情報セキュリティ10大脅威2026|中小企業の対策の順番と研修活用

情報セキュリティ10大脅威2026は、2025年に社会的な影響が大きかったセキュリティの脅威を、IPAと約250名の選考会が選んだものです。組織編の順位は対策の優先順位ではないため、中小企業はまず多くの脅威に共通する「対策の基本」6つから手を付け、そのうえで自社に関係の深い脅威を選びます。

10の脅威の一覧と、それぞれを詳しく扱う記事、順位の読み方、どの会社がどの脅威を見ればよいかの表、経営者が決めること、IPAのスライドを30分の社内研修にまとめる手順がわかります。

10大脅威2026(組織編)の一覧#

組織編の10の脅威は、次の表のとおりです。2025年に起きた、社会的に影響が大きかったセキュリティの事故や攻撃の状況などからIPAが候補を選び、研究者や企業の実務担当者など約250名でつくる「10大脅威選考会」が審議と投票で決めました^[1]。中身は主に2025年の脅威の動きです。

「ひと言で」の列は、解説書の各脅威の冒頭の説明を短くまとめたものです。

「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」は、4年続けて1位と2位に選ばれました。「AIの利用をめぐるサイバーリスク」は今回が初選出です^[2]。1位・5位・7位は、2016年から11年連続で選ばれています^[1]。

このほかに、家庭などでパソコンやスマホを使う人向けの「個人編」があり、こちらは順位を付けず五十音順で並んでいます。社員研修での使い方はよくある質問で触れます。

順位は「対策の優先順位」ではない#

1位から順に対策する必要はありません。組織向けの10大脅威は順位付けされていますが、対策すべき優先順位ではないためです。順位は危険度を表すものでもなく、選考会の参加者がそれぞれの観点で「社会的に影響が大きかった」と判断した順です^[2]。

解説書の冒頭には、読むときの留意事項が3つあります。

1. 順位の高低ではなく、自社の立場や環境から考える。例えば、自社で使っている製品の脆弱性対策情報が開発会社から出たら、「システムの脆弱性を悪用した攻撃」のリスクが高くなり、優先して対策する
2. ランクインした脅威が全てではない。2023年以降は圏外の「予期せぬIT基盤の障害に伴う業務停止」のように、ランク外の脅威にも注意がいる
3. 「情報セキュリティ対策の基本」が重要。脅威は多くても、使われる「攻撃の糸口」は似通っている

社内研修で1位から順に10個を話すと、聞く人は「上から順に対策すればいい」と受け取りやすくなります。順位の意味を最初に伝え、次の見出しの「対策の基本」から話を始めましょう。

まず手を付けるのは「対策の基本」6つ#

最初にやるのは、多くの脅威で似通っている6つの「攻撃の糸口」と、それを塞ぐ6つの「対策の基本」です。脅威の種類は多くても攻撃の糸口は似通っており、糸口に変化がない限り、対策の基本による効果が期待できます^[2]。プレゼンスライドでは、各脅威の説明が対策の基本の実施を前提にしているため、各脅威の対策の欄には基本を個別に書いていません^[3]。

6つの糸口と対策の基本、その目的は次のとおりです^[2]。

この6つは、中小企業の情報セキュリティ対策ガイドラインの「情報セキュリティ6か条」と並べると、1つずつ対応します。6か条は、企業の規模に関わらず必ず実行すべき重要な対策をまとめたもので、次の6つです^[4]。

• No1 OSやソフトウェアは常に最新の状態にしよう
• No2 ウイルス対策ソフトを導入しよう
• No3 パスワードを強化しよう
• No4 共有設定を見直そう
• No5 バックアップを取ろう
• No6 脅威や攻撃の手口を知ろう

上の表の上から順に、ソフトウェアの更新がNo1、セキュリティソフトがNo2、パスワードの管理がNo3、設定の見直しがNo4、バックアップがNo5、手口を知ることがNo6に当たります。6か条の全体はSTEP1 情報セキュリティ6か条で説明しています。6か条は、SECURITY ACTIONの一つ星で取り組みを宣言する中身でもあり、対策を始める前でも申し込めます^[5]。宣言の手順はSECURITY ACTIONにまとめています。

1位のランサム攻撃の入口も、多くがこの6つと重なります。解説書が挙げる手口には、ネットにつながる機器の脆弱性の悪用、盗んだIDやパスワードによる不正アクセス、Webサイトやメールからの感染などがあります^[2]。

クラウドサービスを使っているなら、基本に「+α」として次の4つを足すことで、被害を減らせます^[2]。

• 選ぶ前の事前調査
• 事故のときの責任範囲の明確化(理解)
• 止まったときの代替案の準備
• 仕様変更で意図せず変わった設定の見直し

できているかどうかは、5分でできる情報セキュリティ自社診断の25項目で点検しましょう。取引先からSCS評価制度の★3を求められている会社なら、★3の要求事項にもパスワード設定ルール(4-1-5)、適切なバックアップ(4-3-4)、セキュリティパッチ・アップデートの手続(4-4-4)、マルウェア感染からの保護(4-4-5)があります^[6]。★3の項目はSCS評価制度★3チェックリストで1つずつ見られます。

うちに関係が深い脅威の選び方#

基本6つの次は、会社の状況に当てはまる脅威を2〜3つ選び、その脅威の対策を足します。順位の高低によらず、自社の環境に照らして優先すべき脅威を整理し、その順に対策する必要があります^[2]。注目すべき脅威は、順位の高低ではなく、自社の環境や状況に関係が深いかどうかで考えます^[3]。

次の表の「なぜ」は、解説書の各脅威の説明から取りました^[2]。当てはまる行の脅威を、解説書とこのサイトの記事で読んでください。

例えば、社員20人で、大手メーカーから部品の加工を受け、営業がVPNで社外から社内に入る会社なら、2位と8位を選びます。2位では取引先との約束ごと(責任の範囲や連絡の手順)を、8位ではVPN機器の更新と多要素認証を確かめる、という具合です。

当てはまる行が多いときは、手口が基本6つと重なるものから始めると、基本の点検とあわせて進められます。6位と9位はこのサイトにまだ記事がないため、IPAの解説書(PDF)の該当ページを読んでください。

経営者に決めてもらう3つ#

脅威が違っても、経営者に決めてもらう対策には共通する3つがあります。3位を除く9つの脅威の対策の欄に、「インシデント対応体制の整備」「サイバー保険の検討」「セキュリティ対策のための予算確保」の3つが並んでいます^[2]。

• インシデント対応体制: 起きたときに誰が何をどうするかを、前もって決めておく
• サイバー保険: 被害に備えて検討する
• 予算: 更新や対策にかかるお金を確保する

インシデント対応体制は、専門のチーム(CSIRT)をつくるのが難しければ、対応をまとめる責任者と担当者を決めておけば始められます。体制や社内の規則、予算の確保は、経営者層が主体になって行うものです^[2]。起きたときの外部の相談先はどこに連絡する?相談窓口に、保険の考え方はサイバー保険にまとめています。

3位(AI)だけは中身が別で、許可していないAIサービスの利用の禁止、利用規程の整備、個人アカウントでの業務利用の制限などが並びます^[2]。社員が勝手に使う生成AIの扱いはシャドーAIで説明しています。

解説書には、複数の脅威に効く「共通対策」として、次の7つもまとまっています。

• インシデント対応体制を整備し対応する
• PCやサーバー、ネットワーク機器、Webサイト等に適切なセキュリティ対策を行う
• 適切な取得日時、頻度を検討し、バックアップ運用を行う
• 適切な報告/連絡/相談を行う
• 情報リテラシー、モラルを向上させる
• 認証を適切に運用する
• 安易に添付ファイルの開封やリンク・URLのクリックをしない

ただし、共通対策を実施すれば完璧というわけではなく、各脅威の解説もあわせて読むことが大切です^[2]。共通対策の「PCやサーバー、ネットワーク機器、Webサイト等に適切なセキュリティ対策を行う」には、中小企業への攻撃に対処するために欠かせないサービスをひとまとめにした民間のサービスとして、サイバーセキュリティお助け隊サービスを活用し、安価に対策を行うことも挙げられています^[2]。

担当者から経営者に伝えるときは、「体制・保険・予算の3つを、年に1回見直してください」と、決めてほしいことを3つに絞ると話が進みやすくなります。

社内研修に使うには#

IPAが配っている組織編のプレゼンスライドを、全部ではなく、基本6つと自社に関係の深い脅威に絞って使うのが手早い方法です。資料はすべて、IPAの情報セキュリティ10大脅威 2026のページからダウンロードできます。

組織編には、解説書(64ページ、PDF)と、プレゼンスライド(93ページ、PDFとPowerPoint、画面の比率は4:3と16:9)があり、個人編はハンドブック(32ページ、PDFとPowerPoint)です^[1]。スライドの1枚目には、研修の日付・部署・名前を書き込む欄があります^[3]。解説書も、各組織の研修やセキュリティ教育に使われることを期待して作られています^[2]。

自社向けに使うときは、IPAの引用のルールを守ります^[1]。

• 出典(IPA、資料名、URL)を書く
• できるだけ原文のまま使う(グラフの形式や文体を変えるのは可)
• 一部を変えるときは、文意を変えず「〜を基に作成」などと書く
• 転載した部分と自社で作った部分を分かるようにする
• イラストは単体で使ったり改変したりせず(拡大・縮小は可)、脅威名か脅威の説明と組み合わせて載せる

93枚を全部話すと長くなるため、30分の研修なら次のように組み立てられます。

1. 10大脅威とは・順位の意味(スライドの冒頭、5分)
2. 対策の基本6つ(5分)
3. 自社に関係の深い脅威2〜3つ(その脅威のスライドだけ、15分)
4. 共通対策の「報告/連絡/相談」と、社内の報告先(5分)

4番では、「おかしいと思ったら、誰に、どの方法で知らせるか」を自社の名前と連絡先で示しましょう。研修の後にメールの訓練をつなげるなら、社員の訓練は何をする?が参考になります。

SCS評価制度の★3では、役員や従業員などを対象に、新しく受け入れたときと年1回以上、セキュリティインシデントが起きたときの対応について、教育資料の配布・掲示に加えて、eラーニングか集合教育で教育・訓練を行い、その内容や受講状況を記録することが求められます^[6]。★3の教育はセキュリティインシデントが起きたときの対応が中心なので、10大脅威の研修を使うなら、4番の報告の手順まで入れ、何を・どの方法で・いつ行い、誰が受けたかを記録しておきましょう。★3の求める内容は4-2-2 セキュリティインシデント発生時の教育・訓練で確かめてください。

中小企業が今日やること#

よくある質問#

個人編は社員の研修に使える?#

個人編は、家庭などでパソコンやスマホを使う人の立場の脅威で、順位はなく五十音順で並んでいます。会社の研修の中心は組織編にし、家での注意として個人編のハンドブックを添えると、社員が自分のこととして受け取りやすくなります。なお、IPAのページにある対策マッピングシートは、個人編と一緒に公開されたものです^[1]。

スライドを自社向けに書き換えてもいい?#

IPAの資料は、出典を書くなどのルールを守れば、引用・抜粋して使えます^[1]。一部を変えるときは、文意を変えず「〜を基に作成」などと書き、転載した部分と自社で作った部分を分けましょう。詳しくは社内研修に使うにはの箇条書きを見てください。

10大脅威に入っていない脅威は気にしなくていい?#

いいえ。ランク外の脅威にも注意が必要で、例えば2023年以降は圏外の「予期せぬIT基盤の障害に伴う業務停止」も、起きれば影響は大きいものです^[2]。今回入らなかった脅威については、過去の10大脅威の解説書にも目を通しておくのが望ましいです。

2027年版が出たら研修資料は作り直す?#

全部を作り直す必要はありません。10大脅威の順位は毎回変わりますが、基本的な対策の重要性は変わらないためです^[3]。対策の基本6つの部分はそのまま使い、入れ替わった脅威と自社に関係の深い脅威を確かめ直しましょう。この記事も、2027年版が公表されたら一覧と順位を直します。