見出し画像

IPA「10大脅威 2026」から見る自営業者も気をつけたいサイバーセキュリティとは

akifumiのAI活用で業務効率化note

「セキュリティ対策をしっかりやりましょう」と言われても、自営業や零細企業の現場では、何から手を付ければ実際の被害が減るのかが見えにくいのが正直なところではないでしょうか。

専任の情シスはおらず、社長兼経理兼総務という体制も普通で、AIツールも社員それぞれが好きに使い始めている。そういう現場感のまま2026年に突入しています。

そんな中で参考になるのが、IPA（独立行政法人 情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」です。2026年版は2026年1月29日に発表されました（出典: IPA「プレス発表『情報セキュリティ10大脅威 2026』を決定」）。

今回はこのランキングを、自営業・零細企業の経営者と、AIツールをすでに業務に入れ始めている現場の目線で読み直してみます。

私は士業向けにオフラインOCRアプリを作っている立場で「個人情報を含む紙の書類をどう扱うか」について日々考えています。

2026年版で「AIの利用をめぐるサイバーリスク」が3位に初登場

まずは組織向けランキングを並べます。順位はIPAの公式サイトおよびプレスリリースの内容に基づきます（出典: IPA「情報セキュリティ10大脅威 2026」）。

  1. ランサム攻撃による被害（11年連続）

  2. サプライチェーンや委託先を狙った攻撃（8年連続）

  3. AIの利用をめぐるサイバーリスク（2026年初選出）

  4. システムの脆弱性を悪用した攻撃

  5. 機密情報を狙った標的型攻撃

  6. 地政学的リスクに起因するサイバー攻撃（情報戦を含む）

  7. 内部不正による情報漏えい等

  8. リモートワーク等の環境や仕組みを狙った攻撃

  9. DDoS攻撃（分散型サービス妨害攻撃）

  10. ビジネスメール詐欺

連続年数の補足は中小企業向け解説記事の整理を参照しました（参考: 株式会社アズアシンプル「IPA『情報セキュリティ10大脅威 2026』完全解説」）。

2026年版で一番大きな変化は、「AIの利用をめぐるサイバーリスク」が初めて選出されて、いきなり3位に入ったことです。

やはりAIが実用化レベルになるにつれサイバーリスクが高まっていると考えられます。IPAのプレスリリースでも、想定されるリスクとして「AIへの不十分な理解に起因する意図しない情報漏えいや権利侵害」「AIの生成結果を検証せず鵜呑みにすることで生じる問題」「AIの悪用によるサイバー攻撃の容易化・巧妙化」の3点が明示されています（出典: IPAプレスリリース 2026年1月29日）。

ここで強調しておきたいのは、新顔は1つだけで、残りの9項目は引き続き常連だという点です。

攻撃パターンが急増したわけではなく、既存の手口が高度化・巧妙化していて、そこにAIという増幅装置が乗った、という読み方が現場感には近いと感じています。

自営業・零細企業の優先順位は「ランサム」「サプライチェーン」「AI」の3つか

10大脅威を全部やろうとすると大変ですがよくあるパターンを防ぐだけでかなりのリスクを減らすことができます。

ランサム攻撃（1位）：「バックアップが本当に戻るか」を一度だけ確認する

ランサム攻撃は11年連続で1位という、もう完全に固定砲台のような脅威です。NTTドコモビジネスの解説でも、暗号化に加え、データ窃取をちらつかせる二重恐喝型、暗号化せず公開だけで脅すノーウェアランサム、攻撃をサービス化したRaaSなど、手口は多様化していると整理されています（参考: NTTドコモビジネス「【2026年版】情報セキュリティ10大脅威と企業が取るべき対策」）。

零細レベルでやるべきことは、実はそれほど多くありません。(1) クラウドストレージとローカルの二重バックアップを取る、(2) バックアップが実際に復元できるかを年1回試す、(3) 業務PCのOS・ブラウザの自動更新を切らない、ぐらいです。

これだけで、ランサム被害から事業を立て直せる確率は大きく変わります。「バックアップは取っているはずです」で止まっているケースが、自営業の現場では一番多い印象でした。

サプライチェーン・委託先（2位）：自分が「踏み台」にされる側の自覚を持つ

サプライチェーン攻撃は、零細企業の経営者にとって**「自分が被害者になる側」だけでなく、『取引先を巻き込む加害側になり得る』という両面**で読むべき脅威です。

NTTの解説では、ターゲット企業のセキュリティが堅くても、取引先や委託先のセキュリティが手薄だとそこが侵入経路になる、と整理されています（参考: NTTドコモビジネス 同記事）。

自営業・零細レベルでは、(1) 取引先と共有するクラウド（Google Drive、Dropbox、kintoneなど）の権限を半年に1回見直す、(2) 退職者・契約終了した外注先のアカウントを残さない、(3) 顧問先・取引先と「インシデント時にどこに連絡するか」を1行だけ決めておく、というぐらいの粒度で十分です。

難しい契約書ではなく、メールに1行書いてあるだけで、いざというとき動けるようになります。

AIの利用をめぐるサイバーリスク（3位）：ここがいま一番後回しにされがち

そしてこのシリーズで一番踏み込みたいのが3位です。トレンドマイクロの解説では、AIサイバーリスクを**「AIを悪用した攻撃」「AIに対する攻撃」「運用上のリスクや法的リスク」の3つ**に分けて理解することが整理されています（参考: トレンドマイクロ「IPA『情報セキュリティ10大脅威 2026』：AIのサイバーリスクを3つに分けて理解する」）。

零細企業の経営者にとって、この3つのうち**もっとも現実的に毎日起きているのは3つ目の「運用上のリスク」**です。具体的には次のような場面でした。

  • 顧客リストや契約書のテキストを、無料プランの生成AIに貼り付けて要約させる

  • 従業員が個人アカウントで使っているChatGPTに、会社のデータを入れている

  • AIが返した誤情報をそのまま顧客に送ってしまい、後から訂正が必要になる

これは攻撃を受けたわけではなく、運用ルールがないまま現場でAIが浸透してしまった結果として発生している事故です。

IPA解説でも「AIに対する不十分な理解に起因する意図しない情報漏えい」が真っ先に挙げられている通り、零細レベルでは攻撃対策より先に、まずこの自爆型のリスクを潰す必要があります（出典: IPAプレスリリース 2026年1月29日）。

「AI利用ルールを紙1枚」だけ、今月中に作る

このシリーズで何度か書いてきましたが、AI関連のリスクはルールを最初に1枚決めるかどうかで結果が大きく変わります。社労士のAI活用記事で書いた「AIに渡さないデータを決めておく」という話と、構造としてはまったく同じです。

零細企業向けに最低限おさえるなら、紙1枚にこれだけ書いてあれば十分でした。

  • 入れていいデータ・入れてはいけないデータを線引きする：氏名・給与・マイナンバー・取引先名・金額の生データはNG。仮名化・レンジ化してから貼る

  • 使ってよいAIサービスを限定する：ビジネスプランで学習オフが標準のものを1〜2個に絞る。無料プランで会社業務はやらない

  • AIの回答は「下書き」として扱う：顧客に出す文面・契約書・見積もりは、必ず人間が一度読み直してから送信する

  • 困ったら止める／聞ける窓口を決めておく：「これ入れていいですか？」を経営者本人か特定の担当者に1分で聞ける運用にしておく

総務省・経済産業省のAI事業者ガイドラインも、AI活用にあたって透明性・リスク管理・人間の関与を強調しています。表現は固いですが、零細レベルでやるべきことの本質は、上の4行と同じだと自分は読んでいます。

残りの脅威は「ついで対策」でほぼカバーできる

10大脅威の4位以降は、零細企業からするとかなり対策が重なる領域です。

  • 4位 脆弱性を悪用した攻撃は、OS・ブラウザ・業務アプリの自動更新を切らないだけで、攻撃面の大半は塞がります

  • 8位 リモートワーク環境を狙った攻撃は、社用PC・スマホの多要素認証（MFA）と画面ロックを全員に強制するだけで、被害確率は大きく下がります

  • 10位 ビジネスメール詐欺（BEC）は、「振込先の変更依頼は必ず電話で確認する」というルール1行で、零細レベルの被害シナリオはほとんど潰せます

  • 7位 内部不正は、退職者のアカウントを当日中に止める運用と、共有フォルダの権限見直しでカバーできます

「特別な投資ではなく、運用の徹底」で殆どのリスクは防げます。逆に言えば、運用が決まっていない状態で高機能なEDRやSIEMを買っても、零細レベルでは扱いきれずに無駄になりがちでした。

自分のアプリ開発と関連して考えてみる

自分は士業やコンサルなど様々な書類を扱う方向けにオフラインOCRアプリを作っているので、「お客様のデータが、いつ、どこに、どの形で渡るか」について悩んだ結果、オフラインで完結するという方向性にしました。セキュリティの世界はトカゲの尻尾切りの世界でかつ高度な技術や経験、センスが問われる分野であり可能な限りシンプルに管理することで攻撃の機会を減らすことができます。

資本力のある運営会社でなければ実際は難しいのもありますが利便性を保ったままオフラインで対応できる箇所はオフラインという方向性は間違いないと考えています。

このようにAI活用とセキュリティ対策は別々の話に見えて、結局は「データの流れを意識的に設計するか、なんとなく流すか」の差でしかない、ということが言えます。

オフラインで動くようにこだわっているのは、書類画像を外部に出さずに済ませるという、いま一番零細の現場で求められている『AIに渡さない選択肢』をデフォルトにしたかったからです。

10大脅威2026を読み直して、この方向性は外していなかったとあらためて思っています。

経営者の側から見ても、AIツールを選ぶ基準は「便利さ」だけではなく「データがどこに行くか」を一段考えるだけで、3位の脅威に対する備えになります。難しい用語を覚える必要はなく、契約画面のデータ取扱欄に1分目を通す、それだけでも十分に違いが出ます。

Google Workspaceの人気の裏側にあるリスク

データの流れの設計に関してGoogleのSaaSについて語りたいと思います。クライアントのデータを学習に使用しないことを謳っているGoogle Workspaceはビジネス現場で一般的な選択肢の１つとなっています。AI製品も複数ありAIを安全(Googleを全面信用するなら)に使えることもありそれなりに浸透しています。

一方でGoogle Workspaceがきっかけではありませんが思いがけない方向性でアカウントがいつでも利用できなくなるリスクがあります。

このケースの場合は、Google DriveでおそらくAIか何かのアルゴリズムにより自動的に違反判定をもらいアカウント凍結をもらっています。判定基準の曖昧さが問われるところですがここで特に問題なのはGoogle Driveの違反でGoogleのサービス全般がこのことで利用できなくなってしまっていることです。

個人アカウントと企業アカウントで扱いは異なるかも知れませんが企業の製品がアダルト系や医療系、犯罪捜査系だった場合、自動判定で凍結する可能性がありこれはサイバーセキュリティをどれだけ気を配ったところで.防ぐことはできません。

一般的なSaaSの提供会社であれば訴訟や社会的な評判などもあり個別対応してくれますがGoogleほど巨大資本となると機会的にアカウントを凍結されて何も手が打てないまま終わることも考えられます。

何か意図せずセンシティブな情報を扱っていると自動判定でいきなり使用できなくなるリスクが大手サービスにはあります。

利用するしないに関わらず消えたら問題になるデータは手元に残しておく方が多くの場合において間違いがありません。

まとめ

2026年の情報セキュリティ10大脅威は、新顔は「AIの利用をめぐるサイバーリスク」1つだけで、残りはいつもの常連です。だからこそ、自営業・零細レベルでは絞り込みが効きます。

  • 1位ランサム対策はバックアップが実際に戻るかを1回試す

  • 2位サプライチェーン対策は共有クラウドの権限と退職者アカウントの棚卸し

  • 3位AIサイバーリスク対策はAI利用ルールを紙1枚で決める

  • 残りの脅威は自動更新・MFA・振込変更の電話確認でほぼカバーできる

  • 投資より先に運用ルールを書くほうが、零細レベルでは効く

来月までにやってみてほしいのは、たった1つです。社内（家族や外注先を含めてもOK）で、いまAIを使っている人・場面・データを、A4一枚に書き出してみてください。書き出した瞬間に、「あ、これは入れちゃダメだったな」という気づきが必ず1つは出てきます。そこが、2026年の自社のセキュリティ対策のスタート地点になります。

参考資料:

いいなと思ったら応援しよう！