情報セキュリティ10大脅威 2026を、Web制作会社の目線で読む──組織編の10項目を「顧客サイト」と「自社」に仕分け、保守の説明に使う

黒字化の外科医｜Web制作会社の「実務改善」経営参謀

2026年10月21日 23:45

この記事は、IPA「情報セキュリティ10大脅威 2026」の組織編を、Web制作会社の目線で読み直し、顧客サイトと自社に関係する項目を整理する方法を扱います。

「10大脅威、うちのサイトは関係ありますか」と聞かれた

保守契約を結んでいるお客様から、こう聞かれたとします。
「ニュースで10大脅威というのを見ました。うちのサイトは大丈夫ですか」

答えに詰まる制作会社は、少なくありません。
10項目の多くが、大企業の話に見えるからです。

けれど、制作会社は顧客サイトの管理画面、サーバー、ドメインのログイン情報をまとめて預かっています。
読み方を変えると、10項目のほとんどが、自社と顧客の両方に関係してきます。

10大脅威を制作会社が読むとは、各項目を「顧客サイトで起きること」と「自社が入口になること」に仕分けることである

黒字化の外科医です。10大脅威 2026の組織編を、制作会社の仕事の言葉に置き換えて解剖します。

仕分けが必要な理由は、三つあります。

第一に、制作会社は「委託先」そのものだから。
2位の「サプライチェーンや委託先を狙った攻撃」は、取引先を経由して本命に入り込む攻撃です。顧客から見れば、制作会社は委託先の一つです。

第二に、顧客サイトの更新を、制作会社が担っていることが多いから。
4位の「システムの脆弱性を悪用した攻撃」は、CMSやプラグインの更新を、誰がいつするかで結果が変わります。

第三に、脅威の話は、そのまま保守の価値の説明になるから。
「何から守っているのか」を言葉にできれば、保守料は「なんとなく払う固定費」ではなくなります。

情報セキュリティ10大脅威 2026 組織編の順位

IPAが2026年1月29日に公表した組織編の順位は、次のとおりです。

1位　ランサム攻撃による被害
2位　サプライチェーンや委託先を狙った攻撃
3位　AIの利用をめぐるサイバーリスク（初選出）
4位　システムの脆弱性を悪用した攻撃
5位　機密情報を狙った標的型攻撃
6位　地政学的リスクに起因するサイバー攻撃（情報戦を含む）
7位　内部不正による情報漏えい等
8位　リモートワーク等の環境や仕組みを狙った攻撃
9位　DDoS攻撃（分散型サービス妨害攻撃）
10位　ビジネスメール詐欺

IPAは、複数の脅威にまたがる事案もあるため、自社の環境に照らして、選ばれた脅威には極力もれなく対策するよう求めています。
順位は、そのまま自社の優先順位ではありません。

今すぐ試せる：10大脅威を自社と顧客に仕分けるプロンプト

私はWeb制作会社の経営者です。IPA「情報セキュリティ10大脅威 2026」組織編の10項目を、自社の仕事に当てはめて仕分けてください。

【前提】
・社員数と働き方（出社・在宅の割合）：〔　〕
・保守している顧客サイトの数と、主なCMS：〔　〕
・預かっているログイン情報の種類（管理画面・FTP・サーバー・ドメインなど）：〔　〕
・社内で使っているAIツールと、その使い方：〔　〕

1. 10項目を「顧客サイトで起きる」「自社が入口になる」「両方」「当面は関係が薄い」に分ける。
2. 「自社が入口になる」項目に、今月できる対策を1つずつ挙げる。
3. 「顧客サイトで起きる」項目に、保守契約で説明できる作業を挙げる。
4. 推測で補った部分は、推測と明記する。

10大脅威の仕分け工場：制作会社の目線で読む10項目

仕分け表

順位｜顧客サイト｜自社｜制作会社が見る点
1位｜○｜◎｜自社の端末、ファイル共有、バックアップ
2位｜○｜◎｜預かったログイン情報が踏み台になる
3位｜○｜◎｜AIに入れる情報、AI機能を組み込んだサイト
4位｜◎｜○｜CMS・プラグイン・サーバーの更新
5位｜△｜○｜取引先を装ったメールと添付ファイル
6位｜△｜△｜公共・インフラ系の顧客の案件
7位｜○｜◎｜退職者・外注先のアカウント
8位｜△｜◎｜リモート接続の機器、自宅の端末
9位｜○｜△｜アクセスの集中に備える構成の説明
10位｜△｜◎｜振込先の変更を装う連絡
（◎強く関係　○関係　△案件による）

◎○△は、私が制作会社の仕事に当てはめた目安です。IPAの評価ではありません。

「自社が入口になる」項目の最初の一手

1位　バックアップを、社内のネットワークから切り離した場所にも持つ
2位　顧客サイトのログイン情報を、個人のメモやメールに置かない
3位　顧客から預かった情報をAIに入れる線を、先に決める
7位　退職・契約終了の当日に、アカウントを止める手順を決める
8位　リモート接続の機器とソフトを、更新の対象に入れる
10位　振込先の変更は、メール以外の方法で必ず確認する

自社の対策は、ランサムウェアと乗っ取りの対策と、顧客のID・パスワードの預かり方で詳しく扱います。
AIに入れる情報の線引きは、こちらで整理しています。

▶ AIの情報漏えい対策、制作会社は「預かり物」から線を引く──原稿・顧客名簿・アクセス解析・ログイン情報の4分類と、取引先に説明できる管理の型

顧客への説明の型（月次報告に一段落）

IPAが公表した「情報セキュリティ10大脅威 2026」（組織編）では、4位に「システムの脆弱性を悪用した攻撃」が挙がっています。
御社のサイトでは、今月、CMS本体を〔　〕に、プラグインを〔　〕件更新しました。
更新が必要かどうかは、公的な脆弱性情報と、各ソフトの公式の発表で確認しています。

脅威の名前と、今月やった作業を、一つの段落でつなぐ。
それだけで、保守の作業が顧客から見えるようになります。

構造的なリスク

逆説を指摘しておきます。

10大脅威を顧客に説明すればするほど、「では、御社の管理は大丈夫なのですか」と問われます。
自社の管理が甘いまま脅威を語ると、提案の信頼がそのまま揺らぎます。

顧客向けの説明より先に、自社の「◎」の項目から手をつけてください。

よくあるQ&A

Q. 個人編も読むべきか？

まず組織編を読み、個人編は社員の研修の題材に使うのが現実的です。社員の端末とアカウントは、そのまま会社の入口だからです。

Q. 順位が下の項目は、後回しでよいか？

順位は、優先順位そのものではありません。自社の仕分け表で「◎」になった項目から始めてください。

Q. 顧客に、10項目すべてを説明すべきか？

すべてを並べると、かえって伝わりません。顧客のサイトに関係する2〜3項目に絞り、自社の作業とつなげて伝えてください。

最後に

10大脅威は、大企業のニュースではなく、制作会社の預かり物の話です。

10項目を顧客サイトと自社に仕分けた会社だけが、脅威の話を保守の価値に変えられるのです。

脆弱性の情報をどこで集め、顧客にどう伝えるかは、こちらにまとめました。

▶ 脆弱性情報の収集、制作会社は「見る場所」と「伝える順番」を先に決める──JVN・JPCERT/CC・IPA・CMS公式の使い分けと通知の文例

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #情報セキュリティ10大脅威 #IPA #セキュリティ対策 #保守契約 #ランサムウェア #サプライチェーン攻撃 #脆弱性 #制作会社経営 #中小企業