Webサイトと組織をねらう主な脅威

情報セキュリティ10大脅威 2026（組織）

IPA が2026年1月29日に公開した一覧です。右の列に、SecureArc の診断との関わりを記載しました。

順位	脅威（IPA の原文）	SecureArc の診断との関わり
1	ランサム攻撃による被害	侵入の入口となる外部公開の機器・サーバーの弱点を、ネットワーク診断で確認
2	サプライチェーンや委託先を狙った攻撃	委託先が管理するサイト・システムも、ご依頼により診断の対象に追加
3	AIの利用をめぐるサイバーリスク	AI の機能を組み込んだ Webアプリケーションの入力の扱いを確認（ご相談）
4	システムの脆弱性を悪用した攻撃	4つの診断すべての中心となる確認
5	機密情報を狙った標的型攻撃	外部から見える情報・入口の確認
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	外部公開の範囲の確認
7	内部不正による情報漏えい等	クラウド設定診断で、権限の配り方と操作の記録を確認
8	リモートワーク等の環境や仕組みを狙った攻撃	VPN 機器・リモート接続の窓口をネットワーク診断で確認
9	DDoS攻撃（分散型サービス妨害攻撃）	診断の対象外（対策のご相談は承ります）
10	ビジネスメール詐欺	診断の対象外（メールの送信ドメイン認証の設定確認は承ります）

出典：IPA 「情報セキュリティ10大脅威 2026」https://www.ipa.go.jp/security/10threats/10threats2026.html

OWASP は、Webアプリケーションのセキュリティに取り組む国際的な非営利の団体です。OWASP Top 10 は、Webアプリケーションで起こりやすく影響の大きい弱点を10の分類にまとめたもので、診断の観点として世界中で使われています。

番号	分類（原文）	意味と例
A01	Broken Access Control	アクセス制御の不備。 URL の番号を変えると他人の注文の内容が見えてしまう等
A02	Security Misconfiguration	セキュリティの設定の誤り。初期のパスワードのまま・不要な機能が有効のまま等
A03	Software Supply Chain Failures	部品として使うソフトウェア（ライブラリ・プラグイン）の弱点や、改ざんされた部品の混入
A04	Cryptographic Failures	暗号の扱いの不備。通信やパスワードが暗号化されていない・弱い方式を使っている等
A05	Injection	入力欄から命令を差し込まれる弱点。SQLインジェクション・クロスサイト・スクリプティング等
A06	Insecure Design	設計の段階の不備。パスワードの再設定の手順そのものに抜け道がある等
A07	Authentication Failures	認証の不備。ログインの試行回数に制限が無い・ログアウトしても有効なまま等
A08	Software or Data Integrity Failures	ソフトウェアやデータが改ざんされていないかを確認しない作り
A09	Security Logging and Alerting Failures	記録と通知の不備。攻撃を受けても記録が残らず、気づけない
A10	Mishandling of Exceptional Conditions	想定外の状況の扱いの不備。エラーの際に内部の情報を表示してしまう等

出典：OWASP Top 10:2025 https://owasp.org/Top10/2025/ （分類の名前は原文。意味と例は弊社による説明です）

確認できる範囲

診断だけでは確認できない事項

このため、定期的な再診断と、従業員の方への教育を組み合わせることをお勧めいたします。