2026年の日本のサイバーセキュリティ：経営者が押さえるべき主要脅威

IPA「情報セキュリティ10大脅威 2026」から見えること

IPAの「情報セキュリティ10大脅威 2026」は、2025年に発生した社会的影響の大きい事故や攻撃をもとに候補を選定し、研究者・企業実務担当者など約250名による審議・投票を経て決定されています。 IPA — 情報セキュリティ10大脅威 2026

組織向けの順位は以下の通りです。

出典：IPA — 情報セキュリティ10大脅威 2026。脅威名はIPAの表記を用い、経営層の問いを追加しています。

この順位は、すべての企業が同じリスクを同じ順番で抱えているという意味ではありません。

企業の規模、業種、保有データ、システム、取引先、事業モデルによって重要度は変わります。 IPA — 情報セキュリティ10大脅威 2026

1. ランサムウェアは「IT障害」ではなく「事業継続」の問題

ランサムウェアは、IPAの組織向け脅威で11年連続して選出され、2026年も第1位です。 IPA — 情報セキュリティ10大脅威 2026

警察庁によると、2025年には国内の企業・団体等で226件のランサムウェア被害が報告されました。 警察庁 — 令和7年におけるサイバー空間をめぐる脅威の情勢等

さらに重要なのは復旧です。

2025年について復旧期間の有効回答107件を見ると、

• 29件は1週間未満、
• 31件は1週間以上1か月未満、
• 15件は1か月以上2か月未満、
• 7件は2か月以上、
• 25件は回答時点で復旧中でした。 警察庁 — 令和7年におけるサイバー空間をめぐる脅威の情勢等

調査・復旧費用についての有効回答89件のうち、46件が1,000万円以上を報告し、そのうち5件は1億円以上でした。 警察庁 — 令和7年におけるサイバー空間をめぐる脅威の情勢等

これらは回答を得られた被害事例の集計であり、日本企業全体の平均費用や国内すべての被害を示す数字ではありません。

しかし、「侵入を防げるか」だけでなく、「被害が発生した後に事業を戻せるか」

を考える必要があることを示しています。

警察庁も、

• サイバー攻撃を想定したBCP、
• バックアップ、
• ログ、
• 訓練、
• 脆弱性対応、
• 認証強化

などの重要性を示しています。 警察庁 — ランサムウェア被害防止対策

2. 自社だけ守ってもサプライチェーン全体は守れない

IPAでは、「サプライチェーンや委託先を狙った攻撃」が2026年の第2位です。 IPA — 情報セキュリティ10大脅威 2026

企業は、

• サプライヤー、
• 協力会社、
• ITベンダー、
• クラウドサービス、
• 保守会社、
• 物流会社、
• グループ会社

など、多数の外部組織へ依存しています。

IPAが4,191社の中小企業を対象に実施した調査でも、サプライチェーン上の企業のセキュリティ不足が、

• 自社の事業停止、
• 重要情報漏えい、
• 製品・サービスの供給停止、
• 取引先への影響、
• 取引先攻撃の踏み台

につながり得ることが示されています。 IPA — 2024年度 中小企業における情報セキュリティ対策に関する実態調査（4,191社）

そのため、「当社は安全か？」

だけでは不十分です。

「当社が依存している企業が侵害された場合、何が起きるか？」

も考える必要があります。

SCS評価制度もこの流れの一つ

2026年3月、経済産業省と国家サイバー統括室は、SCS評価制度の制度構築方針を公表しました。

★3・★4を取得する企業の申請受付は、現時点で2026年度末頃（2027年1〜3月頃）を目指しています。IPAのFAQでは2027年3月頃の運用開始を予定しており、時期・詳細は公式発表により変更される可能性があります。 IPA — SCS評価制度：よくある質問

ただし重要なのは、SCSは任意制度です。

SCSそのものがすべての企業へ取得を義務付けたり、未取得企業との取引を一律に禁止したりするものではありません。

一方で、企業間の契約や取引条件の中で、必要なセキュリティ水準が求められる可能性はあります。 経済産業省・国家サイバー統括室 — SCS評価制度

3. AIもサイバーセキュリティのテーマになった

2026年の大きな変化の一つが、「AIの利用をめぐるサイバーリスク」が初めて10大脅威へ入り、いきなり第3位となったことです。 IPA — 情報セキュリティ10大脅威 2026

これは、AIを使うべきではないという意味ではありません。

重要なのは、

• どのAIサービスを利用してよいのか。
• どのデータを入力してよいのか。
• 社内システムへアクセスさせてよいのか。
• 顧客情報を扱わせてよいのか。
• AI Agentにどの操作を許可するのか。
• 重要なアクションには人の承認が必要か。
• ログは残るのか。
• 誰が責任を持つのか。

を決めることです。

AIが、文章を作るアシスタントから、業務プロセスへ参加する存在さらに、企業システムを操作する存在へ変わるほど、セキュリティとガバナンスの重要性も高まります。

実務的な設計については、ガバナンスされた企業AIと、Human-in-the-Loopガバナンスをご覧ください。未承認のAI利用についても、データとアクセスのルールを明確にする必要があります。

4. 高度なAI時代でも、基本的な脆弱性は重要

IPAの第4位は、システムの脆弱性を悪用した攻撃です。 IPA — 情報セキュリティ10大脅威 2026

警察庁はランサムウェアについて、VPN等のインターネットに露出した機器に対して、

• 未修正の脆弱性、
• 漏えいした認証情報、
• 弱いパスワード、
• 設定不備

などを悪用して侵入するケースが多いと説明しています。 警察庁 — ランサムウェア被害防止対策

つまり、

• AI、
• ゼロトラスト、
• 高度な監視、

といった最新技術を導入していても、

• 古いVPN機器、
• 不要な管理者権限、
• 使われていないアカウント、
• 管理者不明の外部公開システム、
• 未適用パッチ

が残っていれば大きなリスクになり得ます。

5. 「何を守るか」を経営側で決める

第5位は、機密情報を狙った標的型攻撃です。 IPA — 情報セキュリティ10大脅威 2026

守るべき情報は企業によって違います。

例えば、

• 設計図、
• 顧客情報、
• 技術資料、
• 価格情報、
• 財務情報、
• 契約、
• 社員情報、
• M&A情報、
• ソースコード、
• 製造ノウハウ、
• 経営計画

などです。

そのため、「攻撃者は何を狙うか？」

だけでなく、「当社にとって、失った場合・漏えいした場合・改ざんされた場合・利用できなくなった場合に最も大きな影響がある情報は何か？」

を考えることが重要です。

6. サイバー攻撃は一種類ではない

IPAの10大脅威には、

• 地政学的リスク、
• 内部不正、
• リモートワーク、
• DDoS、
• ビジネスメール詐欺

も含まれています。 IPA — 情報セキュリティ10大脅威 2026

これらは同じ対策では防げません。

MFAを導入してもDDoS対策にはなりません。

DDoS対策をしても、偽メールによる不正送金は防げません。

EDRを入れても、不必要なアクセス権限の問題は自動的には解決しません。

つまり、サイバーセキュリティ＝一つの製品

ではありません。

どの事業リスクに、どの対策を組み合わせるかという設計が必要です。

7. サイバーセキュリティは経営課題

経済産業省・IPAのサイバーセキュリティ経営ガイドライン Ver.3.0は、ITシステム・サービスを供給する企業や経営戦略上ITの利活用が不可欠な企業の経営者を対象としています。対象は大企業および中小企業（小規模事業者を除く）であり、攻撃・インシデントが発生する前から経営が関与することの重要性を示しています。 経済産業省・IPA — サイバーセキュリティ経営ガイドライン Ver.3.0

経営者がファイアウォールを設定する必要はありません。

しかし、

• 何を最重要資産とするか。
• どのリスクを受け入れるか。
• 誰が責任を持つか。
• 必要な予算・人材をどう確保するか。
• 重大インシデントを誰へ報告するか。
• どの業務を最優先で復旧するか。
• 重要取引先に何を求めるか。

を決めるのは、技術だけではありません。

経営ガイドラインは指針であり、法令や本記事の説明モデルを採用する義務を示すものではありません。 IPA — サイバーセキュリティ経営ガイドライン実践ナビ

8. ソフトウェア提供側の責任も変わっている

2026年3月31日、経済産業省と国家サイバー統括室は、「サイバーインフラ事業者に求められる役割等に関するガイドライン」を策定しました。

対象には、ソフトウェア、クラウドサービス、組込みソフトウェア、IT・OT・IoT機器に含まれるソフトウェアなどの開発・供給・運用事業者が含まれます。

Secure by DesignやSecure by Defaultの考え方も含め、ソフトウェア・サプライチェーン全体でのレジリエンス向上を目指しています。 経済産業省・国家サイバー統括室 — サイバーインフラ事業者に求められる役割等に関するガイドライン

これは、「買う側」だけでなく「提供する側」もセキュリティを考える方向が強まっていることを示しています。

このガイドラインは提供者と顧客が役割を確認するための参照資料です。各推奨事項をすべての企業に共通する法的義務として扱うものではありません。

9. 日本ではサイバーセキュリティ人材も不足

経済産業省の2025年報告では、民間のISC2 Cybersecurity Workforce Study 2023をもとに、日本では約11万人のサイバーセキュリティ人材が不足しているとの推計を紹介しています。 経済産業省 — サイバーセキュリティ人材の育成促進に向けた検討会：最終取りまとめ

ここで注意すべきなのは、11万人という数字は経済産業省が独自計測した人数ではなく、民間調査による推計を引用したものという点です。

それでも、すべての企業が、

• インシデント対応、
• クラウドセキュリティ、
• OT、
• AIセキュリティ、
• 脆弱性管理、
• GRC、
• フォレンジック

などの専門家をすべて社内採用することが難しい状況は理解できます。

重要なのは、どの責任を社内で持ち、どの専門能力を外部から活用するか

を設計することです。

10. セキュリティ製品の数だけでは成熟度は測れない

IPAの中小企業4,191社調査では、以下はすべて「実施している」と「一部実施している」を合計した割合です。

• OSやソフトウェアの最新化は73.0%。
• ウイルス対策ソフトの導入・定義ファイルの最新化は71.4%。

一方、

• インシデント発生時の緊急体制・対応手順などの準備は39.8%。
• セキュリティ対策をルール化し従業員へ示している企業は39.2%。
• 新しい脅威や手口を把握し社内共有する仕組みは37.9%

でした。 IPA — 2024年度 中小企業における情報セキュリティ対策に関する実態調査（4,191社）

これは中小企業を対象とした調査であり、日本企業全体へそのまま一般化するべきではありません。

しかし、製品を導入することと、組織として対応できることは別

という点をよく表しています。

11. サプライチェーンセキュリティは質問票だけではなくプロセスで考える

年に一度、取引先へセキュリティの質問票を送り、回答をフォルダーへ保存するだけでは、リスクを継続的に管理できるとは限りません。例えば、次のようなプロセスが考えられます。

1. 取引先を特定する
2. 事業上の重要度とアクセスを確認する
3. 必要なセキュリティ条件を選ぶ
4. 根拠資料を集める
5. リスクを確認する
6. 不足があれば是正し、確認またはエスカレーションを経て承認する。不足がなければ承認する
7. 重要な変化を継続的に確認する
8. 必要に応じて再評価する

これはAxtonによる説明用の例であり、SCSの公式評価手順を示すものではありません。

2026年に経営層が確認したい質問

これは法令・認証チェックリストではありません。

経営とセキュリティをつなぐための問いです。

最初の90日で何をするか

1〜30日：把握する

• 重要業務。
• 重要システム。
• 重要データ。
• 外部公開資産。
• 特権アクセス。
• 重要取引先。
• 復旧依存関係。
• AI利用。
• 既存ポリシー。
• インシデント対応体制。

を整理します。

31〜60日：優先順位を付ける

例えば、

• 重要脆弱性。
• MFA。
• 不要アカウント。
• 特権アクセス。
• バックアップ。
• 復旧テスト。
• 外部露出。
• 取引先リスク。
• AI利用ルール。

などから、事業影響の大きいものを優先します。

61〜90日：試す

• インシデント訓練。
• バックアップ復旧。
• システム停止シナリオ。
• 取引先侵害シナリオ。
• エスカレーション。
• 意思決定。

を実際に確認します。

この90日モデルはAxtonによる説明用モデルであり、IPA・経済産業省・警察庁・国家サイバー統括室の公式フレームワークではありません。90日でサイバーセキュリティ変革が完了することを約束するものでもありません。

防御だけではなく、レジリエンスを見る

Axton Group LTD Japanが支援できる領域

Axton Groupは、まず企業の事業環境とリスクを理解することから始めます。

プロジェクト内容・合意範囲に応じて、

• サイバーリスク・セキュリティ準備状況評価、
• 資産・アクセス・依存関係整理、
• ランサムウェア／サイバーレジリエンス準備、
• セキュリティガバナンス・ポリシー支援、
• サプライチェーン・第三者セキュリティ、
• SCS準備・ギャップ整理、
• AIセキュリティ・ガバナンス、
• インシデント対応準備、
• 是正ロードマップ、
• セキュリティ業務のワークフロー整理

などを支援できます。

高度なペネトレーションテスト、デジタルフォレンジック、24時間監視、専門的OT評価など、特定の専門能力が必要な場合は、プロジェクト内容に応じて適切な専門家・パートナーとの連携が必要となる場合があります。

Axtonのサイバーセキュリティ支援を見る

DXとサイバーセキュリティは別々のテーマではない

• ERP。
• CRM。
• クラウド。
• AI。
• サプライヤーポータル。
• 顧客システム。
• 工場。
• API。
• リモートワーク。
• 外部パートナー。

これらがつながるほど、サイバーセキュリティもDX設計の一部になります。

理想的には、

1. 事業目的
2. アーキテクチャ
3. データ・アクセス
4. セキュリティ要件
5. ワークフロー・統制
6. 実装
7. 監視・改善

という形で最初から考えます。

エンタープライズ業務自動化サービスでは、デジタル業務の設計について紹介しています。

2026年に問うべきこと

2026年の日本では、

• ランサムウェアは依然として最大級の課題です。
• サプライチェーン攻撃も続いています。
• AIという新しいリスクも加わりました。
• 脆弱性は引き続き狙われます。
• 機密情報も標的です。
• 内部不正、リモートワーク、DDoS、BEC、地政学的リスクも存在します。

同時に、

• SCS、
• Secure by Design、
• ソフトウェア供給側の責任、
• 経営層の関与、
• 人材育成

など、政策・制度面も変化しています。 経済産業省・国家サイバー統括室 — サイバーインフラ事業者に求められる役割等に関するガイドライン

必要なのは、すべての企業がすべてのセキュリティ製品を導入することではありません。

必要なのは、

• 何に依存しているか。
• 何を失うと最も困るか。
• 誰が責任を持つか。
• 予防に失敗したとき、どう事業を継続するか。

を理解することです。

そこから、サイバーセキュリティはサイバーレジリエンスへ変わります。

そして2026年、それはIT部門だけではなく、経営のテーマです。