公的機関は AI のリスクをどこに置いたか
2 分で読む
API でデータを外部に渡してよいかで 4 つに分けた手当てに、社内で予算を付ける段になると必ず聞かれます。
社内で AI のセキュリティ対策に予算を付けようとすると、必ず聞かれます。「それは本当に優先度が高いのか」。
自社の判断だけで答えるのは骨が折れます。日本の公的機関が毎年出している順位が、そのまま使えます。
IPA の情報セキュリティ 10 大脅威の 2026 年版を読みました。
初登場で 3 位、ただし個人向けには無い
組織向けの順位で、AI の利用をめぐるサイバーリスクが 3 位に入りました。2026 年が初選出です。
上位 2 つは、長く続いている脅威
| 順位 | 脅威 | 選ばれ続けている年数 |
|---|---|---|
| 1 | ランサム攻撃による被害 | 11 年連続 11 回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 8 年連続 8 回目 |
| 3 | AI の利用をめぐるサイバーリスク | 2026 年 初選出 |
上 2 つは新しい話ではありません。10 年前から並び続けています。AI はその次に置かれました。
読み方としては、AI が既存の脅威を押しのけたのではなく、既存の脅威の上に 1 つ加わった、という形になります。既存の対策を止めて AI 対策に振り替える話ではありません。
個人向けには 1 件も無い
| 区分 | AI に触れる項目 | 並び方 |
|---|---|---|
| 組織向け 10 件 | 1 件（3 位） | 順位が付く |
| 個人向け 10 件 | 0 件 | 五十音順で順位は付かない |
個人向けに並んでいるのは、不正ログイン、フィッシング、サポート詐欺、スマホ決済の不正利用といった項目です。AI という言葉は入っていません。
この差が、位置づけを表しています。AI は今のところ、個人が受ける被害としてではなく、組織が向き合う問題として数えられています。
どう選ばれたか
| 項目 | 内容 |
|---|---|
| 基になったもの | 2025 年に発生した社会的に影響が大きかった事故や攻撃の状況など IPA（情報セキュリティ10大脅威 2026・2026-01-29 公開）原文2025年に発生した社会的に影響が大きかった情報セキュリティの事故や攻撃の状況などから、IPAが脅威候補を選定し出典を開く確認 2026-09-21 |
| 決め方 | 研究者と実務担当者などからなる選考会が、審議と投票を経て決定 IPA（情報セキュリティ10大脅威 2026・2026-01-29 公開）原文情報セキュリティ分野の研究者、企業の実務担当者など約250名のメンバーからなる「10大脅威選考会」が審議・投票を経て決定したものです。出典を開く確認 2026-09-21 |
| 公開 | 2026 年 1 月 29 日 |
過去に起きたことが基になっている点は、読むときに効きます。これから起きそうなことの予測ではありません。2025 年に実際に問題になったから 3 位に入っています。
IPA 自身も、複数の脅威にまたがる事案があるため、自分の環境に照らして選ばれた脅威にはもれなく対策を行うことが求められる、と書いています。 出典を開く確認 2026-09-21IPA（情報セキュリティ10大脅威 2026）原文
複数の脅威にまたがる事案もあるため、各自の環境に照らし選出された脅威については、極力もれなく対策を行うことが求められます。
社内の説明にどう使うか
| 場面 | 使い方 |
|---|---|
| 予算の根拠 | 公的機関の順位と、選考会の投票で決まったことをそのまま示す |
| 優先度の議論 | 1 位と 2 位が 10 年前から続いていることも一緒に示す（置き換えではない） |
| 対象範囲の説明 | 組織向けにだけ入っていることを示し、社内の仕組みの話として扱う |
| 反論への備え | 前年に実際に起きた事故が基になっている、と説明する |
聞き方を変えると、こうなります。社内で AI のリスクを提起するとき、次の 1 行が使えます。
「AI の利用をめぐるリスクは、IPA の 10 大脅威 2026 で組織向けの 3 位に初めて入りました。1 位のランサム攻撃、2 位のサプライチェーンに次ぐ位置です。」
ここから先は調査の詳細です（約 1 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
調べた範囲は、IPA が公開している情報セキュリティ 10 大脅威 2026 の一覧のページ 1 本です。対象は組織向けと個人向けの一覧と、選び方の説明で、あわせて公開されている解説書やハンドブックの中身は含めていません。そのページを保存し、引用はすべて保存した原本に原文のまま在ることを確かめています。調べていないことは、順位の妥当性です（選考会の議論の内容は公開されていません）。
| 項目 | 内容 |
|---|---|
| 出典 | IPA 情報セキュリティ10大脅威 2026 |
| 公開日 | 2026 年 1 月 29 日（最終更新 2026 年 5 月 21 日） |
| 対象 | 組織向け 10 件、個人向け 10 件、選び方の説明 |
| 引用 | 7 本（すべて保存した原本に原文のまま在ることを確認） |
| 確認時期 | 2026 年 9 月 21 日 |
順位は投票で決まるものなので、被害の大きさの順ではありません。選考会がどう重みを置いたかを表しています。そこを踏まえたうえで、社外に示せる共通の物差しとして使えます。
実際に何が起きたのかは 「AI が攻撃した」は何が起きたか に置いています。