リモートで案件を受けていると、守るべき範囲がどこまでなのか、案内を待つだけでは分からない場面が増えています。IPAの情報セキュリティ10大脅威2026では、リモートワーク等の環境や仕組みを狙った攻撃が8位に挙げられ、6年連続の選出になりました¹。上位には委託先を狙った攻撃や情報漏えいも並び、外から入る立場そのものが見られていることが分かります¹。この記事では、発注元が仕組みで守る範囲と、自分の手元で守る範囲を分けて整理します。

1. 毎年選ばれ続けるリモート環境への攻撃

6年連続という積み重ねの意味

「リモートワーク等の環境や仕組みを狙った攻撃」は、2026年版の情報セキュリティ10大脅威でも8位に挙げられています¹。初めて選ばれたのは2021年で、今回で6年連続6回目の選出です¹。単発の話題ではなく、毎年の審議で繰り返し取り上げられてきた項目だと分かります。

一度きりの注目と、6年続けて選ばれ続けることでは、意味が変わります。前者はその年だけの話題ですが、後者は環境そのものに構造的な弱さが残っていることの表れです。リモートで案件を受ける側にとっては、他人事にはできない位置づけです。

受ける側の持ち場として見えている理由

8位という位置は、上位ではないものの、下位でもありません。同じ調査では、委託先を狙った攻撃が2位に挙げられており¹、外から接続してくる立場そのものが経路として意識されていることがうかがえます。案件を受ける側の接続や端末の扱いは、発注元だけの関心事ではなくなっています。

案件を選ぶときに条件や報酬を先に見るのは自然なことですが、どの範囲を自分が担うのかを合わせて確かめておくと、後から話し合う場面を減らせます。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）をもとに作成

順位そのものより注目したい点

順位の上下だけを追うと、8位は目立たない位置に見えます。しかし注目したいのは順位より継続の年数です。約250名の委員が毎年見直したうえで6回とも選び続けているという事実は、環境の弱さが一時的なものではないことを示しています。

数字の高さより、選ばれ続けている理由のほうが受ける側には参考になります。次の章では、なぜ委託先という立場自体が経路として見られているのかを見ていきます。

2. 経路として見られる委託先

外から入る立場として見られる理由

サプライチェーンや委託先を狙った攻撃は2位に挙げられています¹。選出は2019年から続いており、今回で8年連続8回目です¹。発注元の内側だけでなく、外から接続してくる相手先までを含めた範囲が見られていることの表れです。

案件を受ける立場は、発注元にとっての「内側」ではなく「外から入ってくる相手」でもあります。この見え方の違いを理解しておくと、契約時に何を確認すればよいかがはっきりします。守りの強さより、境界の引き方に目を向けたい理由がここにあります。

図の作成：Remogu編集部。案件で守る範囲を発注元側と受ける側とで整理したもので、統計データではありません

上位二つの脅威で関わり方が変わる点

最も上位に挙げられているのは、ランサム攻撃による被害です¹。2016年からの選出が続き、今回で11年連続11回目にあたります¹。委託先を狙った攻撃とランサム攻撃は同じ調査の中で並んで挙げられていますが、受ける側との関わり方は同じではありません。前者は「外から入る経路」として、後者は「感染の起点になり得る接続や端末の扱い」として関わってきます。

脅威	順位	選出の継続	受ける側との関わり方
サプライチェーンや委託先を狙った攻撃1	2位	2019年から8年連続8回目	外から入る経路の一つとして見られやすい
ランサム攻撃による被害1	最も上位	2016年から11年連続11回目	感染の起点になり得る接続や端末の扱いに関わる

並べてみると、二つの脅威は狙う対象こそ違いますが、どちらも「外側の誰か」が起点になり得るという点で共通しています。案件を受ける側が起点の一つに数えられているという前提を持っておくと、契約や運用の話し合いで的外れになりません。

経路として見られることが意味する備え

経路として見られているからといって、身構えすぎる必要はありません。求められているのは、自分がどこまでの範囲を担っているかを言葉にしておくことです。曖昧なまま進めるより、契約の段階で確認しておいたほうが後の話し合いが早くなります。

次の章では、この順位そのものがどのように決まっているのかを見ていきます。順位の決め方が分かると、上位に挙がる脅威の重みも読み取れます。

3. 順位の決め方

順位を決める顔ぶれと手順

順位は、約250名のメンバーが審議と投票を経て決めています¹。特定の一者の判断ではなく、多数の関係者が毎年見直したうえでの結果だという点は押さえる価値があります。

審議と投票という二段階を踏んでいる分、順位の入れ替わりや新規選出には相応の理由があります。前の章で見た8位という位置も、思いつきではなく合議の結果として毎年確かめられてきたものです。

組織向けと個人向けで記載の形式が変わる理由

組織向けの脅威には順位が併記される一方、個人向けの脅威は五十音順で記載されています¹。組織向けは影響の重さを比較しやすくする狙いがあり、個人向けは優劣をつけるより網羅性を重視した並びだと読み取れます。

この違いを知っておくと、後の章で個人の側の脅威を見るときに、順位の有無を過剰に気にしなくて済みます。並び方が違うだけで、注意を払う理由がなくなるわけではありません。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）をもとに作成

回数が示す積み重ねの重さ

選出の回数は、単純な新旧を表すものではありません。長く選ばれ続けている脅威ほど、対策が進んでも形を変えて残り続けていることを意味します。リモート環境を狙った攻撃はまだ6回目ですが、初選出から一度も外れていない点は変わりません¹。

順位の決め方と回数の重みが分かったところで、次は上位に並ぶ脅威それぞれが、受ける側とどう関わってくるのかを具体的に見ていきます。

4. 上位に並ぶ脅威と、受ける側の関わり

上位三つに共通する関わり方

最も上位に挙げられているランサム攻撃による被害¹に加えて、システムの脆弱性を悪用した攻撃は4位¹、内部不正による情報漏えい等は7位に挙げられています¹。三つとも組織向けの上位群に位置しており、案件を受ける側の日々の作業と無関係ではありません。

三つの脅威に共通しているのは、端末や権限といった「手元の管理」が関わってくる点です。発注元が用意した仕組みだけでなく、受ける側が普段どう扱っているかという運用の部分が問われています。

表で比べる三つの脅威と担当範囲

順位や選出の継続だけを並べても、受ける側にとっての距離感はつかみにくいものです。三つの脅威は、それぞれ受ける側の担当範囲と関わる場面が違います。

脅威	順位	選出の継続	受ける側の関わり方
ランサム攻撃による被害1	最も上位	2016年から11年連続11回目	端末やアカウントの取り扱いに関わる
システムの脆弱性を悪用した攻撃1	4位	2016年から6年連続9回目	利用するツールやサービスの更新状況に関わる
内部不正による情報漏えい等1	7位	2016年から11年連続11回目	与えられた権限の範囲を超えない運用に関わる

表にすると、順位の高低よりも「何を普段どう扱っているか」が並んで見えてきます。端末の管理、ツールの更新、権限の運用のいずれも、契約書の条文というより日々の習慣に近い部分です。

共通しているのは接続と権限の扱い

三つの脅威を並べて分かるのは、リモートで案件を受ける側が意識したい対象は一つではなく、複数の場面に散らばっているという点です。特定のツールを一つ入れれば防げるという単純な話ではありません。

日々の運用のどこに自分の担当範囲があるのかを把握しておくことのほうが、遠回りに見えて堅い備えになります。次の章では、2026年に初めて選出された新しい項目を見ていきます。

5. 新しく挙がったAIをめぐるリスク

初めて挙がった項目が意味すること

「AIの利用をめぐるサイバーリスク」は、2026年版で初めて選出されました¹。これまで6年以上続けて選ばれてきた項目が多い中で、今回初めて挙がったという点が、2026年版の大きな変化です。

初選出であることは、まだ実態が定まりきっていないことも意味します。だからこそ、詳細が固まるのを待つより、自分の作業の中でAIをどう使っているかを一度言葉にしておくことに価値があります。

受ける側として向き合う距離感

案件の中でコードの生成や資料の作成にAIを使うときは、どこまでの情報を入力してよいかを発注元との間で確かめます。

新しい項目ほど、対策の型が定まっていない分、自分の頭で考える余地が大きい項目です。次の章では、組織向けだけでなく個人の側で挙がっている脅威にも目を向けます。

6. 個人の側で挙がっている脅威

個人の側にも挙がっている理由

インターネット上のサービスへの不正ログインは、個人向けの脅威として挙げられています¹。組織向けの順位付けとは別に、個人が日常的に使うサービスの側でも注意したい項目として並んでいることが分かります。

案件を受ける側は、発注元のシステムだけでなく、自分が個人として契約しているサービスのアカウントも扱っています。組織向けと個人向けの両方に目を配る必要がある立場です。

表で比べる記載のされ方と関わり方

個人向けの不正ログインと、組織向けに挙げられているDDoS攻撃は、記載のされ方も受ける側との関わり方も異なります。DDoS攻撃（分散型サービス妨害攻撃）は9位に挙げられ、2016年から通算7回目、直近では2年連続の選出です¹。

脅威	分類	記載のされ方	受ける側の関わり方
インターネット上のサービスへの不正ログイン1	個人向け	五十音順で記載	アカウントや認証情報の扱いに関わる
DDoS攻撃（分散型サービス妨害攻撃）1	組織向け	9位（2016年から通算7回目）	通信そのものが止まる場面に関わる

組織向けは順位という形で重さが示され、個人向けは順位を持たない形で並びます¹。順位の外にあっても、日常のアカウント管理は受ける側が直接管理できる範囲の話です。

自分の持ち場として意識したい点

組織向けの上位群と違い、個人向けの脅威は発注元の仕組みでは守り切れません。認証情報の使い回しや、通知を確認する習慣は、受ける側自身の持ち場です。

組織向けにも個人向けにも、受ける側が関わる場面があります。では、発注元との線引きはどの時点で決めておけばよいのでしょうか。

7. 契約の時点での線引き

契約の時点で確かめる二つの範囲

リモートワーク等の環境や仕組みを狙った攻撃は8位に6年連続で挙げられ¹、委託先を狙った攻撃は2位に挙げられています¹。どちらも、受ける側が外から接続してくる立場として関わってくる項目です。だからこそ、発注元が仕組みで守る範囲と、自分の手元で守る範囲を、案件が始まる前の契約の時点で言葉にしておくことが有効です。

Remogu（株式会社LASSIC運営）は、案件の90%以上がフルリモート可能な、リモートワーク案件に特化したエンジニアマッチングです。守る範囲を自分の言葉で説明できるようになっていれば、参画後にクライアントと条件を協議する場面でも具体的な話ができます。

図の作成：Remogu編集部。案件を受ける前後の確認の流れを整理したもので、統計データではありません

線引きを自分の言葉にしておく効果

線引きを言葉にしておく作業は、一度で終わるものではありません。案件が変わるたびに、発注元の仕組みも自分の手元の環境も変わるためです。毎回同じ四つの確認を繰り返す習慣をつけておくと、案件ごとの違いにも対応できます。

冒頭の問い、つまり守る範囲がどこまでなのかは、案内を待たなくても、契約の時点で自分から確かめられます。まずはRemoguに登録して、自分に合う条件の案件を見ながら、この四つの確認を一つずつ試してみましょう。

8. よくある質問

リモートで受ける案件では、どこまでが自分の担当範囲になりますか

委託先を狙った攻撃は10大脅威2026で2位に挙げられています¹。発注元が仕組みで守る部分と、端末や認証情報など自分の手元で守る部分に分け、契約の時点で言葉にして確かめます。

AIをめぐるリスクは、案件にどのように関わりますか

「AIの利用をめぐるサイバーリスク」は2026年版で初めて選出された項目です¹。コードや資料の作成にAIを使う案件では、入力してよい情報の範囲を発注元とあらかじめ確かめます。

個人向けに挙げられている脅威は、案件を受けるうえでも関わりますか

インターネット上のサービスへの不正ログインは個人向けの脅威として挙げられています¹。自分で契約しているサービスのアカウント管理は、発注元の仕組みでは守れない部分です。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 IPA「情報セキュリティ10大脅威 2026」働く場所の穴（2026年1月・2026年10月確認）