2026-04-25

情報セキュリティの今を読み解く：2026年版「10大脅威」TOP3に見る攻防の最前線

デジタル技術の発展とともに、私たちのビジネスや生活を脅かすサイバーリスクも日々進化しています。IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」は、その年の組織や個人が警戒すべきリスクを映し出す「羅針盤」のような存在です。

2026年版の公開から数ヶ月が経過した今、改めて上位3つの脅威に注目し、昨年度（2025年版）と比較しながら、私たちが今、何を最優先で対策すべきかを確認しましょう。

2026年版TOP3：変わらぬ脅威と新たな挑戦

2026年版「組織」向け脅威のTOP3は以下の通りです。

ランサム攻撃による被害
サプライチェーンや委託先を狙った攻撃
AIの利用をめぐるサイバーリスク（初選出）

昨年度と比較すると、1位と2位は不動の座を維持しています。しかし、3位に「AIの利用をめぐるサイバーリスク」という、かつてなかったカテゴリーが躍り出た点が、今年度最大の注目ポイントです。

1位・2位：不動の脅威が示す「終わらない戦い」

【1位】ランサム攻撃による被害（昨年度：1位）

ランサム攻撃は11年連続で選出され、6年連続の1位という「不動の脅威」です。攻撃の手口は単なるデータの暗号化にとどまらず、情報を窃取して公開すると脅す「二重脅迫」、さらにはDDoS攻撃などを組み合わせるなど、多角化しています。バックアップがあれば安心、という時代は過ぎ去りました。今やバックアップそのものの改ざんや破壊も試みられており、「侵入されることを前提とした多層防御」が必須となっています。

【2位】サプライチェーンや委託先を狙った攻撃（昨年度：2位）

強固な自社セキュリティ対策を施していても、セキュリティレベルが比較的甘い取引先や委託先を踏み台にされるケースが後を絶ちません。大企業だけでなく、中小企業が「標的の入り口」として狙われるケースが急増しています。自社の対策のみならず、取引先を含めたセキュリティの底上げ（サプライチェーンリスク管理）が、経営課題として重くのしかかっています。

3位：新時代の幕開け「AIリスク」

【3位】AIの利用をめぐるサイバーリスク（昨年度：選出なし）

2026年版で最も衝撃的だったのは、この項目の初選出です。急速な生成AIの普及により、二つの側面でリスクが拡大しました。

攻撃手法の高度化: 攻撃者が生成AIを悪用することで、フィッシングメールやビジネスメール詐欺（BEC）が極めて自然かつ高精度になり、見破ることが困難になっています。
組織利用の脆弱性: 従業員が安易に機密情報や個人情報をAIツールに入力してしまうことで、意図せず情報漏洩を起こすリスクが高まっています。

AIは業務効率を劇的に向上させる魔法の杖ですが、同時に「リスクの源泉」にもなり得るという認識を、組織全体で共有する必要があります。

まとめ：今、組織が取るべき対策

昨年度との比較から見えてくるのは、「既存の脅威は形を変えて居座り続け、そこに最新技術の悪用という新たなリスクが上乗せされている」という現状です。

私たちが意識すべきは、以下の3点です。

基本の徹底: 多要素認証（MFA）の導入やパッチ適用といった、いわゆる「衛生管理」の徹底は依然として最重要です。
サプライチェーンの可視化: 委託先のセキュリティ基準を確認し、契約や監査を通じて連携を強めることが、自社の守りにつながります。
AIリテラシーの向上: AIを使う際の「入力してはいけないデータ」の定義や、AIから生成された情報の真偽を確認するプロセスの構築が急務です。

サイバーセキュリティに「完全」はありません。しかし、最新の脅威を知ることは、守りを固めるための第一歩です。ランキング上位を他人事と思わず、今一度、自社の組織体制を見直してみてはいかがでしょうか。

今回は最新の10大脅威について解説しましたが、皆様の組織では、特に「AI利用」に関してどのようなルール作りや教育を行っていますか？ぜひ、取り組んでいる事例や悩みがあれば教えてください。

2026-03-28

■

日常業務のAI活用における留意点と活用する人間側が知っておくべきこと

生成AIの普及により、私たちの働き方は劇的な変革期を迎えています。議事録の作成からメールの返信、プログラミングやデータ分析まで、AIはもはや「特別な道具」ではなく、日常業務に欠かせないパートナーとなりました。

しかし、AIを「魔法の杖」のように捉え、無防備に業務へ投入することは、組織にとって大きなリスクとなり得ます。AIを真の力として活用するためには、AIが持つ「得意・不得意」を深く理解し、人間側がどのような姿勢で向き合うべきかを知ることが不可欠です。

本記事では、日常業務でAIを活用する際の留意点と、私たちが身につけるべき「AIリテラシー」について掘り下げます。

1. AI活用の落とし穴：知っておくべき「留意点」

AIは非常に強力ですが、万能ではありません。まずは、日常的に業務へ組み込む際に注意すべき3つのポイントを確認しましょう。

① AIの「ハルシネーション（幻覚）」への警戒

生成AIは、あたかも事実であるかのように、もっともらしい嘘をつくことがあります。これを「ハルシネーション」と呼びます。AIが出力した情報の正しさを鵜呑みにせず、必ず人間がファクトチェックを行うプロセスが必要です。特に、専門知識が必要な分野や最新の数値データに関しては、AIは「参考」にとどめ、一次情報源を必ず確認する癖をつけましょう。

② 機密情報・個人情報の取り扱い

AIツールに機密情報（顧客データや未発表の企画書など）を入力することは、非常に大きなリスクです。入力されたデータが、AIの学習データとして再利用される可能性があるからです。組織としてのルールを策定し、「AIに入力してよい情報」と「入力してはいけない情報」を明確に区分けすることが、情報漏洩を防ぐ第一歩となります。

③ 著作権と法的リスク

AIが生成したコンテンツが、既存の著作物に酷似してしまう可能性はゼロではありません。生成されたものをそのまま商用利用する場合、著作権侵害のリスクを考慮する必要があります。また、生成AIの規約は頻繁に変更されるため、利用しているAIサービスの規約を定期的にチェックする習慣も重要です。

2. 人間側に求められる「AIリテラシー」と姿勢

AIを使いこなすために最も重要なのは、AIを「道具」ではなく「優秀だが少し抜けているアシスタント」として扱う視点です。

「問いを立てる力（プロンプト力）」を磨く

AIの出力結果は、こちらの指示（プロンプト）の質に大きく左右されます。単に「メールを書いて」と頼むのではなく、「ターゲット、目的、トーン、含めるべきポイント」を明確に伝えることで、AIの回答精度は劇的に向上します。つまり、AIを使いこなす力とは、**「自分が何を求めているのかを論理的に言語化する力」**に他なりません。

批判的思考（クリティカルシンキング）を忘れない

AIが出した回答を「もっともらしいから」とそのまま採用するのではなく、「本当にこれで正しいのか？」「他に最適な選択肢はないか？」と疑う姿勢を持ちましょう。AIはあくまで過去のデータの集積から確率的に回答を生成しているに過ぎません。最終的な責任を取り、意思決定を行うのは常に「人間」であることを忘れてはなりません。

AIと共に学び続ける「成長マインドセット」

AIの技術進化は猛烈な速さで進んでいます。昨日まで使えていた手法が、今日にはより効率的な方法に取って代わられることも珍しくありません。AIのトレンドを追い続け、新しい機能が出ればまずは試してみるという「好奇心」こそが、これからの時代を生き抜く最大のスキルとなります。

3. まとめ：AIとの共生に向けて

AIは業務の効率を飛躍的に高めてくれる強力な武器です。しかし、その武器を使いこなすためには、私たち人間側が「AIは完璧ではない」という前提に立ち、慎重かつ大胆に付き合っていく必要があります。

日常業務においてAIを活用する際は、以下の3つの質問を自分自身に投げかけてみてください。

この情報の正確さを、誰がどうやって担保するのか？
入力しようとしている情報に、機密は含まれていないか？
AIの出力結果を、自分の言葉で説明できるか？

AIは人間の創造性を奪うものではなく、むしろ補完し、より付加価値の高い仕事へ私たちを解き放つ存在です。留意点をしっかりと押さえた上で、良きパートナーとしてAIと共生するスキルを磨いていきましょう。

AI活用において、皆さんが「これだけは気をつけている」という独自のルールや、業務効率が劇的に変わった「おすすめの活用シーン」などはありますか？ぜひ共有していただければ嬉しいです。

2026-02-14

耐量子計算機暗号（PQC）への移行と現実的な課題：2026年からの備え

量子コンピュータの進歩は、現代のデジタル社会の根幹を支えるセキュリティ技術に静かな、しかし確実な革命を迫っています。現在、私たちがインターネット通信や電子署名で当たり前のように使っている「RSA暗号」や「楕円曲線暗号」は、量子コンピュータが実用化された暁には、短時間で解読されてしまうリスクを抱えています。

この脅威に対抗するために開発されているのが耐量子計算機暗号（PQC：Post-Quantum Cryptography）」です。2026年を迎えた今、PQCへの移行は単なる「未来の技術論」ではなく、喫緊の経営課題となりつつあります。本記事では、なぜ今移行が必要なのか、そして直面する現実的な課題について解説します。

1. なぜ「今」なのか？：ハーベスト攻撃の脅威

「量子コンピュータが完成するのはまだ先の話だから、対策も先延ばしでいいのでは？」と考えるのは危険です。その理由は「ハーベスト攻撃（Harvest Now, Decrypt Later：HNDL）」にあります。

これは、攻撃者が現在やり取りされている暗号化通信をそのまま保存し、将来的に強力な量子コンピュータが完成した段階で、過去のデータを一斉に解読するという手法です。つまり、「今、守るべき機密情報は、将来解読されるリスクにすでにさらされている」のです。

特に、数十年単位で秘匿すべき医療データ、防衛関連情報、企業の重要な知財などは、今すぐPQCを見据えた保護対策を講じなければなりません。

2. PQC移行における現実的な壁

米国国立標準技術研究所（NIST）は、2030年までに重要インフラでの移行、2035年までの全システム移行を一つの指針として掲げています。しかし、現場での移行は決して平坦ではありません。

① 暗号技術の刷新に伴うシステム負荷

PQCの多くは、従来の暗号方式とは異なる数学的手法（格子問題など）を採用しています。これらは従来の暗号と比べて、鍵のサイズが大きかったり、処理に必要な計算資源が異なったりする場合があります。既存のネットワーク機器や組み込みデバイスでこれらをサポートしようとすると、ハードウェアのスペック不足や通信遅延が発生する可能性があるのです。

② 暗号移行の複雑性とクリプトアジリティ

多くの企業システムでは、数十年前に導入されたレガシーシステムが複雑に絡み合っています。どこで、どのような暗号が使われているかを正確に把握（インベントリ管理）すること自体が困難なケースも少なくありません。ここで重要になるのが「クリプトアジリティ（暗号の柔軟性）」という考え方です。特定の暗号方式に固定するのではなく、将来的に新しいアルゴリズムへ容易に切り替えられるような設計が求められています。

③ 「安全性の過信」というリスク

PQCは量子コンピュータに対して安全であると期待されていますが、数学的な完全性が証明されたわけではありません。新しいアルゴリズムが、将来的に別の攻撃手法によって破られる可能性も否定できません。そのため、「既存の暗号方式とPQCを組み合わせたハイブリッド方式」を採用するなど、リスクを分散させる慎重な戦略が必要です。

3. 私たちが今、着手すべきアクション

移行は一朝一夕にはいきません。組織がまず取り組むべきは以下のステップです。

アセットの棚卸し: 自社システムで、どの通信やデータが暗号化されているか、特に「機密性が高いものはどれか」を可視化すること。
専門体制の構築: セキュリティ担当者だけでなく、システム開発や経営層を含めた「暗号移行検討チーム」を組成すること。
情報収集とベンダー選定: 使用している製品やクラウドサービスが、将来的にPQCへ対応するロードマップを持っているかを確認すること。

まとめ：防御の「長寿化」を目指して

PQCへの移行は、デジタル社会における「長期的な安全保障」を構築するプロセスです。今すぐ全てのシステムを入れ替える必要はありませんが、「将来にわたって機密性を維持すべきデータ」に対しては、今すぐPQCを考慮した設計を取り入れるべきです。

技術の進化に合わせて自らも進化し続けること。それが、量子コンピュータ時代においても揺るがない信頼を築く唯一の道なのです。

今回はPQCの概要と課題についてお伝えしました。皆さんの組織では、現在使用している暗号方式の管理や、将来の量子コンピューティング対策についての議論は始まっていますか？ぜひ、現場で感じている「移行の難しさ」について、コメントやフィードバックをいただければ幸いです。

2026-01-10

■

脆弱性診断のプロが語る：組織を護るための診断種別と運用の勘所

セキュリティ業界に身を置き約10年、現場で脆弱性診断やペネトレーションテストを5年以上経験した身からすると、脆弱性診断は「一度やって終わり」の作業ではありません。それは、企業の生命線であるシステムを健康に保つための「定期検診」であり、同時に、攻撃者という「見えざる敵」との絶え間ないチェスなのです。

本記事では、技術的な視点と運用者としての視点の両面から、脆弱性診断の正しい捉え方と、持続可能な運用のあり方を解説します。

1. 脆弱性診断の種別：何を、どう選ぶべきか

脆弱性診断には大きく分けて「自動診断」と「手動診断」の2つのアプローチがあります。どちらが優れているかという議論は無意味です。重要なのは「目的」と「コスト（時間・予算）」に応じた使い分けです。

自動診断（ツール診断）

専用のツールを用いて、既知の脆弱性パターンを広範囲にスキャンする手法です。

強み: 低コストかつ高速に広範囲をカバーできる。CI/CDパイプラインに組み込むことで、リリース前に自動でチェック可能。
弱み: 誤検知が多く、ツールでは見抜けない論理的な脆弱性（ビジネスロジックの欠陥など）の検出には不向き。

手動診断

専門のセキュリティエンジニアが、攻撃者の視点に立ち、対象システムを深掘りする手法です。

強み: 認証のバイパス、権限昇格、ビジネスロジックの脆弱性など、ツールでは検知不能な複雑な欠陥を発見できる。
弱み: コストと時間がかかる。エンジニアのスキルに依存する。

2. 現場が知るべき「運用」の真実：診断は始まりに過ぎない

多くの企業で診断結果が「報告書を受け取って、放置される」という最悪のケースが見受けられます。プロフェッショナルとして断言しますが、診断の結果（レポート）よりも、その後の「修復とプロセス改善」こそが価値のすべてです。

効果的な運用のサイクルは、以下のステップで設計します。

アセットの可視化: どこに、どのようなシステムがあるのか。管理されていない資産（シャドーIT）は、間違いなくそこから狙われます。
リスクに基づく優先順位付け: 全ての脆弱性をゼロにすることは非現実的です。ビジネスインパクトの大きさと攻撃の容易性を天秤にかけ、優先すべき修復項目を明確にします。
修復（パッチ適用・ロジック修正）: 開発チームを巻き込み、修正が既存機能を壊さないよう、検証プロセスを確実に回します。
検証（再診断）: 修復が正しく機能しているか、プロの目線で再確認します。
フィードバック: なぜその脆弱性が生まれたのか（設計ミスか、教育不足か）を分析し、開発プロセスの「上流」にフィードバックして再発を防ぎます。

3. プロの視点：持続可能なセキュリティ運用へ

診断を「イベント」から「ルーチン」へと昇華させることが、組織の成熟度を決めます。

「クリプトアジリティ」と「脆弱性管理」の融合: 特定の環境に依存しない、柔軟な運用体制を整えること。
開発チームとの対話: セキュリティ担当者は「警察」ではなく「パートナー」であるべきです。開発のスピードを阻害せず、いかにセキュリティの品質を担保するか。この難題に答えを出し続けるのが、私たちの仕事です。

結局のところ、脆弱性診断は「システムの状態」を知るための手段に過ぎません。その先にある「ビジネスをどう守り、安全に成長させるか」という目的を見失わない限り、診断という行為は組織の最大の資産になります。

まずは、直近のシステムで「診断結果の放置」がないか、確認することから始めてみてください。それが、プロとしてのアクションの第一歩です。

今回は脆弱性診断の全体像について解説しました。皆さんの組織では、診断結果の修正プロセスで「開発側との調整」に苦労していませんか？「技術的な課題」よりも「組織的な課題」に焦点を当てた、実践的な解決策についてお話しするのも良いかもしれませんね！

2025-12-23

セキュリティチェックシートの「終わらない地獄」から脱却するために：次世代の管理手法

セキュリティ業界で10年以上のキャリアを積み、数多くの企業のセキュリティ監査やリスク評価に関わってきた中で、最も多くのIT担当者が苦悩しているのが「セキュリティチェックシートの運用」です。

数百項目に及ぶExcelシートの送付、回答の催促、そして届いた回答の精査と保管。このルーチンワークに膨大なリソースを割き、本来注力すべき「リスク分析」や「対策の高度化」がおろそかになっている組織を数多く見てきました。

今日は、この「チェックシートの課題」をどう乗り越えるか、株式会社アシュアードが提供するサービスを活用した、プロフェッショナルな視点での解決策を提案します。

1. チェックシート運用における「3つの限界」

現場で私たちが直面している課題は明白です。

回答側（プロバイダ企業）の負荷: 顧客ごとに異なるフォーマットのシートに回答し続けることは、業務を圧迫し、回答精度の低下を招きます。
確認側（ユーザ企業側）の硬直性: シートの内容が形骸化し、「項目を埋めること」自体が目的化しています。最新の脅威トレンドや、各サービスの技術的な実態を反映しきれていません。
管理の属人化: 評価結果が個人のPCやメールに埋もれ、資産として蓄積されません。組織的なリスク可視化が極めて困難です。

これらはもはや「頑張り」で解決できる問題ではなく、「プロセスの転換」が必要です。

2. アシュアードを活用した「持続可能なセキュリティ評価」

私がセキュリティ監査の現場でアシュアードのようなクラウド型プラットフォームを高く評価するのは、単にチェックを自動化するからではありません。「信頼のデータベースを共有する」という構造自体が、本質的なリスク管理を可能にするからです。

効率化の鍵：評価の「共通化」

アシュアードを活用することで、プロバイダは「一度回答すれば複数の顧客に共有できる」という環境を手に入れます。これにより、プロバイダは「作業」に追われることなく、最新のセキュリティ情報を回答の基盤として整備することに注力できます。

専門家の視点：評価精度とスピードの向上

プロの現場から見て特に優れていると感じるのは、「専門家による精査済みのセキュリティチェックシート」に即座にアクセスできる点です。自社でゼロから調査しなくても、標準化された高い基準で評価された情報を参照できることは、組織の判断スピードを劇的に変えます。

3. 私たちが目指すべき「真のセキュリティ」

セキュリティ担当者の本来の価値は、シートの回収率を上げることではなく、「経営リスクをいかに把握し、コントロールするか」にあります。

アシュアードのようなツールによって、事務作業という「守りのコスト」を最小化できれば、私たちは以下のような「攻めの守り」にリソースを集中できます。

リスクベースのアプローチ: 評価結果を基に、高リスクな箇所へ優先的に人的リソースを投入する。
サプライチェーンの可視化: どのサービスがどのようなセキュリティ対策を講じているのかを一覧で把握し、有事の際の初動対応を迅速化する。
開発チームとの対話: 契約や調達段階からセキュリティ要件を組み込み、セキュアな開発文化を醸成する。

まとめ：進化するリスクマネジメント

セキュリティチェックシートは、ツールによって「事務作業」から「戦略的リスク管理」へと進化させることができます。

デジタル化が加速する2026年の今、レガシーな運用に固執することは、そのまま組織の脆弱性に直結します。アシュアードのようなサービスを取り入れ、人間がすべき「リスクの判断」に集中する体制を作ること。これこそが、現代のセキュリティ専門家が取り組むべき最も重要な「改革」です。

皆さんの組織では、チェックシートの運用を「終わらせるための工夫」を何か始めていますか？ぜひ、現場の知恵を共有し合っていきましょう。

今回はチェックシートの自動化・効率化について触れましたが、次回は「評価結果をどのように経営層へ報告し、予算確保に繋げるか」という、もう少し組織論に踏み込んだ内容をお話ししようと考えています。皆さんが評価後の「リスク対応」で最も苦労している点はどこですか？

2023-03-23

「情報セキュリティ10大脅威 2023」が公開されました

今年もIPAから「情報セキュリティ10大脅威 2023」が公開されました。

（詳細は以下リンクから）

情報セキュリティ10大脅威 2023：IPA 独立行政法人情報処理推進機構

以下の表を俯瞰してみると、上位に大きな変動はないものの、COVID-19によって変化したテレワーク等働き方の隙を狙う攻撃が4位にランクインしており、攻撃者は常に新たな攻撃の糸口を探していることが伺えます。

また、2位にサプライチェーンの弱点を悪用した攻撃が前年順位を上回ってランクインしており、2022年3月1日にトヨタ自動車のサプライチェーンに連なる小島プレス工業がマルウェア被害を受け、トヨタの14工場の28ラインが止まったことは、自動車業界に非常に大きな影響を及ぼしたと言えるでしょう。

1位のランサムウェアによる被害も後を絶たず、業界を問わず脅威の主流となっていることからもサイバー攻撃が愉快犯的なものからビジネス化してきていることの証左だと考えられます。

前年順位	個人	順位	組織	前年順位
1位	フィッシングによる個人情報等の詐取	1位	ランサムウェアによる被害	1位
2位	ネット上の誹謗・中傷・デマ	2位	サプライチェーンの弱点を悪用した攻撃	3位
3位	メールやSMS等を使った脅迫・詐欺の手口による金銭要求	3位	標的型攻撃による機密情報の窃取	2位
4位	クレジットカード情報の不正利用	4位	内部不正による情報漏えい	5位
5位	スマホ決済の不正利用	5位	テレワーク等のニューノーマルな働き方を狙った攻撃	4位
7位	不正アプリによるスマートフォン利用者への被害	6位	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	7位
6位	偽警告によるインターネット詐欺	7位	ビジネスメール詐欺による金銭被害	8位
8位	インターネット上のサービスからの個人情報の窃取	8位	脆弱性対策情報の公開に伴う悪用増加	6位
10位	インターネット上のサービスへの不正ログイン	9位	不注意による情報漏えい等の被害	10位
圏外	ワンクリック請求等の不当請求による金銭被害	10位	犯罪のビジネス化（アンダーグラウンドサービス）	圏外

これらの脅威とリスクを正しく認識し、セキュリティ対策に繋げていくことが重要ですが、対策そのものを間違えてしまう事例もあるため、IPAの公開する「共通対策情報セキュリティ対策の基本と共通対策」-https://www.ipa.go.jp/files/000108841.pdf
を一読し、情報セキュリティ対策の基本と自組織への活用について検討を行うことを推奨いたします。