情報セキュリティ10大脅威 2026を中小企業の対策に｜警察庁統計つき

情報セキュリティ10大脅威 2026の組織編は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクです。3位は今回が初選出です。2026年10月30日時点で最新の10大脅威は2026年版（2026年1月29日公開、最終更新2026年5月21日）で、IPA（独立行政法人情報処理推進機構）が公開しています。

順位を知るだけでは対策は進みません。この記事では、情報システムの専任担当者がいない中小企業の経営者・総務・情報システム担当者に向けて、10大脅威 2026を今期やる対策の優先順位に置き換えます。被害の実態は、警察庁が2026年9月に公表した令和８年上半期の資料で確かめます。

2026年10月30日時点の要点

中小企業が今期まず手を付けるのは、VPN機器等の更新とバックアップ、委託先との役割分担、生成AIの利用ルールだとHVLは考えています。

• 最新版：2026年10月30日時点で最新の10大脅威は、2026年1月29日に公開された2026年版です。
• 上位の変化：組織編3位の「AIの利用をめぐるサイバーリスク」が初選出となりました。
• 被害の実態：令和８年上半期のランサムウェアの被害報告件数は123件で、半期の件数として最多です（警察庁、令和８年９月）。
• 対策の考え方：IPAは、選出された脅威については極力もれなく対策を行うことが求められるとしています。順位は着手の順番を考える材料の一つです。

情報セキュリティ10大脅威とは

情報セキュリティ10大脅威は、IPAが前年の事故や攻撃の状況をもとに公開している脅威の一覧です。

「情報セキュリティ10大脅威 2026」は、2025年に発生した社会的に影響が大きかった情報セキュリティの事故や攻撃の状況などから、IPAが脅威候補を選定し、決定したものです。決定にあたっては、情報セキュリティ分野の研究者、企業の実務担当者など約250名のメンバーからなる「10大脅威選考会」が審議・投票を行っています。

「組織」向けの脅威には順位が付いています。「個人」向けは脅威名のみを五十音順で載せており、順位はありません。企業の対策を考えるときに中心となるのは組織編です。

読むときに注意したいのは、順位が低い脅威を後回しにしてよいという意味ではない点です。IPAは、複数の脅威にまたがる事案もあるため、各自の環境に照らし選出された脅威については、極力もれなく対策を行うことが求められるとしています。

HVLは、順位をそのまま自社の作業順にするのではなく、自社の環境に当てはめて着手の順番を決めることが大切だと考えています。たとえば、社外から社内に入る仕組みがある会社と、業務システムをすべて外部に任せている会社では、最初に確かめる相手も項目も変わります。

組織編10項目の一覧（2026年1月29日公開）

組織編の10項目は次のとおりで、順位・脅威名・初選出年・連続回数はIPAの記載のままです。

出典：IPA（独立行政法人情報処理推進機構）「情報セキュリティ10大脅威 2026」を基に作成。表の中身は原文のままで、列名のみ変更しています。「初めて選ばれた年」と「選出の状況」は、2016年以降の10大脅威での取り扱いです。

この表は、順位だけでなく選出の状況と合わせて読むと、脅威の性質が見えてきます。

• 長く続く脅威：1位・5位・7位はいずれも11年連続11回目です。一度対策すれば終わりではなく、続けて備える脅威といえます。
• 新しい論点：3位は初選出、6位は2年連続2回目です。従来の対策一覧に載っていない場合は、社内の確認項目に加える必要があります。
• 再び選ばれた脅威：4位の6年連続9回目、9位の2年連続7回目は、選出されなかった年を挟んでいます。

詳しく読みたい場合は、IPAの公開資料が使えます。解説書［組織編］は64ページで、2026年3月12日に公開されました。2026年4月10日には、8位の表「ランサムウェアの感染経路の割合」のデータが令和7年通年に差し替えられています。2026年5月21日には、個人編ハンドブックと対策マッピングシートが公開されました。

警察庁の令和８年上半期統計で見る被害の実態

警察庁の資料からは、ランサムウェアの被害が中小企業にも及び、侵入経路の中心がVPN機器であることが分かります。

ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、復号の対価を要求する不正プログラムです（警察庁「ランサムウェア被害防止対策」）。

次の数値は、いずれも警察庁『令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について』（令和８年９月）の記載です。

• 被害報告件数：令和８年上半期のランサムウェアの被害報告件数は123件で、統計を取り始めた令和２年下半期以降、半期の件数としては最多です。
• 侵入経路：被害組織へのアンケート結果では、VPN機器が約５割を占めます。インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっています。
• 被害企業の規模と業種：組織の規模別では、前年と同様に中小企業が約６割です。業種別では製造業が約３割です。
• 復旧の費用と期間：被害企業・団体等へのアンケートでは、復旧に総額1,000万円以上を要した組織の割合が全体の６割でした。１か月未満で復旧した組織の割合は全体の５割弱に留まります。

HVLは、この数値から次の3つを読み取っています。

• 「うちは小さいから狙われない」という前提で対策を先送りするのは危険です。
• 不審なメールへの注意だけでは足りず、社外とつながる機器の管理が対策の入口になります。
• 侵入を防ぐ対策に加えて、被害後に業務を戻す備えも経営の課題として扱う必要があります。

警察庁が中小企業に向けて周知している対策

警察庁は、ランサムウェア等の未然防止と被害拡大防止のため、次の対策を周知・啓発しています。特に被害が増加傾向にある中小企業が主な対象です。

• VPN機器等のぜい弱性対策
• 認証情報の適切な管理
• バックアップやログの適切な取得
• サイバー攻撃を想定した業務継続計画（BCP）の策定
• 被害発生時の速やかな警察への通報・相談

数値を読むときの注意

侵入経路の割合は、被害に遭った組織へのアンケートの結果です。調査の対象や期間が違う資料では、侵入経路の割合が異なる数字で示されることがあります。社内資料や提案書で数値を引用するときは、調査の名前と時点を一緒に書くことをHVLは勧めます。

上位3つを中小企業の対策に置き換える

上位3つの対策は、1位が入口・バックアップ・初動、2位が委託先との役割分担、3位が社内の利用ルールに置き換えられるとHVLは考えています。

1位 ランサム攻撃による被害 → 入口・バックアップ・初動

1位の対策は、侵入の入口を減らし、被害が起きても業務を戻せるように備えることです。具体的な内容は、警察庁のランサムウェア被害防止対策に沿って次のように整理できます。VPNとは、社外から社内のネットワークに安全に接続するための仕組みです。

• VPN機器やリモート接続の機器を一覧にし、更新が出たら速やかに適用します。警察庁は、主要な侵入経路であるVPN機器は速やかな対応が必要としています。
• 初期パスワードや簡易なパスワードをやめ、多要素認証とアクセス制限を組み合わせます。多要素認証とは、パスワードに加えて別の要素でも本人を確かめる方法です。
• バックアップはネットワークから切り離して保存するなど、暗号化されないように備え、復元できるか確かめます。
• 感染を疑ったら、パソコン等をネットワークから隔離し、電源は落とさず、警察に通報・相談します。

電源を落とさないという点は、とっさの場面では迷いやすい項目です。HVLは、初動の手順を紙やチャットの固定メッセージなどで事前に共有しておくことを勧めます。

2位 サプライチェーンや委託先を狙った攻撃 → 委託先との役割分担

2位の対策は、自社と委託先のどちらが何を担当するかを明確にすることです。サプライチェーンとは、製品やサービスが取引先や委託先を通じて届くまでのつながりを指します。

• 自社が取引先の攻撃の入口にならないよう、自社の対策を説明できるようにします。
• 業務システムやWebサイトを外部に任せている場合は、委託先に発行しているアカウント、更新の担当、事故時の連絡を契約で確かめます。
• 取引先からSCS評価制度の状況を聞かれる場面に備えます。

SCS評価制度は、サプライチェーン強化に向けたセキュリティ対策評価制度の略称です。2026年10月28日時点のIPAの公開情報では、★3・★4は2027年3月の受付開始に向けて整備中です。準備の進め方は、SCS評価制度の★3・★4の違いと中小企業の準備手順で整理しています。

3位 AIの利用をめぐるサイバーリスク → 社内の利用ルール

3位の対策は、生成AIの利用を社員任せにせず、使い方を社内で決めることです。全社的な考え方は、AIをめぐる攻撃・防御と社内AIの守り方も参考になります。

• 業務で使う生成AIを決め、入力してよい情報の範囲を決めます。
• AIが出力した内容やコードを、そのまま使わずに確認する手順を決めます。

入力・出力・運用に分けたルールの作り方は、生成AIの情報漏洩対策と社内ルールの進め方で解説しています。

HVLの見解：HVLは、上位3つのうち2位と3位は、自社のパソコンだけを守っても防げないと考えています。委託先や利用するサービスとの間で、誰が何をするかを決めることが対策の中心になります。システム開発・保守を受託する立場から見ても、この線引きは発注側と受託側の両方で確かめておきたい項目です。

4位以下で中小企業が見落としやすいもの

4位以下では、4位・7位・8位・10位が、担当者や手順を決めるだけで着手しやすく、見落としやすい項目だとHVLは考えています。

• 4位 システムの脆弱性を悪用した攻撃：自社のWebサイトや業務システムのソフトウェアの更新を誰が担当しているか確認します。脆弱性とは、ソフトウェアなどにある安全上の弱点のことです。AIが生成したコードを使う開発では、AI開発の脆弱性の混入経路と確認項目も確かめておきます。
• 7位 内部不正による情報漏えい等：退職者や異動者のアカウント、持ち出しのルールを確認します。
• 8位 リモートワーク等の環境や仕組みを狙った攻撃：自宅や外出先から社内に入る仕組み（VPN等）を一覧にします。
• 10位 ビジネスメール詐欺：振込先の変更依頼は、メール以外の手段で相手に確かめます。ビジネスメール詐欺とは、取引先などを装ったメールで送金などをさせようとする詐欺です。

残る5位・6位・9位も、対策が不要という意味ではありません。HVLは、まず次の確認から始めることを提案します。

• 5位 機密情報を狙った標的型攻撃：自社にとっての機密情報は何か、どこに置いているかを洗い出します。
• 6位 地政学的リスクに起因するサイバー攻撃（情報戦を含む）：海外の拠点や取引先との接続がある場合は、その一覧を作ります。
• 9位 DDoS攻撃（分散型サービス妨害攻撃）：Webサイトや公開サービスが止まったときの連絡先と、委託先の対応範囲を確かめます。

今期の優先順位表（HVLの目安）

今期は、今月中に現状の把握と手順の決定を進め、3か月以内に委託先との確認、半年以内に訓練まで進めることをHVLは目安と考えています。

時期別にやること

この表の時期はHVLの目安で、IPAや警察庁が定めたものではありません。

表を実行する手順

1. 経営者が担当者を指名し、社内で動ける範囲と相談先を決めます。
2. 担当者が機器・ソフトウェア・委託先の一覧を作ります。完璧を目指さず、分かる範囲から書き出します。
3. 一覧の項目ごとに、更新の担当者と確認の時期を書き加めます。担当者が空欄の項目は、そのまま課題として残します。
4. 委託先に確認が必要な項目をまとめて問い合わせ、契約書の記載と照らし合わせます。
5. 決まった手順を社内に共有し、初動の訓練で実際に動けるかを確かめます。
6. 訓練で詰まった箇所を手順に反映し、経営者に報告します。

自社の状況を確かめるチェックリストと判断基準

着手の順番は、次のチェックリストで現状を確かめ、判断基準の表に当てはめると決めやすくなります。

今期のチェックリスト

• VPN機器やリモート接続の機器の一覧がある。
• 機器やソフトウェアの更新の担当者が決まっている。
• 初期パスワードや簡易なパスワードが残っていない。
• 多要素認証とアクセス制限を組み合わせている。
• バックアップをネットワークから切り離して保存するなど、暗号化されない備えがある。
• バックアップから復元できることを試した。
• 委託先に発行しているアカウントを把握している。
• 更新の担当と事故時の連絡を契約で確かめた。
• 取引先に自社の対策を説明できる。
• 業務で使う生成AIと、入力してよい情報の範囲が決まっている。
• AIが出力した内容やコードを確認する手順がある。
• 退職者や異動者のアカウントを確認する手順がある。
• 振込先の変更依頼をメール以外の手段で確かめる手順がある。
• 感染を疑ったときの初動と連絡先（警察・委託先・取引先）がまとまっている。

どこから始めるかの判断基準

この表はHVLの考え方を示す目安です。複数に当てはまる場合は、社外とつながる機器の確認を先に進めることをHVLは勧めます。警察庁の資料でVPN機器が侵入経路の約５割を占めているためです（令和８年上半期、被害組織へのアンケート結果）。

つまずきやすい点と対処

対策が止まりやすいのは、技術の難しさよりも、担当や手順が決まっていない箇所だとHVLは考えています。

• 機器の一覧が作れない：社内で分からない機器は、導入した委託先や保守の窓口に尋ねます。分からない項目も「不明」と書いて残すと、次に確かめる先が明確になります。
• バックアップを取っているだけで安心してしまう：一部のデータで復元を試します。あわせて、誰がどの手順で復元するかも書き残します。
• 委託先がやっていると思い込む：更新やバックアップが契約に含まれているかを確かめます。記載がなければ、担当を決めて書面に残します。
• 生成AIのルールが禁止事項だけで終わる：業務で使うAIと、入力してよい情報をセットで決めます。使ってよい範囲を示すと、社員が判断しやすくなります。
• 初動の連絡先が担当者しか分からない：警察・委託先・取引先の連絡先を手順と一緒にまとめ、担当者が不在でも動けるようにします。社内のシステムが使えない場合に備え、参照する手段も決めておきます。
• 数値だけが社内で独り歩きする：経営会議などで数値を使うときは、調査の名前と時点を添えます。侵入経路の割合のように、資料によって数字が異なる項目があるためです。

中小企業の基本の対策との関係

10大脅威への対策の多くは、IPAの情報セキュリティ6か条の徹底から始まります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）の情報セキュリティ6か条は、次の6つです。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！

ガイドラインのコラムでも、参考として情報セキュリティ10大脅威「組織編」の共通対策が紹介されています。この記事の優先順位表と6か条を並べると、機器の更新、パスワード、バックアップといった項目が重なります。6か条を社内の共通言語にして、そこに委託先との役割分担と生成AIの利用ルールを加える形が進めやすいとHVLは考えています。6か条の進め方は、IPA第4.0版の6か条と中小企業の進め方で詳しく解説しています。

よくある質問

情報セキュリティ10大脅威 2026の1位は何ですか？

組織編の1位はランサム攻撃による被害で、11年連続11回目の選出です（2026年1月29日公開）。

2026年に初めて選ばれた脅威はありますか？

組織編3位の「AIの利用をめぐるサイバーリスク」が初選出です。

中小企業は10大脅威のどれから対策すればよいですか？

HVLは、1位のランサム攻撃への備え（VPN機器等の更新、バックアップ、初動）と、2位の委託先との役割分担の確認から始めることを勧めます。

警察庁の統計では、ランサムウェアの被害はどのくらいですか？

警察庁『令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について』（令和８年９月）では、令和８年上半期の被害報告件数は123件で、半期の件数として最多です。被害企業の約６割が中小企業です。

10大脅威の順位が低い脅威は対策しなくてよいですか？

対策しなくてよいという意味ではありません。IPAは、選出された脅威については極力もれなく対策を行うことが求められるとしています。

まとめ

情報セキュリティ10大脅威 2026は、ランサム攻撃、委託先を狙った攻撃、AIの利用をめぐるリスクが上位です。警察庁の令和８年上半期の資料でも、ランサムウェアの被害報告は123件と半期で最多で、被害企業の約６割が中小企業でした。中小企業は、VPN機器等の更新とバックアップ、委託先との役割分担、生成AIの利用ルールから順に手を付けることが、HVLの考える今期の優先順位です。

自社の業務システムやWebサイトの開発・保守の体制、委託先との役割分担を見直したい場合は、HVLのシステム開発・保守（システムインテグレーション）にご相談ください。開発・保守の進め方をまとめた資料の請求や、お問い合わせも受け付けています。