はじめに

組織向けは順位が付いています。
つまり「まずここから潰してね」というメッセージでもあります。

1. 組織向けTOP10（2026）

IPAの組織向けTOP10はこちらです。

1. ランサム攻撃による被害
2. サプライチェーンや委託先を狙った攻撃
3. AIの利用をめぐるサイバーリスク（初選出）
4. システムの脆弱性を悪用した攻撃
5. 機密情報を狙った標的型攻撃
6. 地政学的リスクに起因するサイバー攻撃（情報戦を含む）
7. 内部不正による情報漏えい等
8. リモートワーク等の環境や仕組みを狙った攻撃
9. DDoS攻撃（分散型サービス妨害攻撃）
10. ビジネスメール詐欺

参考：IPAプレスリリース（2026年1月29日）

2. 中小企業向け：優先順位の付け方（おすすめはこの順）

全部は無理です。だから順番が大事です。

優先①：止まると致命傷のもの（ランサム対策）

ランサムは「データを人質にして金銭を要求」するタイプで、業務停止が痛いです。
まずやることは3つだけ。

• バックアップ（別の場所に／世代管理）
• 復旧テスト（戻せるか確認）
• 侵入の入口を減らす（更新、不要な公開停止、強いログイン）

優先②：外注・SaaS・取引先経由（サプライチェーン対策）

委託先や取引先が狙われ、自社も巻き込まれるケース。
中小企業ができる“現実的ライン”は、

• 重要データは渡す量を減らす（最小限）
• 共有は期限付き・権限最小
• 外注先に最低限確認（2段階ログイン、端末更新、退職時の権限削除）

優先③：更新・設定の穴（脆弱性対策）

「システムの穴（更新不足など）を突く攻撃」が4位です。
難しい仕組みを入れる前に、まずは

• OS／ブラウザ／業務ソフトの自動更新をON
• 使ってないアカウント・機器・公開ポートを減らす
• 管理者権限を必要最小限

3. “明日から”できる実装例（小さく始める）

• 社内ルールを「3つ」に絞る
  1. 重要アカウントは2段階ログイン
  2. 添付ファイル・リンクは“確認してから”
  3. 端末更新は放置しない
• “誰が何をやるか”を決める（社長1人でもOK）

まとめ

• 組織向けは順位があり、上から順に潰すのが効率的。
• 中小企業はまずランサム対策（バックアップ）→外部経由→更新の順が安全。

要約

組織向けTOP10は、ランサム攻撃、外部経由（サプライチェーン）、AI利用リスク、更新不足を狙う攻撃、標的型攻撃、 地政学的リスクに起因する攻撃、内部不正、リモートワーク狙い、DDoS、ビジネスメール詐欺などが並びます。 中小企業は全部を一気にやるより、業務停止を防ぐランサム対策、外注・SaaS経由の見直し、更新と権限管理から順に整えるのが現実的です。