情報セキュリティ10大脅威2026、中小企業の社長が予算を決める読み方

IPA（独立行政法人情報処理推進機構）が発表した「情報セキュリティ10大脅威 2026」は、2025年に発生した社会的に影響が大きかった情報セキュリティの事故や攻撃の状況などに基づき、専門家が選定した脅威のリストです。しかし、中小企業の経営者がこの資料を見る際、単に「1位だから対策が必要だ」と順位だけで判断するのは避けてください。

順位はあくまで社会全体の傾向であり、必ずしも自社の直近の危険度と一致するわけではありません。まずは、リストにある脅威を「自社の業務が止まるリスク」や「取引先から信頼を失うリスク」という言葉に置き換えて考えることから始めてください。

それが、実効性のある予算を決めるための第一歩となります。

脅威の順位を自社のリスクへ変換する

順位の高さと自社の危険度は別物と理解する

「情報セキュリティ10大脅威」における順位は、社会全体で発生した事案の規模や影響度に基づいています。例えば、1位の「ランサム攻撃による被害」は、多くの企業が深刻な影響を受けたことを示していますが、これが直ちに貴社の明日への脅威であるとは限りません。

経営者が陥りやすいのは、順位が高いものに対して「とりあえず対策しなければ」と、根拠の薄い予算を組んでしまうことです。対策にはコストがかかるため、社会的な流行に流されるのではなく、自社の事業内容に照らし合わせることが重要です。

対策を検討する際は、担当者に「この脅威が起きた場合、当社のどの業務が、どのくらいの期間止まる可能性があるか」を具体的に質問してください。順位という数字ではなく、自社の事業継続におけるインパクトの大きさで脅威を評価することが、正しい予算配分の出発点となります。社会的な統計データは、あくまで「世の中で何が起きているか」を知るための材料として活用しましょう。

業務停止リスクとして脅威を捉え直す

脅威の名前を、経営者が理解しやすい「業務への影響」という言葉に翻訳してみましょう。例えば「ランサム攻撃」は、データを人質に取られて業務が完全にストップしてしまう「業務停止リスク」です。「DDoS攻撃」は、ウェブサイトが見られなくなることによる「顧客対応不能リスク」と言い換えられます。

このように、技術的な用語を「仕事がどうなるか」という言葉に置き換えることで、対策の必要性が明確になります。

予算を検討する場面では、単に「セキュリティソフトの導入」という名目ではなく、「業務停止を防ぐためのバックアップ体制構築」といった目的をセットで考えます。もし、特定のシステムが止まった際に、受注や出荷が止まってしまうのであれば、そのシステムを守るための対策は、単なるIT費用ではなく、事業継続のための投資となります。

この視点を持つことで、対策の優先順位が自然と見えてくるはずです。

取引継続のリスクとして評価する

中小企業にとって、セキュリティ対策は「取引先との信頼関係」に直結します。2位にランクインしている「サプライチェーンや委託先を狙った攻撃」は、まさにこの点を示唆しています。自社が直接攻撃を受けなくても、自社を経由して取引先が被害に遭う、あるいは「セキュリティ対策が不十分な会社とは取引できない」と判断されることは、売上の喪失に直結する重大なリスクです。

例えば、大手メーカーや公共機関との取引がある場合、相手方からセキュリティに関する調査票の提出を求められることがあります。このとき、対策ができていないと、新規案件の獲得が難しくなったり、既存の契約を解除されたりする恐れがあります。

予算を検討する際は、「この対策を行うことで、取引先からの信頼をどう維持・向上できるか」という視点を加えてください。セキュリティは、守りの手段であると同時に、攻めの営業基盤を作るための条件でもあります。

具体的対策への予算化を進める手順

業務フローに基づいた脆弱な箇所の特定

予算を決める前に、まずは自社の業務がどのように情報のやり取りを行っているかを整理します。ITの専門用語を使わずに言えば、「誰が、いつ、どの道具（パソコンやクラウド）を使って、どんな情報を送っているか」を確認することです。

例えば、営業担当者が外出先から顧客情報を扱うのか、工場で製造データをクラウドに保存しているのかといった、実際の動きに注目します。この業務フローの中に、攻撃の入り口になりそうな箇所がないかを探ります。

担当者へは、「現在の業務の中で、もし情報が漏れたり、システムが使えなくなったりしたら、一番困る作業はどれか」と尋ねてみてください。その回答が、予算を優先的に投入すべき場所になります。全ての箇所を漏れなく守ることは現実的ではありません。業務の重要度に合わせて、守るべきポイントを絞り込む作業が、限られた予算を有効に使うための鍵となります。

対策に必要なリソースを分類する

対策には、大きく分けて「道具（ツール）」「人（体制）」「ルール（仕組み）」の3つの要素があります。セキュリティソフトなどの製品を購入するのは「道具」の対策です。一方で、社内の担当者を教育したり、専門家に相談したりするのは「人」の対策です。

そして、パスワードの管理方法や、トラブルが起きた時の連絡手順を決めるのが「ルール」の対策です。予算を組む際は、これら3つのバランスを考慮する必要があります。

例えば、高価なセキュリティ製品（道具）を導入しても、使う社員がルールを無視していたり、トラブル時に誰に連絡すべきか分からなかったりすれば、効果は半減します。

中小企業においては、高額なツールに頼り切るのではなく、まずは「情報セキュリティ6か条」のような基本的なルール作りや、社員への啓発といった、比較的低コストで始められる「ルール」や「人」への投資を組み合わせることが推奨されます。

これらを組み合わせて、自社に合った対策の構成案を作成させましょう。

投資対効果を判断するための基準作り

セキュリティ対策には、明確な「利益」が出にくいという特性があります。そのため、「これを導入すれば売上がいくら上がる」といった直接的な利益を算出することは困難です。そのため、投資の判断基準の一つとして「損失の回避」という視点を持ちます。

具体的には、「もし被害に遭った場合、復旧にいくらかかるか」「取引停止による損失はいくらか」という想定損害額と、対策にかかる費用を比較する方法です。

比較する際は、単一の製品価格だけでなく、導入後の運用コスト（保守費用や管理の手間）も含めて検討してください。また、対策を講じることで「取引先からの評価が上がり、受注しやすくなる」といったプラスの側面も、判断材料の一つになります。

担当者には、複数の対策案を提示させ、それぞれの案が「どの程度のリスクを、いくらで軽減できるか」という比較表を作成してもらうと、経営判断がスムーズになります。

新しい技術と変化する脅威への対応

AI利用に伴う新たなリスクの管理

2026年の脅威として新たに選出された「AIの利用をめぐるサイバーリスク」は、経営者にとっても無視できない項目です。生成AIなどの便利な道具を業務に取り入れる際、誤って機密情報を入力してしまったり、AIが生成した情報の正確性を確認せずに業務に使ってしまったりするリスクがあります。これは、従来のウイルス対策とは異なる、新しいタイプの「使い方の問題」です。

AIを導入する際は、技術的な防御だけでなく、「どのような情報をAIに入力してよいか」という社内ルールを定めることが重要です。予算の観点では、AIツールの導入費用だけでなく、社員が安全に使いこなすためのガイドライン作成や、教育にかかる費用をあらかじめ想定しておく必要があります。

AIを、適切な管理が必要な「新しい業務ツール」として捉えることが、リスク管理の第一歩です。

外部環境の変化と地政学的リスク

「地政学的リスクに起因するサイバー攻撃」も、無視できない脅威として挙げられています。これは、国同士の対立や紛争が、サイバー空間での攻撃に発展することを指します。中小企業が直接的な政治的ターゲットになることは稀ですが、世界的な混乱の中で、サプライチェーンの一部として、あるいは混乱に乗じた攻撃の入り口として巻き込まれる可能性は否定できません。

このような予測困難なリスクに対しては、特定の技術に依存しすぎない「柔軟な体制」が求められます。例えば、一つのクラウドサービスや一つの通信手段に依存しすぎると、そのサービスが停止した際に業務が完全に止まってしまいます。

予算配分においては、単一の対策に集中するのではなく、万が一の際に業務を切り替えられるような「バックアップ」や「代替手段」の確保にも、一定の配慮をしておくことが賢明です。

継続的な見直しと改善の仕組み

脅威は常に変化しており、一度対策を完了すれば安心というものはありません。段階的に対策を見直すことが有効です。セキュリティ対策は、一度作って終わりではなく、定期的に「現在の対策が有効か」「新たな業務やシステムが増えていないか」を確認するサイクルが必要です。

これを「PDCAサイクル」と呼びますが、経営者としては「定期的な点検の時間と予算」を確保しておくことが重要です。

例えば、年に一度は専門家による診断を受けたり、社内のルールが形骸化していないかを確認する機会を設けたりすることです。また、新しい技術や社会情勢の変化に合わせて、対策の内容をアップデートしていく姿勢が求められます。

予算計画を立てる際も、単年度の導入費用だけでなく、継続的な運用・点検のための経常的な費用をあらかじめ組み込んでおくことで、形だけの対策に終わらせない仕組みを作ることができます。

適切な判断と専門家への相談

自社の状況を整理するためのチェックリスト

予算を決定する前に、まずは自社の現状を客観的に把握する必要があります。IPAが提供している「5分でできる！情報セキュリティ自社診断」のようなツールを活用し、自社の現在地を確認することから始めてください。診断結果が「できていない」と出た項目は、そのまま対策の優先順位の候補になります。

診断を行う際は、現場の担当者だけでなく、実際にシステムを使っている社員の意見も取り入れることが大切です。

整理すべきポイントは、「守るべき資産（顧客情報、設計図、資金など）は何か」「それらがどこにあるのか」「現在どのようなルールで守られているのか」の3点です。これらが整理できていない状態で対策を検討しても、的外れな投資になってしまいます。担当者には、診断結果に基づいた「現状の課題一覧」と、それに対する「対策の優先順位案」をまとめて提出させるようにしてください。

専門家に任せる範囲と自社で行う範囲

セキュリティ対策において、全てを自社だけで完結させるのは困難です。どこまでを社内の人間で行い、どこからを外部の専門家に任せるかという「役割分担」を決めることが、コストパフォーマンスを高めるコツです。

一般的には、日常的な操作ルールや社内の備品管理などは「自社」で行い、高度な技術が必要なネットワークの設計や、不正アクセスの監視、インシデント発生時の緊急対応などは「外部の専門家」に依頼するのが効率的です。

専門家に依頼する際は、「何を解決してほしいのか」を明確に伝える必要があります。「セキュリティを万全にしてほしい」といった曖昧な依頼では、自社のニーズと乖離した提案を受ける可能性があります。「〇〇という業務を止めないために、どのような監視体制が必要か」といった、具体的な目的を持って相談してください。

また、依頼する業者が、自社と同じ規模感の企業への支援実績があるかを確認することも、失敗を防ぐための重要な判断基準となります。

相談時に確認すべき具体的な質問事項

専門家やITベンダーと打ち合わせをする際は、単に製品の機能を聞くだけでなく、自社の経営課題に踏み込んだ質問を投げかけてください。例えば、「この対策を導入した場合、従業員の業務の手間はどの程度増えますか？」や「もしトラブルが起きた際、復旧までにかかる時間の目安はどのくらいですか？」といった質問です。

これらは、導入後の運用コストや、業務への影響を予測するために不可欠な情報です。

また、「この対策を行えば、取引先からのセキュリティ調査に対して、どのように回答できますか？」という質問も有効です。これにより、対策がビジネス上の信頼獲得にどう貢献するかを具体的にイメージできます。

専門家の回答が、技術的なメリットだけでなく、貴社の「業務の継続」や「ビジネスの成長」という視点に基づいているかどうかを見極めることが、適切なパートナー選びに繋がります。まずは自社の現状を整理し、必要に応じて専門家へ相談する準備を進めましょう。