この記事の要点
IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織向けの順位で、「AIの利用をめぐるサイバーリスク」が3位に入りました。この脅威が10大脅威に選ばれたのは2026年が初めてです（IPA「情報セキュリティ10大脅威 2026」）。1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」で、この2つの並びは4年続いています。生成AIを業務に入れるとき、新しく考えるべきことは3位の話だけです。1位と2位への備えは、AIを使うかどうかに関係なく先に要る土台です。この記事では、土台としてそろえる6つの基本と、生成AIを入れることで増える3つの入口、取引先から点検票が届いたときの答え方、そして栃木県内で無料で相談できる窓口を整理します。数字はIPAと栃木県警察の公表資料から取り、確認できていないことは確認できていないと書きます。
2026年の脅威の並び｜AIの利用をめぐるリスクが初めて3位に
1位と2位は4年続けて同じ
IPAの10大脅威は、前年に社会的影響が大きかった事案から候補を選び、有識者の投票で順位を決めるものです。2026年の組織向けの順位は次のとおりです。
| 順位 | 脅威 | 10大脅威での取扱い |
|---|---|---|
| 1 | ランサム攻撃による被害 | 11年連続11回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 8年連続8回目 |
| 3 | AIの利用をめぐるサイバーリスク | 初選出 |
| 4 | システムの脆弱性を悪用した攻撃 | 6年連続9回目 |
| 5 | 機密情報を狙った標的型攻撃 | 11年連続11回目 |
| 6 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） | 2年連続2回目 |
| 7 | 内部不正による情報漏えい等 | 11年連続11回目 |
| 8 | リモートワーク等の環境や仕組みを狙った攻撃 | 6年連続6回目 |
| 9 | DDoS攻撃（分散型サービス妨害攻撃） | 2年連続7回目 |
| 10 | ビジネスメール詐欺 | 9年連続9回目 |
順位はいずれもIPA「情報セキュリティ10大脅威 2026」の組織向け一覧によります。1位のランサム攻撃は11年連続、2位のサプライチェーンや委託先を狙った攻撃は8年連続で選ばれています。毎年同じ顔ぶれが上位に並ぶという事実そのものが、対策の基本が変わっていないことを示しています。
3位に初めて入ったAIの利用をめぐるサイバーリスク
2026年に初めて入ったのが3位の「AIの利用をめぐるサイバーリスク」です。初選出ということは、前年までは10位以内に入っていなかったということです。生成AIの業務利用が広がったこの1年で、順位表に載るだけの事案が積み上がったことになります。
ここで注意したいのは、3位が「AIが攻撃してくる」という話だけではない点です。自社が使う側に回ったときに起きることも含まれます。詳しい類型はIPAの解説書に整理されているので、社内で読み合わせる資料としてはIPA「情報セキュリティ10大脅威2026 解説書［組織編］」（2026年3月）が使えます。
生成AIを業務に入れるときに増える3つの入口
入力した情報がどこへ行くか
最初の入口は入力です。見積書や図面、顧客リストを貼り付けて要約させる使い方は便利ですが、そのサービスが入力内容を学習に使う設定になっていないか、どこの国のサーバーで処理されるかは、契約と設定で決まります。無料版と法人向け版で扱いが違うサービスも多く、「社内の誰かが無料版に貼った」という経路が一番多い抜け道です。
導入前にサービスを選ぶ段階の見方は栃木の中小企業のための生成AIツール比較と選び方で扱っています。
出力をそのまま信じる
2つ目は出力です。生成AIが出した文章に、実在しない条文や古い料率、別の会社の事例が混ざることがあります。文章としては自然に読めるため、担当者が気づかないまま社外へ出ると、訂正の連絡で時間を取られます。見積根拠や法令の引用など、間違えると相手に迷惑がかかる箇所は、人が原典に当たって確かめる手順を決めておきます。
誰が使っているか分からない
3つ目は管理です。個人のアカウントで業務データを扱っている状態は、退職時にデータが手元から消えません。会社として契約したアカウントに寄せ、誰がどのサービスを使っているかの一覧を作るところから始めます。利用ルールの決め方は栃木の中小企業のための生成AI利用ガイドライン作成手順にまとめています。
最初にそろえる6つの基本｜情報セキュリティ6か条
一つ星は取り組む前でも宣言できる
IPAの「SECURITY ACTION セキュリティ対策自己宣言」は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。一つ星は、これから「情報セキュリティ6か条」に取り組むことを宣言するもので、対策の実施前でも申し込めます（IPA「『一つ星』を宣言する」）。
6か条は次の内容です。
- OSやソフトウェアは常に最新の状態にしよう
- ウイルス対策ソフトを導入しよう
- パスワードを強化しよう
- 共有設定を見直そう
- バックアップを取ろう
- 脅威や攻撃の手口を知ろう
この6つは、生成AIを使うかどうかと関係なく必要なものです。逆に言えば、ここが空いたまま生成AIだけを導入しても、1位のランサム攻撃と2位のサプライチェーン攻撃には何の効果もありません。
二つ星は自社診断と基本方針の公開
二つ星は、「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、情報セキュリティ基本方針を定めて外部に公開し、対策に取り組むことを宣言するものです（IPA「『二つ星』を宣言する」）。基本方針の書き方の例は、IPAの中小企業向けガイドに付録として置かれています。
担当者がいない場合は外部の枠組みを使う
社外の力を借りる選択肢もあります。IPAが案内しているサイバーセキュリティお助け隊サービスは、監視・相談・保険などを組み合わせた中小企業向けの提供制度です。自社に情報システムの担当者がいない事業所では、まずこの枠組みで相談先を確保するほうが早く進みます。
取引先から点検を求められたとき｜県内の自動車部品・医療機器の現場で
栃木県は自動車・航空産業の集積があり、医療機器の生産金額は全国2位です。こうした業種では、発注元から取引条件の一部としてセキュリティの点検票が回ってくることがあります。10大脅威の2位が「サプライチェーンや委託先を狙った攻撃」である以上、この流れは今後も続くと考えたほうが現実的です。
点検票が届いたときの3つの進め方
点検票が届いたときの進め方は3つです。
まず、聞かれている範囲を分けます。全社の話なのか、その取引先の図面や仕様を扱う部門だけの話なのかで、答えが変わります。次に、すでにやっていることを証拠のある形で書きます。「バックアップを取っている」ではなく「業務サーバーを毎日22時に外付けの媒体へ自動でコピーし、月1回復元テストを実施」のように、頻度と確認方法まで書けるかどうかが差になります。最後に、できていない項目は「未実施」と正直に書き、いつまでに何をするかを添えます。埋めるために事実でないことを書くと、後の監査で必ず問題になります。
取引先からの依頼票に答える作業は、セキュリティに限りません。同じ型の対応が必要になる場面として、取引先から届くCO2排出量の算定依頼にどう答えるかでも手順を整理しています。工程側の生成AI活用の全体像は栃木の自動車部品メーカーの生成AI活用ワークフローにあります。
下書きに生成AIを使ってよい範囲
点検票の下書きに生成AIを使う場合は、取引先名と自社のネットワーク構成図は入力しません。質問項目の言い換えや、書き方のたたき台づくりまでにとどめ、事実の記入は担当者が行います。
栃木県内の相談先と情報源
栃木県警察サイバー対策センター
栃木県警察は「注意喚起（CYBER SECURITY NEWS）」のページで、県内向けの注意喚起を随時公開しています。2026年9月には「サイバー空間をめぐる脅威の情勢」（9月16日）、「SNSやメールの乗っ取り・なりすましに注意」（9月11日）、「パスワードだけの認証はもう限界です（パスキー導入のすすめ）」（9月7日）が掲載されています（栃木県警察「注意喚起（CYBER SECURITY NEWS）」）。
サイバー対策センターは、宇都宮市野沢町4-2の栃木県警察機動センター内にあります。代表の電話番号は028-666-2233です。被害が疑われる段階での相談先として、社内の連絡網に書いておく窓口です。
栃木県よろず支援拠点ととちぎビジネスAIセンター
栃木県よろず支援拠点は、中小企業・小規模事業者向けの無料経営相談窓口です。情報セキュリティを担当するコーディネーターが置かれており、体制づくりの相談ができます。
生成AIの導入そのものについては、栃木県産業振興センターが運営するとちぎビジネスAIセンターがあります。セキュリティの相談と、AI活用の相談で窓口が分かれている点は押さえておくと、問い合わせが一度で済みます。
商工団体との連携で行われる県内のセミナー
栃木県と商工3団体は、県内事業者向けのBCP策定支援やサイバーセキュリティのセミナーを共同で実施しています。2025年10月には県庁を会場に、中小企業におけるサイバー攻撃の実態と対策をテーマにした無料セミナーが開かれ、運営は栃木県産業振興センターが担当しました。2026年度以降の開催予定は、この記事の作成時点で公式に確認できていません。参加を考える場合は、県産業振興センターと各地の商工会議所・商工会の案内を直接確認してください。
30分でできる社内の点検表
6行の確認項目
会議を1回取って、次の項目を口頭で確認するだけでも状態が見えます。答えが「分からない」になった項目が、最初に手を付ける箇所です。
| 確認項目 | 確認する人 | 答えの例 |
|---|---|---|
| 業務用パソコンのOS更新は自動になっているか | 総務または情報担当 | 全台自動、例外は2台 |
| ウイルス対策ソフトは全台に入っているか | 総務または情報担当 | 全台、期限は翌年3月 |
| 重要データのバックアップ頻度と復元テストの実施日 | 各部門 | 毎日、直近テストは先月 |
| 共有フォルダに誰でも見られる設定が残っていないか | 情報担当 | 未確認 |
| 生成AIを業務で使っている人と使っているサービス | 各部門 | 未把握 |
| 被害が疑われたときの一次連絡先 | 経営者 | 社内担当と県警の窓口 |
未確認が残った行から手を付ける
この表の6行は、前の章の情報セキュリティ6か条と、生成AIで増える3つの入口をそのまま社内の言葉に置き換えたものです。全部を一度に埋める必要はありません。「未確認」「未把握」が残っている行を、次の会議までに1つずつ消していきます。
小規模な事業所で担当を置けない場合の進め方は、栃木の小規模事業者の生成AI活用で人手の割り振りを扱っています。
生成AIに何をさせて、何を人がやるか
下書きに使える場面
社内向けの注意喚起文、点検表のたたき台、セミナー参加後の共有メモの下書きは、生成AIに任せられます。「6か条のうち共有設定の見直しについて、パソコンに詳しくない社員向けに200字で説明して」のように、読み手と長さを指定すると使える文章が出ます。
入力しないもの
一方で、自社のネットワーク構成、IPアドレス、サーバー名、アカウント名、取引先名、実際に受けた攻撃の詳細は入力しません。これらは攻撃者にとってそのまま材料になります。被害が起きたあとの報告文を作るときも、入力するのは「いつ」「どの業務が止まったか」といった外形的な情報にとどめ、固有の設定値は人が最後に差し込みます。
数字は人が入れて検算する
順位や統計の数字も、生成AIに出させないでください。10大脅威の順位はIPAの公表ページから人が転記します。生成AIは年度をまたいだ順位を混ぜることがあり、「2026」と書いてあるのに前年の並びが入っていても、文章としては自然に読めてしまいます。
よくある質問
Q. 情報セキュリティ10大脅威2026で、AIに関する脅威は何位ですか。
組織向けの3位が「AIの利用をめぐるサイバーリスク」です。この脅威が10大脅威に選ばれたのは2026年が初めてです。
Q. 生成AIを使わなければセキュリティ対策は不要ですか。
いいえ。1位のランサム攻撃と2位のサプライチェーンや委託先を狙った攻撃は、生成AIの利用とは関係なく上位に並び続けています。6か条の土台は、AIを使うかどうかに関わらず必要です。
Q. SECURITY ACTIONの一つ星は、対策が終わってからでないと宣言できませんか。
一つ星は、これから情報セキュリティ6か条に取り組むことを宣言するもので、対策の実施前でも申し込めます。
Q. 社内に情報システムの担当者がいません。
IPAが案内しているサイバーセキュリティお助け隊サービスのような外部の枠組みを使う方法があります。栃木県よろず支援拠点でも無料で相談できます。
Q. 取引先の点検票で、できていない項目はどう書けばよいですか。
未実施と書き、いつまでに何をするかを添えます。埋めるために事実でないことを書くと、後で確認されたときに取引そのものの問題になります。
Q. 県内で被害が疑われたときはどこに連絡しますか。
栃木県警察サイバー対策センター（宇都宮市野沢町4-2 栃木県警察機動センター、代表028-666-2233）が窓口です。社内の連絡網に書いておきます。
運営元 Uravation より自社に近い業務から着手先を選ぶ材料として、業務別の生成AI活用事例50例を無料で公開しています。 生成AI活用事例 業務別50選を受け取る（無料）
参考・出典
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）
- IPA「情報セキュリティ10大脅威2026 解説書［組織編］」（2026年3月）
- IPA「『一つ星』を宣言する」（SECURITY ACTION セキュリティ対策自己宣言）
- IPA「『二つ星』を宣言する」（SECURITY ACTION セキュリティ対策自己宣言）
- IPA「中小企業向けガイド」
- IPA「サイバーセキュリティお助け隊サービス ユーザー向けサイト」
- 栃木県警察「注意喚起（CYBER SECURITY NEWS）」
- 栃木県よろず支援拠点
- 栃木県産業振興センター
- とちぎビジネスAIセンター（栃木県産業振興センター）
