[IPA]共通対策の詳細・情報セキュリティ10大脅威 2025
情報化社会が進む現代において、私たちは日々様々な情報セキュリティの脅威に晒されています。
独立行政法人情報処理推進機構（IPA）が発表する「情報セキュリティ10大脅威 2025 個人編」は、こうした脅威から私たち自身を守るための重要な指針となるでしょう。
ここでは、個人及び組織が直面する主要な脅威について解説しています。
今回は、個人編及び組織編の「共通対策」について詳細に解説していきます。
この記事を参考にして、自身のデジタルライフにおけるリスクを理解し、適切なセキュリティ対策を講じるようにしてください。
1.情報処理推進機構（IPA）とは
情報処理推進機構（IPA）
正式名称は「独立行政法人 情報処理推進機構」。
日本の政府関連機関で、ITやサイバーセキュリティ分野の発展・安全確保を目的としています。
主な活動は、
・情報処理技術者試験の実施（例：基本情報技術者、応用情報技術者など）
・サイバーセキュリティの啓発・支援
・IT人材育成
・脆弱性情報の公開（JVN）
情報セキュリティ10大脅威 2025
個人、組織について詳細を知りたい人は、以下を参照してください。
2.情報セキュリティ10大脅威 2025
2.1 【個人編】の概要
「情報セキュリティ10大脅威 2025【個人編】」の概要を紹介します。
【表2.1.1 情報セキュリティ10大脅威 2025「個人」向け脅威】
より詳細な記述のある原文はつぎを参照してください。
2.2 【組織編】」の概要
「情報セキュリティ10大脅威 2025【組織編】」の概要を紹介します。
【表2.2.1 情報セキュリティ10大脅威2025 「組織」向けの脅威順位】
より詳細な記述のある原文はつぎを参照してください。
【表2.2.2 情報セキュリティ10大脅威2025 用語定義】
3.情報セキュリティ対策の基本
世の中には「情報セキュリティ 10 大脅威」へランクインした脅威以外にも多数の脅威が存在します。そして、これらが利用する「攻撃の糸口」は似通っており、脆弱性を悪用する、マルウェアを使う、またはマルウェア等を使わずに情報を詐取するソーシャルエンジニアリングを使う等の古くから知られている手口が使われています。
表 1.3 に示すように「攻撃の糸口」を5 つに分類し、それぞれに該当する対策を「情報セキュリティ対策の基本」としています。
表 1.3情報セキュリティ対策の基本
また、昨今はクラウドサービスの利用も一般的になってきています。クラウドサービスを利用する場合は、表 1.4 の対策を「情報セキュリティ対策の基本」+αとして行うことで、被害に遭う可能性を低減できます、
表 1.4 情報セキュリティ対策の基本+α
また、脅威の種類は多岐に渡るのですが、対策には共通しているものもあります。このような対策は、複数の脅威に対して同時に行えるため効率的に対策を進めることができます。
表 1.5 複数の脅威に有効な対策
4.共通対策の詳細
オリジナルの各項目を要約して掲載します。
より詳細な記述のある原文はつぎを参照してください。
4.1 認証を適切に運用する
オンラインショッピングや SNS の利用等、様々な場面でパスワードの設定が必要になってきています。
推測可能なパスワードの設定やパスワードの使い回し等の不適切な管理をすると、攻撃者に不正ログインをされやすくなってしまいます。そうならないために、適切な設定や運用が記載された本項を読み、適切な対策を実施することでリスク低減の参考にすることを推奨します。
また、最近ではパスワード認証以外の認証方式の利用も推奨されてきているので、それらについても紹介します。
・適切な設定をする！
・IoT機器の初期設定パスワードは必ず変更する。
・推測されにくいパスワードを設定する。
・パスワードの使い回しを避ける。
・適切な保管、運用を行う
・パスワードを他人に教えない。
・PCやスマートフォンにパスワードを書いたメモを貼らない。
・PCやスマートフォン内のファイルにパスワードを記載しない。
・複数人で使用するPCではブラウザにパスワードを記憶させない。
・メールでのログイン通知設定をする。
・パスワードの定期的な見直しをする。
・パスワード漏えいチェックサイト等で自身のパスワードが漏えいしていないか確認する。
・不正ログインされてしまったときの対応
・今後の不正ログインを防ぐため、早急にパスワードを変更する。
・他のサービスでパスワードを使い回している場合は、それらのパスワードも変更する。
・「適切な報告/連絡/相談を行う」に書かれた連絡先に連絡する。
・パスワード認証以外の認証方式の利用
・多要素認証（知識情報、所持情報、生体情報のうち2つ以上を組み合わせる認証）を利用する。
・パスワードを利用しないパスキー（生体情報のみやPINコードのみで認証）が提供されていれば利用を推奨する。
4.2 情報リテラシー、モラルを向上させる
意図せず情報モラルに反する行為をする人や、故意に不正行為をする人がいます。
組織においては業務で急いでいたり、緊急対応をしていたり等、精神的に追い込まれて、組織のために良かれと考えて規則に反してしまうこともあると考えられます。
いずれにしても、悪意があるかないかに関わらず自身の行為には責任が伴います。
特に、組織においてはたとえ従業員の勝手な行動であったとしても組織に影響が及ぶことや責任が問われることが多くあります。
・家族や組織(職員、経営者や従業員)を教育する
【個人、組織共通】
・SNSの利用に関するケース
・インターネット利用に関するケース
・生成AIの利用に関するケース
【組織】
・情報セキュリティに関するケース
・コンプライアンスに関するケース
・IPAから発信されているコンテンツも参考に教育を行う。
・教育受講者への意識付け
・他人事と考えずに受講する。
・就業規則、社内運用規則を理解する。
・事故を起こさないことは自身を守ることにもなる。
・緊急時の報告先、報告方法を把握する。
・継続的に取り組む
・定期的に、適切な時期に教育する。
4.3 添付ファイルの開封やリンク・URL のクリックを安易にしない
様々なサービスからの連絡がメールで行われることや、SMS でお知らせが届けられることがあります。
本物の連絡である場合もあるのですが、本物を騙った偽の連絡であると、そこを起点として個人情報を盗まれたり、金銭被害に繋がったりするおそれがあります。
また、ランサム攻撃や標的型攻撃等の大企業等を狙った組織的な一連の攻撃の一部として実行され、手口が高度化しているため、真偽の見極めが困難になっています。
・被害に遭うタイミング
・悪意のあるメール・SMSを受信しただけでは、情報を盗まれたりマルウェアに感染したりする可能性は低い。
・誘導されたWebサイトに情報を入力したり、添付ファイルを開いたりすることで、情報が盗まれたりマルウェアに感染したりする。
・マルウェアに感染するとPCやスマートフォンが正常に動作しなくなったり、保存データが攻撃者に送られたりする。クレジットカードや銀行口座の情報が盗まれると金銭被害につながる。
・メール・SMS、SNSに関する注意事項
・安易にリンクやQRコードを開かない。
・メールの添付ファイル開封や、メール・SMSのリンク、SNSのチャットのURLクリックを安易にしない。
・QRコード読み取り後、安易に個人情報やクレジットカード情報を入力しない。
・メール本文のURLをブラウザに安易に入力して開かない。
・記載された電話番号に電話をかけない。偽のサポート窓口につながり、嘘の案内で情報を聞き出されるおそれがある。
・リンクを開いてしまった場合は、適切な報告／連絡／相談を行う連絡先に報告する。
・メール固有の注意事項
・差出人のメールアドレスを確認する。
・メールやSMSに記載されたショッピングサイトやサービス等をそもそも利用しているか確認する。
・HTML形式ではなくテキスト形式で表示する設定にする。
・画像をクリックやタップしない。リンクになっている可能性があり、偽のWebサイトが開くおそれがある 。
・添付ファイルを開かない。悪意のあるプログラムが起動し、マルウェアに感染するおそれがある。
・Microsoft WordやExcelで「マクロを有効にする」「コンテンツの有効化」ボタンが表示された場合や、「編集を有効にする」ボタンが表示された場合も、安易にクリックやタップしない。業務でマクロ機能を使用しない場合はマクロを無効化すべきである。
・リンクや URL をクリックせずに確認する方法
・不審なメール・SMSの案内のリンクは使用せず、以下の方法で正規の情報を確認する。
・よく利用するWebサイトは事前にブックマーク登録し、そこからアクセスする。
・よく利用するサービスは正規のアプリをインストールし、アプリから参照する。
・メールの送信元の情報や電話番号をWeb検索し、悪評がないか確認する。
・あまり利用しないサービスは、対象のWebサイトを検索して開いて確認する。
・IPAのWebページで攻撃手口を確認し、不審なメール・SMSに備える。
4.4 適切な報告／連絡／相談を行う
【組織】
組織においては上司や責任者、経営者層に適切な報告や連絡をしないと被害の拡大につながるだけでなく、外部からは隠蔽したとみなされ、さらなる信頼の失墜につながるおそれもあります。
それを防ぐためにあらかじめエスカレーション先を定めて対応マニュアルを作成し、これに従ってエスカレーションを行う必要があります。
また、場合によっては組織外への情報発信もしなければならなりません。
これら一連のエスカレーションを迅速に行うために、組織に所属する全員がインシデント発生時の対応を十分に理解し訓練すること、経営者や上司、責任者は部下や担当者が包み隠さず躊躇なくエスカレーションできる風土や関係性を築くことも重要です。
【個人】
被害を受けたときは適切な人や機関への相談が必要であります。誰にも相談せずに 1 人で対応してしまうとさらなる被害につながってしまうおそれもあります。
不安に感じたときや被害に遭ったときは慌てず、まずは落ち着いて IT に詳しい知人に相談し、その上で適切な相談先に連絡することが望ましい。
4.5 インシデント対応体制を整備し対応する
セキュリティインシデントが発生した際、誰がどのように、何をすれば良いのか？これを理解してあらかじめ対応する仕組みを整えているのといないのとでは、同じ事象の問題が起きたとしても受ける被害の大きさは全く異なります。
特に、サイバー攻撃を受けた際はより迅速な対応が必要です。
そこで、本項ではセキュリティインシデント発生時の対応やそれを行うために必要なことについて解説し、自組織における対応計画を作成する参考とすることを推奨します。
【組織】
・セキュリティインシデント発生時、対応体制を整えているかで被害の大きさが異なる。
サイバー攻撃を受けた際は迅速な対応が必要。
・インシデント対応の事前準備
・CISO（Chief Information Security Officer）等、専門知識を持つ責任者を配置する。
・CSIRT（Computer Security Incident Response Team）を構築する。構築が難しい場合は、インシデント対応の統制をする責任者と担当者を決め、優先して事案対応をさせる。
・インシデント対応として組織の職員や、企業の経営者や従業員等が行うべきこと
・インシデント発生時の報告等を、対応する「報告／連絡／相談する相手」に対して行う。
・インシデント対応として CSIRT が行うべきこと
① 検知／連絡受付:
セキュリティ機器での検知や組織内外からの通報によりインシデントの発生を認知する 。
② トリアージ:
認知したインシデントについて情報収集し、事実確認をする。CSIRTで対応すべきかを判断し、通報者や関係者に連絡する。速やかな対応が必要な場合や情報共有すべき場合は注意喚起や情報発信を適切に行う。
③ インシデントレスポンス:
対応すべきと判断したインシデントを分析し、対応計画を策定する。必要に応じて外部の専門機関や関係する組織への支援依頼や情報提供依頼を行う。計画に従って対応を実施し、問題が解決しているか確認する。
④ 報告／情報公開:
対応計画の策定や実施と並行して、インシデントの通報者や関係者、メディアや社会、監督省庁への報告を行う。
・CSIRTの構築が難しい組織でも、最低限インシデント対応を取り纏める者を定めておく必要がある 。公的機関が公開しているガイドライン等を参考に、自組織の対応準備ができているか事前に確認することを推奨する。
4.6 サーバーや PC、ネットワークに適切なセキュリティ対策を行う
組織に対する脅威はサーバーや PC、ネットワークに関連したものが多くあります。これらには重要な情報が含まれており、企業活動の生命線であることは今後も変わらないと考えられます。
つまり、今後も攻撃者から狙われるということです。
個人の PC やスマートフォンとは異なり、組織のサーバーは例えば、「更新プログラム適用」を１つ取ってみても組織としてのポリシーの制定や要員確保、事前検証、手順の確立、さらにそれを維持し続ける予算の確保と仕組みが必要です。
そして、検討事項は多く、頭を抱える組織も多いと考えられます。
本項ではサーバーやネットワークに対するセキュリティ対策の検討事項をまとめるので今後の運用の参考とすることを推奨します。
【組織】
・サーバーやPC、ネットワークには重要な情報が含まれており、企業活動の生命線であるため、今後も攻撃者から狙われる。
・ネットワーク管理を適切に行う
・ネットワークの分割と個別遮断を行う。インシデント発生時に感染被害を局所化できる。
・ファイアウォールを設置し、必要最小限のアクセス制御を行う。
・プロキシサーバーを導入する。不正通信をブロックし、外部への通信を詳細に記録できる。
・ASM（Attack Surface Management）を行う。外部からアクセス可能なIT資産の脆弱性を継続的に検出・評価し、リスク低減が期待できる 。
・不要なポートへの通信や不要なプロトコルの通信は遮断する。
・脆弱性対策を適切に行う
・サポート切れのソフトウェアやハードウェアを使用しない。
・提供元が不明のソフトウェアを利用しない。
・迅速に更新プログラムを適用する。資産管理や脆弱性情報の収集、適用状況を管理する手順や体制を整備する。利用ソフトウェアの管理ではSBOM（Software Bill of Materials）の導入を検討する。
・サーバーに更新プログラムを適用できない場合は、仮想パッチで一時的に攻撃通信を遮断する（暫定対策であることに注意）。
・不要なサービスを停止または無効化する。サーバー再起動時に自動起動しないよう設定を確認する。
・セキュリティ製品を導入する
・セキュリティソフト：アンチウイルスや迷惑メールフィルタリングなど様々な機能が統合されたソフトウェア。定期的なスキャンやパターンファイルの更新を行う。
・EDR (Endpoint Detection and Response)：サーバーおよびPC内の不審な振る舞いを検知し、迅速な対応を可能にする。
・NDR (Network Detection and Response)：ネットワーク上の通信を監視・分析し、不審な通信を検知・対応する。
・DLP (Data Loss Prevention)：特定のデータの持ち出しを検知・ブロックし、誤送信等による漏えいを防止する。
・CSPM (Cloud Security Posture Management)：クラウドの設定ミスによる情報漏えいを防ぐ。自社ポリシーに基づきチェックルールを設定し、アラートで設定ミスに気づけるようにする。
・IDS (Intrusion Detection System)：不正侵入検知システム。ネットワーク通信を監視し、不審な通信を検知した際に担当者へ通知する（自動ブロック機能はない）。
・IPS (Intrusion Prevention System)：不正侵入防止システム。ネットワーク通信を監視し、不審な通信を検知した際に通知だけでなく自動ブロックも行う。IDSよりリスク低減効果があるが、正規通信をブロックする可能性もあるため、組織方針を踏まえて選定する。
・DNSフィルタリング：新しく登録された未検証ドメインや不審なドメイン、悪性な類似ドメインへのアクセスを名前解決の段階で防止する。
・WAF (Web Application Firewall)：Webサーバーを保護する。IDS、IPSがネットワークレベルでの監視を行うのに対し、WAFはアプリケーションレベルでの監視であるため、組み合わせることでより強固な防御が可能になる。
・UTM (Unified Threat Management)：統合脅威管理。IDSやIPS、ファイアウォール、アンチウイルス等の機能を統合した製品。運用コストや手間を低減できる。
・アクセス権限管理を適切に行う
・アクセス権限を最小化する。不要なアカウントを作成せず、過剰な管理者権限や更新権限を与えない。
・管理者権限の運用体制を整える。内部不正防止のため、運用担当者の制限、利用記録の保持、クロスチェック等を行う。
・定期的にアカウントの棚卸を行う。従業員や職員の離任時にはアカウントを削除し、定期的に棚卸しを行うことで、権限付与の妥当性や不要なアカウントの有無を確認する。
・同一のアカウントを複数人で共用しない。
・アクセスログを収集し監視する。インシデント発生時に調査できるよう、保存期間や運用方法を検討する。
・認証を適切に運用する。
・多要素認証の設定を有効にする。対応している機器では設定を有効にし、不正アクセスを防止する。
・その他
・セキュリティのサポートが充実している製品を使う。パッチや回避策の提供が迅速な製品を使用する。
・統合運用管理ツールを導入する。社内ネットワーク機器やサーバー等IT機器を一元管理し、セキュリティ管理機能でアクセス権限管理やファイアウォール設定等が可能。
・重要データやファイルを暗号化する。
・外部記憶媒体の接続を制限する]。
・脆弱性診断を行う。セキュリティベンダーの診断サービスを利用し、適切な助言を受けることを推奨する。
・ペネトレーションテストを行う。実際の攻撃シミュレーションを通じてセキュリティ体制の実効性を評価する。
・ログを取得し、監視や解析する。各種ログ（システムログ、アプリケーションログ、サーバーへのアクセスログ、認証ログ、データベース操作ログ、通信ログ）を取得し、監視・解析することで不審な振る舞いの迅速な検知や原因特定が可能。ログレベルや保管期間を事前に検討し、外注する場合は仕様や運用の確認を行う。IPAが提供するウェブサイトの攻撃兆候検出ツール「iLogScanner4」の利用も推奨する。
・サイバーセキュリティお助け隊サービスを活用する。「見守り」、「駆付け」、「保険」など中小企業のセキュリティ対策に不可欠なワンパッケージのサービスを、IPAが公表しているものを活用し、安価にセキュリティ対策を行う。
4.7 適切なバックアップ運用を行う
データの破損の原因は記憶装置の故障やランサムウェア等のサイバー攻撃だけではなく、運用時の操作ミスによる消去や誤った更新と多岐に渡ります。
失ったデータの復旧は困難であり、復旧には人手と時間を要します。
しかし、バックアップを取得しておくことでこの被害を軽減することが可能です。
迅速にデータを復旧し業務継続できなければ、組織の信頼も失墜し、組織存続の問題に繋がりかねない大きなリスクとなります。
そこで本項では適切なバックアップ運用について解説します。
・バックアップを取得する
・対象を選定する:
・業務データだけでなく、システムの稼働に必要な設定ファイルやプログラムも含め、バックアップ対象を選定する。
・ 取得方法や取得日時、間隔を検討する:
・サーバーの稼働要件に合わせてオフライン、オンラインバックアップのどちらかを検討する。
・対象データごとに適切な取得日時、時間間隔を検討する。例として、業務データは週1回フルバックアップし、その他は差分バックアップ、プログラムファイルはリリース時のみ、設定ファイルは週1回など。
・バックアップを保管する
・3-2-1ルール:
データはコピーして3つ持ち、2種類のメディアでバックアップを保管し、バックアップの1つは違う場所で保存する。
・保管場所を検討する:
・ランサムウェア攻撃に備え、ネットワークから隔離された場所へ保管する。外部記憶装置に保管し、バックアップ取得時以外は物理的に接続を切ることが望ましい。
・地政学的リスクや災害対策も含める場合、地理的に離れた異なる場所での保管や、分散して保管することを強く推奨する。
・世代管理を行う:
・最新のバックアップだけでなく、過去のバックアップも保管し、複数時点に復旧できるようにすることが望ましい。データ破損から認知までに時間がかかると、最新のバックアップも破損しているおそれがあるためである。
・バックアップにはいつの時点のどのデータが含まれているか、ファイル名称や保管している外部記憶装置を判別できるようにする。それらを扱う際の運用手順を定めることで、誤った上書きや消去を防ぐ。
・保管期間を決める:
・バックアップの保管方法や世代管理と合わせて、組織の方針を満たせる保管期間を決定する。
・バックアップからリストアする
・復旧計画を立てる:
・バックアップは取得するだけでなく、いかに早く復旧するかが重要である。
・想定される障害とその被害をあらかじめ考え、それぞれに対して復旧時点やリストア手順を確立する。
・正しく復旧できることを確認する:
・導入時に正常に復旧できることを確認し、計画に基づいて正しく復旧できるか定期的に確認し、必要に応じて手順の見直しを行う。
・PCやスマートフォンを使う個人の対策
・大切なデータは別の媒体（別の端末、外付けハードディスク、SDカード等）やクラウドストレージにも保存しておく。
・使わない時は保存した媒体と、普段使用するPCやスマートフォンとは接続せずに保管する。
【関連記事】
5.書籍の紹介
・情報セキュリティ読本 六訂版 [プリント・レプリカ] Kindle版
独立行政法人情報処理推進機構 (著)
実教出版 (2024/4/26)
これ１冊で情報セキュリティの概要がわかる！●実例→基礎→個人向け→組織向け→技術→法規と制度→IPAの活動という展開により、初心者にも分かりやすいよう工夫しています。●教育機関での教材としてはもちろん、企業の新入社員や管理職の研修用としてもお使いいただけます。●六訂版では、テレワークのセキュリティやゼロトラストなど、いまの時代にあわせた新しい内容も追加しました。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）
*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-
・社会人1年生の情報セキュリティ超入門 Kindle版
ハッカーかず (著), 一般社団法人 あしたの仕事力研究所 (著)
技術評論社 (2025/3/4)
「サイバー攻撃でシステムがダウン！ 利用者は大混乱！」
「個人情報が流出！ 氏名や住所、クレカ情報まで…」
情報漏洩やランサムウェアなどのニュースが絶えない今、あなたの普段の行動は本当に安全ですか？
実はパスワードの正しい管理方法、安全なファイルの共有方法など、知っているだけで被害のリスクを大きく減らせます。
本書は、難しい専門用語をなるべく使わず、図やイラストを用いて解説しているので、事前知識がなくてもわかります。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）
*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-
いいなと思ったら応援しよう！
よろしければ応援お願いします！ いただいたチップはクリエイターとしての活動費に使わせていただきます！