情報セキュリティ10大脅威2026を中小企業向けに読むとどうなるか

IPAの情報セキュリティ10大脅威2026を中小企業向けに読むなら、順位どおりに進めないのが現実的です。VPN機器などの入口とバックアップ、次に送金のルールから手をつけます。IPA自身が、順位は危険度を表すものではないと書いています。

今日やることは2つあります。社外から社内へ入れる機器（VPN機器やリモートデスクトップ）⁠を書き出すことと、振込先の変更をメールだけでは受け付けないと経理に伝えることです。どちらも製品を買わずに始められます。

この記事は、IPAと警察庁の公開資料をもとに私たちが順番を組み替えたものです。並べ替えはIPAの見解ではありません。セキュリティの基本のカテゴリから全体を見られます。

10大脅威2026の組織編には何が入っているか？

IPAの公表ページ⁠によると、2026年1月29日⁠に公表された組織編は次の10項目です。前年の順位はプレス発表の記載です。

なぜ順位どおりに読まなくてよいのか？

IPAの解説書 組織編には、「順位が危険度を表しているわけではない⁠」⁠とあります。約250名⁠の選考会の参加者が、前年の事例から社会的に影響が大きかったと判断した順です。影響の広さで選ばれる以上、そのまま中小企業の優先順位になるとは限りません。

中小企業の現実に近い数字は、警察庁の令和7年⁠の情勢資料⁠にあります。

• ランサムウェアの被害報告は226件で、規模別では中小企業が約6割
• 業種別では製造業が約4割
• 被害組織へのアンケートでは、侵入経路はVPN機器が6割以上
• 復旧に総額1,000万円以上かかった組織が5割超
• 1か月未満で復旧した組織は5割強にとどまる

アンケートは回答した組織の結果で、すべての被害を表すものではありません。それでも、入口の機器を見直す理由としては十分です。

中小企業が先に手をつける順はどうなるか？

「同じ手で複数に効くか」「費用をかけずに始められるか」「止まると会社が困るか」⁠の3つ⁠で並べ替えると、次のようになります。

1番目：1位⁠、4位⁠、8位⁠は入口が重なる

名前は3つ⁠に分かれていますが、中小企業で守る場所は重なります。解説書は、VPN機器やCMSのようにインターネットから直接アクセスできる製品の脆弱性は、多くの企業に被害が及ぶおそれがあるとしています。リモートワーク用の機器が標的になりやすいとも書いています。

やることは次の4つです。

• 社外から入れる機器を書き出し、不要なものは止める
• 修正プログラムの出どころを決め、公開されたらすぐ当てる担当を決める
• VPNとリモート接続に多要素認証をかけ、使い回しのパスワードをなくす
• バックアップをネットワークから切り離して保管し、戻せるか試す

入口を抜けられた後に気づくには、端末の動きを見る仕組みが要ります。EDRの製品比較で候補を見られますが、製品より先に、通知を誰が見るかを決めてください。

2番目：10位⁠のビジネスメール詐欺を早める

順位は最後ですが、順番を早めます。ルールを決めるだけで始められ、1回⁠の被害が直接お金の損失になるからです。解説書が挙げる対策のうち、中小企業ですぐできるのは次の2つです。

• 金銭の支払いは複数人で審査し、1人⁠で判断を完結させない
• 振込依頼や口座変更は、普段の連絡手段とは別に事前に決めたルートで確認する

解説書は、生成AIを悪用した手口が多様化しているとも書いています。文面の違和感で見抜く方法に頼らず、確認の手順で止める考え方です。自社ドメインをかたるメールへの備えには、メールセキュリティの製品比較が参考になります。

3番目：2位⁠のサプライチェーンは、取引先から問われる形で来る

中小企業の場合、この脅威には2つ⁠の顔があります。自社が委託先に情報を預ける側の顔と、取引先の情報を預かる側の顔です。解説書は、攻撃の足掛かりにされた組織が取引先に損害を与え、取引停止や損害賠償を求められることもあると書いています。

経済産業省のSCS評価制度は、この問題に関わる制度です。2社間の取引で、委託元が委託先に適切な段階（★）⁠を提示し、実施状況を確認することを想定しています。★3と★4は2026年度末頃の申請受付の開始を目指しており、時期は変更の可能性があります。

経済産業省は、この制度に係る不適切な勧誘への注意も呼びかけています。評価基準の達成に特定の製品の導入が必須とされているわけではない点は、営業を受けるときに覚えておいてください。

4番目：7位⁠の内部不正と3位⁠のAIは、ルールから始める

解説書は、必要以上に高いアクセス権限が内部不正につながることを指摘し、権限の最小化、離任時のアカウント削除、定期的な棚卸しを挙げています。

3位⁠のAIで中小企業に身近なのは、職場で認められていないAIサービスを社員が個人で業務に使う「シャドーAI」⁠で⁠す⁠。業務データを入力すれば情報漏えいにつながり、会社からは利用が見えません。使ってよいサービスと、入力してはいけない情報を決めるところから始めます。禁止するだけだと、個人の利用が見えなくなるだけで終わりかねません。

5番目：5位⁠の標的型攻撃は、教育とメール対策で備える

機密情報を狙う攻撃です。技術情報を持つ製造業は無関係ではありません。社員の教育にはセキュリティ教育と標的型メール訓練の比較も使えます。担当者の育て方は兼任担当者に合う資格の順番⁠にまとめました。

6番目：9位⁠と6位は、自社の条件で順番を変える

DDoS攻撃は、インターネット上のサービスを使いにくくする攻撃です。会社案内だけのサイトであれば、当面は順番を後ろにしてよいと考えます。通販や受注をWebに頼っているなら、順番を早めてください。

地政学的リスクは自社だけで対策しにくく、できることは共通の対策と重なります。海外拠点や重要インフラとの取引がある場合は、別に検討します。

どんな条件なら順番を変えるべきか？

上の順番は、特定の業種を前提にしない目安です。次の場合は入れ替えてください。

• 取引先から期限つきでセキュリティの回答を求められている：3番目を先に
• 通販や予約をWebサイトで受けている：6番目のDDoS対策とサイトの保守を前に
• 社員が日常的に生成AIを使い始めている：4番目のルール作りを前に
• 個人情報を大量に持っている：内部不正と権限の見直しを前に

被害の形から考えたい場合は、サイバー攻撃の種類を被害から逆引きできる表⁠も使えます。

製造業で読むと何が変わるか？

たとえば、発注元の図面を預かり、生産管理のサーバーで受注から出荷までを管理している部品メーカーの場合です。ランサム攻撃でサーバーが止まると、自社の出荷だけでなく、発注元の生産計画にも影響する可能性があります。図面が漏れれば、預かった側の責任も問われかねません。

この会社に効く問いは、「どの脅威が上位か」ではなく、次の3つです。

• 生産管理のサーバーが止まったとき、紙や別の手段で何日出荷を続けられるか
• 預かっている図面は、どの共有フォルダにあり、誰が見られるか
• バックアップから戻すのに何日かかるか、試したことがあるか

警察庁の資料では、BCP（業務継続計画）⁠を策定済みの組織は被害組織の約18％でした。同じ資料は、サイバー攻撃は物理的な災害とは対応が異なるので、攻撃を想定したBCPを準備する必要があるとしています。

予算が少ないときは何を使うか？

脅威ごとに製品を買う必要はありません。IPAの解説書は、複数の脅威に有効な共通対策を7つ⁠に整理しています。

• インシデント対応体制の整備
• PC、サーバー、ネットワーク機器、Webサイトの適切な対策
• バックアップの運用
• 適切な報告、連絡、相談
• 情報リテラシーとモラルの向上
• 認証の適切な運用
• 安易に添付ファイルやリンクを開かないこと

中小企業向けの入口は、IPAの中小企業の情報セキュリティ対策ガイドラインです。2026年3月⁠の第4.0⁠版⁠で「バックアップを取ろう！」⁠が加わり、情報セキュリティ6か条になりました。付録の自社診断も同じページから入手できます。

監視まで外に頼むなら、IPAのサイバーセキュリティお助け隊サービス基準（2.1版）⁠が費用の目安になります。1類サービスの要件では、月額の上限はネットワーク監視で1万円⁠、端末監視で1台あたり2,000円です（いずれも税抜き）⁠。基準を満たすサービスにどの範囲が含まれるかは、契約の前に確かめてください。