【2022年版】情報セキュリティ10大脅威を解説（組織・企業向け）

「自社の情報セキュリティ対策を行うにあたり、どのような脅威の発生確率が高いのか知りたい」
「リスクアセスメントなど、考えられうるリスクの優先順位を決めるための参考となるデータが欲しい」

このようにお考えの情報セキュリティご担当者様は、IPA が年に1回発表している「情報セキュリティ 10大脅威」というランキングを参考にしてみてはいかがでしょうか。

本記事では「情報セキュリティ 10大脅威」とは何か、2022年はどのような脅威がランキングに入っているのかなどを組織・企業向けに解説します。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

情報セキュリティ 10大脅威とは？

「情報セキュリティ 10大脅威」とは、社会的に影響が大きかったと考えられる情報セキュリティの事故・事案から、IPA ( Information-technology Promotion Agency：情報処理推進機構) が脅威の候補を選び、「10大脅威候補委員会」が審議・投票を行って決めたランキングのことです。

「10大脅威候補委員会」は、情報セキュリティ分野の研究者や企業の実務担当者など150名で構成されています。

情報セキュリティ 10大脅威は毎年公開されており、前年に発生した情報セキュリティの事故・事案の影響度・発生件数などをもとに決定されます。

情報セキュリティ 10大脅威 2022年版（組織）

では、2022年の情報セキュリティ 10大脅威はどのようになっているのか、IPA のデータを参考に見ていきましょう。

参照：情報セキュリティ10大脅威 2022

10大脅威は組織向けと個人向けの2つが発表されています。

本記事では組織（企業）向けのランキングを紹介します。

1. ランサムウェアによる被害（昨年1位）

2. 標的型攻撃による機密情報の窃取（昨年2位）

3. サプライチェーンの弱点を悪用した攻撃（昨年4位）

4. テレワーク等のニューノーマルな働き方を狙った攻撃（昨年3位）

5. 内部不正による情報漏えい（昨年6位）

6. 脆弱性対策情報の公開に伴う悪用増加（昨年10位）

7. 修正プログラムの公開前を狙う攻撃 （NEW）

8. ビジネスメール詐欺による金銭被害（昨年5位）

9. 予期せぬIT基盤の障害に伴う業務停止（昨年7位）

10. 不注意による情報漏えい等の被害（昨年9位）

それぞれどのようなリスクなのか、2021年度のランキング順位と比較しながら簡単に解説していきます。

第1位：ランサムウェアによる被害

ランサムウェアとは、悪意をもって作られたソフトウェアのことで、コンピュータウイルスの一種です。

パソコンやサーバーがランサムウェアに感染すると、例えば端末に保存されている情報が暗号化され、復号する代わりに金銭を要求するといった状況に陥る可能性があります。

その他にも、

• 機密データを盗聴・改ざんされる

• 端末を不正操作されて更なるサイバー攻撃に利用される

• 盗まれた顧客データなどが社外に流出する

などのリスクも考えられます。

「ランサムウェアによる被害」は2021年度も1位であり、2022年に入っても被害件数が多く、発生した場合の影響も大きい脅威であるといえます。

第2位：標的型攻撃による機密情報の窃取

標的型攻撃とは、ある特定の組織を狙って仕掛けるサイバー攻撃のことです。第三者がコンピュータウイルスを仕込んだメールを企業や官公庁に送り、メールを開いた端末をウイルスに感染させるなどして不正にシステムへ侵入します。

その後 Web サイトの内容を改ざんしたり、機密情報を盗んだりなどの被害が多発しており、2021度と同じく2位にランクインしました。

第3位：サプライチェーンの弱点を悪用した攻撃

サプライチェーンとは、商品の

• 企画

• 開発

• 調達

• 製造

• 在庫管理

• 物流

• 販売

までの一連の流れを意味する言葉です。このサプライチェーンにセキュリティ対策が甘い組織・企業が関わっていたり、脆弱性（サイバー攻撃の弱点となる部分、不正アクセスなどをゆるす抜け道など）のあるサービスを利用したりしていると、その部分を狙ってサイバー攻撃を仕掛けてくることがあります。これが「サプライチェーンの弱点を悪用した攻撃」です。

強固な情報セキュリティ体制を整えている企業に潜入するための入り口として、間接的に他の組織・企業、サービスなどが狙われます。自社のセキュリティ対策に問題はなくても、関連企業やしようしているサービスに脆弱性があることで自社が預けていたデータなどが盗まれてしまうため、自社だけでの対策が難しい点が厄介な部分です。

「サプライチェーンの弱点を悪用した攻撃」の2021年度の順位は4位で、2022年は順位が1つ上がっています。

第4位：テレワーク等のニューノーマルな働き方を狙った攻撃

世界的に蔓延した新型コロナウイルスの影響で、2020年頃からテレワークを導入する企業が急増しました。テレワークというニューノーマルな働き方に対応するために VPN の導入やテレワーク向けのアプリケーションの導入・開発をする企業も増えましたが、こういった製品・ソフトウェアの脆弱性を狙ったサイバー攻撃の件数も増加しています。

また、テレワークに急に対応する必要が生まれたことで、自宅での社内データの取り扱いなどといった情報セキュリティ体制が不十分なままテレワークに移行してしまうことも、脆弱性を生み出す要因になっています。

「テレワーク等のニューノーマルな働き方を狙った攻撃」の2021年度の順位は3位で、2022年は1つ下がりました。しかし、ランキング全体を見ると上位に位置しており、新型コロナウイルスの蔓延から2年経った現在でも対策が必要な脅威であることが分かります。

第5位：内部不正による情報漏えい

組織外の第三者だけでなく、同じ組織・企業内の人物による情報漏えいの件数も非常に多く、発生した場合の事態の深刻度も非常に高くなる傾向があります。

社外からのサイバー攻撃だけなく、自社内での情報セキュリティに関する厳密なルール設定や、従業員にルールを遵守させる体制・教育制度の確立も大切です。

また退職者の使っていたアカウントや ID などが残ったままで、不正な侵入を許してしまうケースも珍しくありません。

「内部不正による情報漏えい」の2021年度の順位は6位で、2022年度も依然として件数が多く、影響度の高い脅威であるといえます。

第6位：脆弱性対策情報の公開に伴う悪用増加

例えばソフトウェアのベンダーのサイトを見ると、ソフトウェアの脆弱性に関する情報とその対策などが公表されていることがあります。この情報をもとに利用者はセキュリティ対策が可能です。

しかし利用者側で脆弱性の情報を把握しておらず、脆弱性を含んだソフトウェアなどをそのまま使い続けていると、外部の悪意ある第三者から狙われてしまう可能性が高まります。ベンダーが脆弱性対策情報を公開しても、利用者側で脆弱性への対策を行わなければ攻撃を防ぐことは難しいのです。

「脆弱性対策情報の公開に伴う悪用増加」の2021年度の順位は10位で、ここ1年間で大きく順位を上げていることから発生件数が増加し、被害が深刻化していることが伺えます。

第7位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

ソフトウェアなどのベンダーが把握していない脆弱性を見つけ、修正プログラムが開発される前にその脆弱性への攻撃を仕掛けるという手口も増加しています。これは「ゼロデイ攻撃」と呼ばれる手法です。

ゼロデイ攻撃はベンダーも把握していない脆弱性を狙って行われるため対策が非常に難しく、ソフトウェアなどの迅速なアップデートを行っていたとしても、対策できない場合が多いです。

「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」は2021年度はランキング外でしたが、2022年度に7位にランクインしました。昔からある攻撃手法ではありますが、年々増加していることが分かります。

第8位：ビジネスメール詐欺による金銭被害

「ビジネスメール詐欺による金銭被害」とは、例えば取引先相手からの請求書がメールで送られてきたと思って振り込みをしたら、実は取引相手ではなく、お金を騙し取られてしまったというようなケースです。

ビジネスにおけるお金のやり取りは金額が大きくても不審に思わない人が多く、そのまま振り込みをしてしまって被害額が高額になる傾向があります。

また手口は巧妙化しており、取引相手かと誤認してしまうほど似ているメールアドレスを使ったり（数字の0とアルファベットの O、数字の1とアルファベットの I を使うなど）、弁護士など権威のある人物になりすましたメール文を作ったりするなどのケースも見られます。

「ビジネスメール詐欺による金銭被害」の2021年度の順位は5位で、2022年度は順位を3つ下げています。だからといって対策が不要なわけではなく、巧妙化しているため、今後も対策は必要となるでしょう。

第9位：予期せぬ IT 基盤の障害に伴う業務停止

組織・企業で利用しているサービスやサーバーなどが障害によって停止してしまうケースです。被害が深刻だと一時的に業務停止に追い込まれてしまう場合もあります。

ハードウェア・ソフトウェアに不具合が生じて障害が起きることは珍しくなく、世界的な大企業である Google や Amazon などが運営するサービスでもアクセス過多により利用できなくなった事例があります。

また火災や地震、台風などの自然災害によって設備が破損してしまったことで業務停止せざるを得ない状況になることもあります。

「予期せぬ IT 基盤の障害に伴う業務停止」の2021年度の順位は7位でした。「予期せぬ IT 基盤の障害」のため予防が難しい部分ではありますが、障害が発生した際の損害を最小限に抑え、復旧を素早く行う体制を整えておくなどの対策 (BCP 対策) が求められます。

第10位：不注意による情報漏えい等の被害

第5位にランクインした「内部不正による情報漏えい」は、組織・企業内の人間が「意図的」に情報漏えいを行うケースです。

組織・企業内の人間が情報漏えい等を引き起こしてしまう事例は、意図的なものばかりではありません。不注意によって引き起こされる被害が第10位にランクインしました。

具体的には「顧客データの入った端末を紛失してしまった」「取引先や自社の機密情報を社外の知り合いに話してしまった」といったケースです。

「不注意による情報漏えい等の被害」の2021年度の順位は9位で、ランキングの中ではそれほど高くはない脅威に思えるかもしれません。しかし対策を怠ると、思わぬ被害を招く可能性があります。

実際に2022年6月に世間の注目を集めた大きな事件が起こりました。兵庫県尼崎市の市民46万人分の住民基本台帳の情報が入った USB メモリを紛失。尼崎市の業務委託事業者の社員がデータの入った USB メモリをカバンに入れて持ち出し、飲食店に立ち寄った後に紛失したとされています。USB メモリの持ち出しは許可されていなかったそうです。

USB は無事発見され、情報漏えいは確認されていないとのことですが、この事例は「不注意による情報漏えい」につながりかねない事件だったといえるでしょう。

ランキングを参考に脅威の優先順位を考えて対策しよう！

IPA が発表した、組織・企業向けの2022年版情報セキュリティ10大脅威を紹介しました。

このランキングを参考に、脅威の優先順位を考えて対策するという方法も良いでしょう。

注意点としては、ランキングにある脅威だけ対策すれば十分というわけではないということです。このランキングはあくまで参考として考え、自社にとって適切な対策は何かを洗い出してみましょう。

個人向けの2022年版情報セキュリティ10大脅威については、こちらの記事で紹介しています。
【2022年版】情報セキュリティ10大脅威を解説（個人向け）