情報セキュリティ10大脅威 2026｜企業が取り組むべき対策の優先順位

はじめに

2025 年は、国内の大手企業でランサムウェアを起点とした長期の業務停止が相次ぎ、サイバー攻撃が事業継続に直結するリスクであることが改めて明確になった 1 年でした。一方で、企業のセキュリティ対策に投じられる予算と人員には限りがあり、「何から着手すべきか」という優先順位の判断が、担当者にとって最も難しい課題になっています。

この記事では、IPA（独立行政法人 情報処理推進機構）が 2026 年 1 月に公開した「情報セキュリティ10大脅威 2026」を軸に、企業が取り組むべき対策をインフラエンジニアの実務目線で整理します。

結論を先に述べると、2026 年時点の組織向け脅威の中心は、引き続きランサム攻撃とサプライチェーン攻撃です。国内の被害事例では、多要素認証が未適用の認証情報や、脆弱性が放置されたネットワーク境界機器が侵入の起点となるケースが目立ちます。そのため、多要素認証の適用範囲の点検、境界機器の脆弱性管理、暗号化被害を前提としたバックアップ設計の 3 点を優先することを推奨します。

2026 年の脅威動向: IPA 10大脅威と国内被害事例

まず、脅威の全体像を最新の一次情報で押さえます。IPA は 2026 年 1 月 29 日、2025 年に社会的影響が大きかった事案をもとに選定した「情報セキュリティ10大脅威 2026」を公開しました。組織向けの脅威は、情報セキュリティ分野の研究者や企業の実務担当者など約 250 名で構成される選考会の審議・投票により、順位付きで発表されています。

組織向けランキングの全体像

順位	脅威	前年順位
1 位	ランサム攻撃による被害	1 位
2 位	サプライチェーンや委託先を狙った攻撃	2 位
3 位	AI の利用をめぐるサイバーリスク	初選出
4 位	システムの脆弱性を悪用した攻撃	3 位
5 位	機密情報を狙った標的型攻撃	5 位
6 位	地政学的リスクに起因するサイバー攻撃	7 位
7 位	内部不正による情報漏えい等	4 位
8 位	リモートワーク等の環境や仕組みを狙った攻撃	6 位
9 位	分散型サービス妨害攻撃（DDoS 攻撃）	8 位
10 位	ビジネスメール詐欺	9 位

1 位のランサム攻撃と 2 位のサプライチェーン攻撃は、4 年連続で同じ順位です。ランサムウェアに至っては 11 年連続の選出であり、対策手法が広く知られているにもかかわらず被害が減っていない、という点にこの脅威の本質があります。

なお、ランキングを読む際に押さえておきたいのが、IPA 自身が示している次の注意点です。

参考: IPA 情報セキュリティ10大脅威 2026 解説書［組織編］
“組織向けの「10 大脅威」は順位付けされているが、対策すべき優先順位ではない。”
https://www.ipa.go.jp/security/10threats/10threats2026.html

順位はあくまで前年の社会的影響度を反映したものであり、自組織にとっての優先順位は、利用している製品・サービスや事業内容に照らして判断する必要があります。本記事の後半では、この「自組織での優先順位の付け方」を掘り下げます。

初選出「AI の利用をめぐるサイバーリスク」

2026 年版の最大のトピックは、「AI の利用をめぐるサイバーリスク」が初選出で 3 位に入ったことです。この脅威は単一の攻撃手法ではなく、次の 3 つの側面を含む複合的なリスクとして整理されています。

• 利用者側のリスク: 生成 AI への入力を通じた機密情報・個人情報の意図しない流出、生成結果の検証不足
• AI そのものへの攻撃: プロンプトインジェクションなど、AI システムの特性を突く攻撃
• 攻撃者による悪用: フィッシングメールの文面生成やマルウェア開発の効率化など、攻撃の高度化・省力化

企業側の対策は、AI 利用ポリシーの策定と周知が出発点になります。「業務データを入力してよいサービスの範囲」を定義しないまま利用が広がる状態が、最も避けたい状況です。

ランサム攻撃の現在: 暗号化から二重恐喝へ

ランサム攻撃の手口は、「データを暗号化して復号と引き換えに金銭を要求する」という従来型から変化しています。現在は、暗号化に先立ってデータを窃取し、「支払わなければ窃取した情報を公開する」と脅す二重恐喝（ダブルエクストーション）が常套手段となっています。この変化には、実務上の重要な含意があります。バックアップからの復旧が可能でも、情報漏えいの被害と公表対応は避けられない、という点です。「バックアップがあるから身代金要求には応じなくてよい」という従来の整理だけでは、被害の全体をカバーできなくなっています。

2025 年の国内事例に共通する侵入経路

2025 年に国内で発生した事例のうち、IPA の解説資料でも取り上げられている 2 件を確認します。

アサヒグループホールディングスでは、2025 年 9 月のサイバー攻撃によりシステム障害が発生し、受発注や出荷業務に長期の影響が出ました。電子受発注システム（EOS）による受注の再開までに約 2 か月を要しており、ランサム攻撃が「情報の問題」ではなく「事業継続の問題」であることを示す事例となりました。

アスクルでは、2025 年 10 月にランサムウェア被害により業務が停止し、約 72 万件の顧客情報を含む業務情報の流出が公表されました。同社の発表によれば、多要素認証を適用していなかった認証情報が窃取されたことが侵入の起点とされています。

2 つの事例に共通するのは、侵入の起点が高度なゼロデイ攻撃ではなく、認証や境界防御の基本的な弱点にあるという点です。多要素認証の適用漏れ、VPN 機器をはじめとするネットワーク境界機器の脆弱性の放置は、攻撃者にとって最も費用対効果の高い入口になっています。この実態が、本記事後半で述べる「対策の優先順位」の根拠となります。

情報セキュリティの基本枠組み: CIA トライアド

対策の各論に入る前に、影響を評価する際の共通の物差しとして、情報セキュリティの基本概念を短く整理します。国際規格 ISO/IEC 27000 では、情報セキュリティを「情報の機密性・完全性・可用性を維持すること（preservation of confidentiality, integrity and availability of information）」と定義しています。3 つの要素は頭文字を取って CIA トライアドと呼ばれます。

 機密性（Confidentiality）: 許可された者だけが情報にアクセスできる状態。アクセス制御、認証、暗号化などで維持する

 完全性（Integrity）: 情報が正確であり、不正に改変されていない状態。改ざん検知、署名、変更ログなどで維持する

 可用性（Availability）: 必要なときに情報とシステムを利用できる状態。冗長化、バックアップ、DDoS 対策などで維持する

この枠組みを前セクションで見た脅威に当てはめると、現在のランサム攻撃の深刻さが整理できます。二重恐喝型のランサム攻撃は、データの窃取（機密性）、暗号化による改変（完全性）、システム停止（可用性）という 3 要素すべてを同時に侵害する攻撃です。バックアップは可用性の回復には有効ですが、機密性の侵害（漏えい）には対応できません。「どの対策がどの要素を守るのか」を意識することが、対策の抜けを見つける近道になります。

多層防御の全体像と各技術の守備範囲

単一の製品や対策で 10 大脅威のすべてをカバーする手段は存在しません。守備範囲の異なる対策を重ね、1 つの層が突破されても次の層で検知・低減する構成が多層防御（Defense in Depth）です。

多層防御の考え方: 侵入を前提に層を重ねる

参考: NIST Computer Security Resource Center Glossary（NIST SP 800-53 Rev. 5）
“The application of multiple countermeasures in a layered or stepwise manner to achieve security objectives.”
（セキュリティ目標を達成するために、複数の対策を階層的または段階的に適用すること）
https://csrc.nist.gov/glossary/term/defense_in_depth

多層防御を設計する際の前提は、「防御層はいずれ突破され得る」という考え方です。前セクションで見たとおり、実際の被害事例では正規の認証情報を使った侵入が起点になっており、この場合、境界の防御層は正面から突破されるのではなく素通りされます。したがって、侵入を防ぐ層（防御）だけでなく、侵入後の挙動を検知する層（検知）と、被害を受けても事業を戻せる層（復旧）まで含めて設計することが、現在の多層防御の要件です。

境界を守る: ファイアウォールと IDS/IPS

ファイアウォール（FW）は、送信元・宛先の IP アドレスやポート番号（L3/L4 情報）を基準に通信を制御する、境界防御の基本要素です。現在主流の次世代ファイアウォール（NGFW）や UTM は、アプリケーションの識別や既知の脅威検知まで守備範囲を広げています。IDS/IPS は通信の内容を検査し、攻撃パターンを検知（IDS）または遮断（IPS）します。NGFW/UTM では IPS 機能が同一筐体に統合されている構成が一般的です。

ここで実務上見落とされやすいのが、境界機器そのものが攻撃対象になっているという点です。10 大脅威 2026 の 4 位「システムの脆弱性を悪用した攻撃」と 8 位「リモートワーク等の環境や仕組みを狙った攻撃」の主な標的は、インターネットに面した VPN 装置やファイアウォールです。防御の要である機器が、パッチ未適用や不要な管理インターフェースの公開によって、逆に侵入口となる事例が続いています。境界機器を守る側の設定（管理アクセスの制限、不要サービスの無効化、ファームウェア管理など）については、関連記事『FortiGate のハードニング設定の実践手順』で詳しく解説しています。

Web アプリケーションを守る: WAF

WAF（Web Application Firewall）は、HTTP/HTTPS 通信に特化してリクエストの内容を検査し、SQL インジェクションやクロスサイトスクリプティング（XSS）といった Web アプリケーションへの攻撃を検知・遮断します。FW はポート単位の制御であるため公開 Web サーバー宛の 443/tcp は通す前提であり、IPS のシグネチャ検知も Web アプリケーション固有の文脈の解釈には限界があります。公開 Web アプリケーションを持つ場合、WAF は FW・IPS では代替できない層として位置付けられます。

端末を守る: アンチウイルスと EDR

端末側の防御は、役割の異なる 2 つの技術で構成されます。アンチウイルス（EPP）は既知のマルウェアの実行を防止する「防御」の層、EDR（Endpoint Detection and Response）は侵入後の不審な挙動を記録・検知し、調査と対処を支援する「検知・対応」の層です。正規の認証情報を使った侵入や、マルウェアを使わない攻撃手法に対しては、EPP だけでは検知の手がかりが乏しく、EDR の挙動監視が補完する関係にあります。

ただし、EDR は導入しただけでは機能しません。アラートを監視し、検知時に対処する運用体制が伴って初めて効果を発揮します。深夜や休日に攻撃が進行するケースは珍しくなく、自社での 24 時間監視が難しい場合は、SOC サービスや MDR（Managed Detection and Response）への外部委託が現実的な選択肢になります。「EDR を入れたのに被害に遭った」という事例の多くは、製品ではなく運用体制の問題に起因します。

守備範囲の比較: どの層がどの脅威に対応するか

各技術の守備範囲を、10 大脅威 2026 との対応で整理します。

技術	守る場所	主に対応する脅威（10大脅威との対応）	前提・限界
FW / NGFW	ネットワーク境界	不正アクセス全般、DDoS の一部（9 位）	許可済み通信・正規認証情報による侵入は素通しになる
IDS/IPS	ネットワーク境界・内部	脆弱性を悪用した攻撃（4 位）	未知の攻撃・暗号化通信内の検知には限界がある
WAF	公開 Web アプリケーション	Web 経由の侵入・改ざん（4 位の一部）	Web 以外の経路（VPN・メール等）は守備範囲外
EDR	端末・サーバー	ランサム攻撃（1 位）、標的型攻撃（5 位）の侵入後検知	監視・対応する運用体制が前提となる
バックアップ	データ	ランサム攻撃（1 位）の暗号化被害からの復旧	窃取・漏えい（機密性の侵害）には対応できない

この表が示すとおり、各技術には明確な守備範囲と限界があります。次のセクションでは、これらをすべて同時に導入できない現実を踏まえ、優先順位の付け方を整理します。

実務目線の対策優先順位: 何から着手するか

IPA 自身が示しているとおり、10 大脅威の順位は前年の社会的影響度であり、各組織が対策すべき優先順位ではありません。自組織の優先順位は、「攻撃者が実際に使っている侵入経路」と「被害が事業に与える影響の大きさ」の 2 軸で判断することを推奨します。2025 年の国内事例が示す侵入経路の実態（認証の弱点と境界機器の脆弱性）を踏まえると、限られたリソースで先に手を付けるべき対策は次の 3 点に集約されます。

優先度 1: 多要素認証の適用範囲の点検

多要素認証（MFA）は、盗まれた認証情報の悪用という最も一般的な侵入手口への直接的な対策です。実務上のポイントは、新規導入よりも「適用漏れの点検」にあります。アスクルの事例で侵入の起点とされたのは、多要素認証を適用していなかった認証情報でした。VPN、公開サービス、クラウドの管理コンソール、特権アカウントについて、「原則は MFA 適用」というルールがあっても、例外扱いのアカウント、テスト用アカウント、退職者の残存アカウントが漏れとして残っているケースは少なくありません。アカウントの棚卸しと例外の解消を、最初の点検項目とすることを推奨します。

優先度 2: インターネット境界機器の脆弱性管理

VPN 装置やファイアウォールなど、インターネットに面した機器の脆弱性は、公開から悪用開始までの期間が短く、放置がそのまま侵入口になります。対応の前提となるのは、外部に公開している資産（機器・サービス・管理インターフェース）を漏れなく把握していることです。把握していない資産の脆弱性には対応できないため、資産管理は脆弱性管理の一部として扱う必要があります。深刻な脆弱性が公開された際の対応判断（影響範囲の確認、適用可否とスケジュールの判断）の実例は、関連記事の『DirtyClone CVE-2026-43503｜Linux カーネル特権昇格の影響確認と暫定回避』も参考にしてください。

優先度 3: 暗号化被害を前提としたバックアップ設計

ランサム攻撃への備えとしてのバックアップは、「取得していること」ではなく「攻撃時に生き残り、復旧に使えること」が要件です。攻撃者は暗号化の前にバックアップサーバーを探して無効化を試みるため、設計段階で次の点を織り込むことを推奨します。

• 本番ネットワークから分離されたオフライン保管、または改ざん・削除を防ぐイミュータブル（WORM）ストレージの併用
• 自動バックアップの仕組みが、暗号化されたファイルで正常なバックアップを上書きしてしまわない世代管理
• バックアップからの復旧訓練の定期実施（復旧手順と所要時間を事前に把握しておく）

なお、前セクションで整理したとおり、バックアップが守れるのは可用性と完全性であり、二重恐喝による漏えい被害には対応できません。この限界を理解した上で、それでも事業継続の最後の層として最優先で整備する価値があります。

そのうえで: 検知層の強化と AI 利用ルール

上記 3 点が整った後の投資先としては、EDR やログ監視といった検知層の強化（運用体制とセットで）、そして 10 大脅威 2026 で初選出された AI リスクへの対応として、業務データを入力してよい AI サービスの範囲を定めた利用ルールの策定が挙げられます。すべてを同時に整備する必要はなく、侵入経路の実態に即した順序で段階的に積み上げる考え方を推奨します。

インシデント対応の初動: 隔離・保全・報告

対策を積み上げても、被害の可能性をゼロにすることはできません。被害範囲と復旧期間を左右するのは初動の質です。JPCERT/CC は、侵入型ランサムウェア攻撃の被害への対応方針として、被害範囲の把握と最小化、侵入経路の解消、そして次の点を挙げています。

参考: JPCERT/CC 侵入型ランサムウェア攻撃を受けたら読む FAQ
“攻撃者の要求には応じず、バックアップから復旧する”
https://www.jpcert.or.jp/magazine/security/ransom-faq.html

初動で実施すること

1. ネットワークからの隔離（ただし電源は切らない）
被害が確認された、または侵害の可能性があるシステムは、被害拡大を防ぐため速やかにネットワークから切り離します（LAN ケーブルの抜線、Wi-Fi の無効化）。一方で、機器の電源を落とすことは推奨されません。メモリ上に残る攻撃の痕跡が失われ、原因調査（フォレンジック）に支障が出るためです。「隔離はするが、電源は保持する」を初動の原則とすることを推奨します。

2. 被害を免れたバックアップの保護
暗号化の被害がバックアップに及んでいない場合、安全が確認できるまでバックアップサーバーやファイルの切り離し・退避を検討します。自動バックアップの仕組みが動き続けると、暗号化されたファイルで正常な世代が上書きされるおそれがあります。

3. 証拠の保全と時系列の記録
各種ログ、ランサムノート（脅迫文）、暗号化されたファイルの拡張子などは、原因特定とランサムウェアの種類の判別に使われる重要な材料です。あわせて、いつ何を確認しどう対応したかの時系列記録を残しておくと、その後の調査と関係先への報告の正確性が大きく変わります。

相談先と報告

初動と並行して、外部の支援と報告義務を確認します。相談先としては JPCERT/CC、IPA の相談窓口、都道府県警察のサイバー犯罪相談窓口があります。また、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい場合には、個人情報保護法に基づく個人情報保護委員会への報告と本人への通知が義務となります。要件の該当判断が必要になるため、被害の可能性を認知した早い段階で法務部門や外部専門家を交えることを推奨します。

復旧に際して重要なのは、侵入経路を特定して塞いでから復旧することです。原因に対処しないままシステムを戻すと、同じ経路から再度侵入される事例が報告されています。

まとめ

2026 年時点の企業のセキュリティ対策は、「高度な攻撃をどう防ぐか」よりも、「認証と境界という基本的な弱点をどう塞ぎ、被害を前提にどう備えるか」が焦点になっています。IPA の 10 大脅威 2026 と国内事例が示す実態を、自組織の対策の優先順位に落とし込むことが本記事の結論です。

• 2026 年の組織向け脅威はランサム攻撃とサプライチェーン攻撃が引き続き中心
• AI の利用をめぐるサイバーリスクが初選出、利用ルールの策定が対応の出発点
• 国内事例の侵入起点は多要素認証の適用漏れと境界機器の脆弱性に集中
• 多層防御は防御だけでなく、検知と復旧の層まで含めて設計する
• 優先は MFA の適用漏れ点検、境界機器の脆弱性管理、バックアップ設計の 3 点
• EDR は監視と対応の運用体制が伴って初めて機能する
• 初動はネットワーク隔離と証拠保全を優先し、侵入経路を塞いでから復旧する

以上、最後までお読みいただきありがとうございました。