業務委託で現場に入ると、参画の場でセキュリティに関する確認を求められることがあります。何を尋ねられているのか分からないまま資料をそろえるのは、落ち着かないものです。IPAが毎年公開する「情報セキュリティ10大脅威」を見ると、委託先が名指しされる理由と、その扱われ方の両方がはっきりします。

1. 順位はどう作られているか

「委託先を狙った攻撃」が上位に入っていると聞くと、自分たちが名指しで警戒されているように感じるかもしれません。ただ、その受け止め方の前に確かめておきたいのは、この順位が何を根拠に、誰が決めているかということです。順位という数字だけを見ると重く感じられますが、作られ方まで踏み込むと、数字の重みの置き所そのものが変わってきます。まずはこの一覧がどう組み立てられているのかを確認します。

何を根拠に選ばれているか

IPAの「情報セキュリティ10大脅威」は、前年に発生した情報セキュリティの事故や攻撃の状況などをもとに、まず脅威の候補が選ばれるところから始まります。候補は思いつきで並ぶ一覧ではなく、実際に起きた状況を踏まえて絞り込まれたものです。この時点では、まだ順位は付いていません。

候補が出そろったあとは、情報セキュリティの分野に携わる研究者や企業の実務担当者など、およそ250名が加わる場で審議と投票を重ね、順位が決定します¹。一人の判断ではなく、およそ250名という複数の立場からの見立てが重なって並びが決まっている点は、押さえておく価値があります。

順位が付くのは「組織」向けだけ

この一覧には「組織」向けと「個人」向けの2種類があり、性質が異なります。組織向けは1位から10位まで順位を併記する形で示されますが、個人向けは脅威名のみを五十音順で記載する形が取られています⁹。順位が付くのは組織向けだけという点は、意外に見落とされがちです。

業務委託で現場に入るエンジニアが参画時に意識するのは、主に組織向けの一覧です。順位が付いているからこそ「どこに重きが置かれているか」が見えやすくなりますが、順位そのものより、まず一覧のどこにどんな脅威が並んでいるかを確かめることが先になります。

作られ方と一覧の構造が分かったところで、次はいよいよ中身に入ります。委託先に関わる項目は、この「組織」向け一覧のどのあたりに置かれているのか。約250名が審議して決めた順位の中で、その位置を具体的に確かめていきます。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）をもとに作成

2. 委託先は2位に名指しされている

順位の作られ方を踏まえたうえで、いよいよ本題に入ります。「組織」向け脅威の一覧の中で、委託先に関わる項目がどこに置かれているのか、そしてその位置づけをどう受け止めればよいのかを、ここから具体的に見ていきます。約250名が審議して決めた順位だからこそ、位置には相応の重みがあります。

「組織」向け第2位に何が入っているか

「組織」向け脅威の第2位は「サプライチェーンや委託先を狙った攻撃」です²。初選出は2019年で、以来8年連続8回目の選出になります²。手口の説明は本稿では扱いませんが、この項目が上位に置かれ続けていること自体が、業務委託という関わり方が継続して注目されていることを示しています。

8年という年数は、単発の話題ではないことを意味します。むしろ毎年の一覧に安定して顔を出す項目だからこそ、参画時のやり取りの中で確認が求められる場面が増えているとも読み取れます。一時的な流行ではなく、続いている論点だと捉えておくと、向き合い方が定まります。

第1位と並べて位置を測る

第1位に置かれているのは「ランサム攻撃による被害」で、初選出は2016年、11年連続11回目の選出です³。1位との差で見ると、委託先を狙った攻撃はそのすぐ後ろに位置していることになります。1位と2位が近い顔ぶれで長く固定されている点も、あわせて押さえておきたいところです。

順位だけを切り取ると「委託先が特に危ない」という読み方に寄りがちですが、1位と2位の関係を見ると、上位の顔ぶれ自体が長く固定化していることのほうが、そちらのほうが実態に近いといえます。順位の高さよりも、何年も同じ論点が並び続けているという継続性のほうに、気に留めておく意味があります。

打診の場で確かめておきたい問い

委託先を狙った攻撃が上位にある以上、参画の打診を受ける場面では、環境に関するやり取りが挟まれることがあります。あらかじめ何を聞かれやすいかを整理しておくと、その場で慌てず対応でき、相手にも準備の姿勢が伝わりやすくなります。以下に、打診の場でよく交わされる確認の観点をまとめました。

確認の観点	具体的に聞かれやすいこと	あらかじめ整えておくとよいこと
接続の経路	どの回線・端末から現場のシステムに接続するか	案件ごとに使う端末とアクセス経路を整理しておく
情報の扱い方	複数の現場を掛け持ちする中で情報をどう区分けしているか	案件間で資料や認証情報を混在させない仕組み
連絡と報告	不測の事態が起きたときにどこへ、どう伝えるか	クライアントと事前に取り決めておく連絡の経路
更新の姿勢	環境や案件の変化にどう対応してきたか	見直しの機会を定期的に設けている実績

打診の場でこうした問いに答えられる状態にしておくと、委託先という立場そのものではなく、備えの中身で見てもらえるようになります。次は、リモートで働く環境そのものが、この一覧の中でどう扱われているのかを確かめていきます。

3. リモートの環境も並んでいる

委託先という切り口に続いて、もう一つ確かめておきたい項目があります。参画先の環境そのものではなく、日々どこからどう接続して働くかという、働き方に関わる項目です。リモートでの参画を選ぶエンジニアにとって、見過ごせない位置づけです。

第8位に置かれている環境の話

「組織」向け脅威の第8位には「リモートワーク等の環境や仕組みを狙った攻撃」が置かれています。初選出は2021年で、6年連続6回目の選出です⁵。リモートで働くこと自体が問題視されているわけではなく、環境や仕組みという言葉が示すとおり、接続の設計に関わる項目として扱われています。

この項目が並んでいるからといって、リモートでの参画を控えたほうがよいという結論にはなりません。順位が示しているのは「注意を払う対象として認識されている」ということであり、働き方そのものの是非ではないという点は、切り分けて読む必要があります。

境界を作るのは環境の設計

委託先を狙った攻撃と、リモートワーク等の環境を狙った攻撃には、共通点があります。どちらも、組織の内側と外側が接続する場面、つまり境界に関わる項目だということです。境界そのものをなくすことはできませんが、境界をどう設計するかは、参画する側にも関わりのある話です。

境界の設計というと難しく聞こえるかもしれませんが、実際にできることは日々の環境づくりの延長線上にあります。案件ごとに接続の経路を分ける、私的な利用と切り分ける、といった積み重ねが、境界の設計そのものです。特別な体制よりも、こうした日常の積み重ねのほうが効いてきます。

委託先を狙った攻撃と、リモートワーク等の環境を狙った攻撃。この2つがどちらも境界に関わる項目として並んでいることを、図で確かめてみます。境界は組織の内と外のどちらか一方だけの問題ではないことが、見えてくるはずです。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）をもとに作成

4. 中の人の話も同じ表にある

境界に関わる項目を見てきましたが、この一覧には、境界の外ではなく内側に関わる項目も並んでいます。外から入る人だけが注目されているわけではないことを、順位そのものから確かめておきます。同じ一覧の中でどう並んでいるかを見れば、位置づけがより正確に見えてきます。

第7位「内部不正による情報漏えい等」も11年連続

「組織」向け脅威の第7位は「内部不正による情報漏えい等」です。初選出は2016年で、11年連続11回目の選出になります⁶。これは境界の外ではなく、組織の内側で起きる話です。委託先やリモート環境と並んで、内側の話も長く一覧に残り続けています。

この並びから読み取れるのは、外から入る立場だけが注目の対象になっているわけではないということです。内側にいる立場にも、外から接続する立場にも、それぞれに関わる項目が用意されている。一覧全体を見渡すと、その配分がよく分かります。

第4位「システムの脆弱性を悪用した攻撃」も6年連続9回目

第4位には「システムの脆弱性を悪用した攻撃」が置かれています。初選出は2016年で、6年連続9回目の選出です⁷。委託先やリモート環境の話よりも上の順位に置かれており、境界の内外を問わず、システムそのものの状態が問われ続けていることが分かります。

外から入る立場か、内側にいる立場かという区分よりも、システムや環境がどう設計され、どう運用されているかのほうが、一覧全体を通じて重みを持っています。委託先という立場だけを切り出して構えるより、関わるシステム全体を見渡す姿勢のほうが、実際には近道です。

参画時に示せる備え

内側の話も外側の話も同じ一覧に並んでいるとすれば、備えの示し方も一方向に偏らせる必要はありません。委託先としての立場からできることを、内側・外側を問わず整理しておくと、参画時のやり取りで具体的に示せる材料になります。以下に、その整理の一例をまとめました。

備えの切り口	具体的にできること	相手に伝わる示し方
接続経路の分離	案件ごとに端末やアクセス経路を分けて使う	「現場ごとに経路を分けています」と一言で示す
情報の区分け	複数の現場の資料や認証情報を混在させない	「案件間で情報を区分けしています」と伝える
変化への対応	環境や案件の変化に合わせて設定を見直す	「定期的に見直す機会を設けています」と示す
経緯の言語化	これまで関わってきた現場での対応を振り返る	「これまでの対応を一覧でお渡しできます」と添える

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）をもとに作成

内側と外側、どちらの話も一覧に並んでいると分かれば、委託先という立場だけを構える必要はなくなります。次は、この一覧全体をどう自分の入り方に照らして使えばよいのかを、具体的に見ていきます。備えは順位ではなく、環境に合わせて組み立てるものです。

5. 順位ではなく、自分の入り方に照らす

ここまで、委託先を狙った攻撃を起点に、リモートの環境、内側の話、システムの話と、一覧全体を見渡してきました。最後に、この一覧をどう受け止め、どう使えばよいのかという話に移ります。順位を追いかけるより、大切な視点があります。

複数の脅威にまたがる事案があるからこそ、もれなく備える

IPAの資料では、複数の脅威にまたがる事案もあるため、各自の環境に照らして、選出された脅威については極力もれなく対策を行うことが求められると示されています⁸。この一文が示しているのは、順位を上から順に潰していく発想ではなく、自分の環境に当てはめて確かめるという発想です。

順位が高い項目から手を付けたくなるのは自然なことです。ただ、事案が複数の脅威にまたがることがあるという前提に立つなら、大切なのは優先順位の付け方より、自分の入り方に照らして抜け漏れがないかを確かめることのほうです。順位より網羅性、というのがこの一文の要点です。

新しく入った第3位が示す、並びは動くということ

第3位には「AIの利用をめぐるサイバーリスク」が置かれており、2026年に初めて選出されました⁴。委託先やリモート環境の話が何年も一覧に残り続けている一方で、この項目は今年新しく加わった項目です。一覧の並びは固定されたものではなく、年々動いています。

並びが動くということは、一度整えた備えで満足せず、環境の変化に合わせて見直し続ける姿勢そのものが問われているということでもあります。委託先という立場を固定的に捉えるより、変化に合わせて備えを更新し続けられるかどうかのほうが、実際の評価につながります。

セキュリティの経験を4つの層で書き出す

参画時にセキュリティに関する経験を尋ねられても、何をどう伝えればよいのか分かりにくいと感じることがあります。そこで、これまでの経験を4つの層に分けて書き出す整理の仕方を紹介します。層ごとに振り返ると、伝えられる材料が具体的になります。

層	書き出す内容	打診の場で使える一言
環境の層	案件ごとに使う端末や回線、接続の経路をどう整えてきたか	「現場ごとに端末とアクセス経路を分けています」
運用の層	複数の現場を掛け持ちする中で、情報をどう区分けしてきたか	「案件ごとに情報を区分けして扱っています」
伝え方の層	これまでの備えを、相手に伝わる言葉にできているか	「これまでの対応を一覧でお渡しできます」
更新の層	環境や案件の変化に合わせて、どう見直してきたか	「定期的に見直しの機会を設けています」

図の作成：Remogu編集部。参画時に経験を整理するための考え方を示したもので、統計データではありません

こうして層ごとに書き出した経験は、参画先が変わっても使い回せる材料になります。Remoguが扱う案件は90%以上がフルリモート可能です¹⁰。場所に縛られず声がかかる案件を探しながら、自分の備えを積み上げていく進め方も選べます。

6. まとめ

委託先を狙った攻撃は「組織」向け脅威の第2位に置かれ、2019年の初選出から8年連続8回目という並びを保っています²。ただ、同じ一覧には第1位のランサム攻撃による被害、第8位のリモート環境を狙った攻撃、第7位の内部不正、第4位の脆弱性を悪用した攻撃も並んでおり、外から入る立場だけが際立って扱われているわけではありません。

順位が伝えているのは、外から入る立場が特別に警戒されているという話ではなく、境界の内外を問わず、環境全体に目を配る必要があるという話です。委託先という立場を構えて身を縮めるより、これまで積み上げてきた環境づくりの経験を、打診の場で具体的に示せる形に整えておくほうが、実際には近道になります。

自分の入り方に照らして備えを整理できたら、次はその備えを活かせる案件を探す番です。Remoguはリモート案件に特化したエンジニアマッチングで、扱う案件の90%以上がフルリモート可能です¹⁰。まずは登録して、自分の経験に合う条件を確かめてみてください。

7. よくある質問

委託先というだけで不利になるのでしょうか

委託先を狙った攻撃が上位にあることは事実ですが、同じ一覧には内側で起きる話も並んでいます⁶。順位が高いことは注目される論点であることを示しますが、委託先という立場そのものが不利に扱われると断定できる根拠にはなりません。大切なのは立場ではなく、示せる備えの中身です。

何を示せば届いていると言えるのでしょうか

IPAの資料は、複数の脅威にまたがる事案があるため各自の環境に照らして極力もれなく対策を行うことが求められると示していますが⁸、具体的な基準まで一律に定めているわけではありません。現場ごとに求められる内容は異なるため、自分の環境に当てはめて整理し、その都度示す姿勢が実際的です。

順位の上から対策を進めればよいのでしょうか

出典が示しているのは、順位を上から順に潰していく進め方ではなく、各自の環境に照らしてもれなく確かめるという考え方です⁸。順位の高さは注目度の目安にはなりますが、対策の優先順位をそのまま決めるものではないという但し書きに沿って読む必要があります。

セキュリティの経験は、どう書けば伝わるのでしょうか

環境の層・運用の層・伝え方の層・更新の層という4つに分けて書き出すと、抽象的な「気をつけています」で終わらず、具体的な一言に変換しやすくなります。打診の場では、この4つのうちどれか一つでも具体的に答えられると、相手に伝わる備えとして受け止められやすくなります。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 IPA「情報セキュリティ10大脅威 2026」順位の決め方（2026年1月29日）
＊2 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第2位（2026年1月29日）
＊3 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第1位（2026年1月29日）
＊4 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第3位（2026年1月29日）
＊5 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第8位（2026年1月29日）
＊6 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第7位（2026年1月29日）
＊7 IPA「情報セキュリティ10大脅威 2026」組織向け脅威 第4位（2026年1月29日）
＊8 IPA「情報セキュリティ10大脅威 2026」順位の読み方（2026年1月29日）
＊9 IPA「情報セキュリティ10大脅威 2026」順位の読み方（2026年1月29日）
＊10 Remoguサイト公開情報（フルリモート可能案件の割合）