでも示されているように、サプライチェーンを構成する取引先企業に対して必要な情報セキュリティ対策を求める大企業も多い。必要な対策を認識しながらも放置することだけは避けなければならない。

※掲載している情報は、記事執筆時点のものです。

執筆＝高橋 秀典

【TP】

セキュリティおまかせプラン

あわせて読みたい記事

「リスクマネジメント」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧