リモートで案件を受けていると、守るべき範囲がどこまでなのか、案内を待つだけでは分からない場面が増えています。IPAの情報セキュリティ10大脅威2026では、リモートワーク等の環境や仕組みを狙った攻撃が8位に挙げられ、6年連続の選出になりました¹。上位には委託先を狙った攻撃や情報漏えいも並び、外から入る立場そのものが見られていることが分かります³。この記事では、発注元が仕組みで守る範囲と、自分の手元で守る範囲を分けて整理します。

1. リモート環境を狙う攻撃は毎年選ばれ続けている

6年連続という積み重ねの意味

「リモートワーク等の環境や仕組みを狙った攻撃」は、2026年版の情報セキュリティ10大脅威でも8位に挙げられています¹。初めて選ばれたのは2021年で、今回で6年連続6回目の選出です¹。単発の話題ではなく、毎年の審議で繰り返し取り上げられてきた項目だと分かります。

一度きりの注目と、6年続けて選ばれ続けることでは、意味が変わります。前者はその年だけの話題ですが、後者は環境そのものに構造的な弱さが残っていることの表れです。リモートで案件を受ける側にとっては、他人事にはできない位置づけだと言えます。

受ける側の持ち場として見えている理由

8位という位置は、上位ではないものの、下位でもありません。同じ調査では、委託先を狙った攻撃が2位に挙げられており³、外から接続してくる立場そのものが経路として意識されていることがうかがえます。案件を受ける側の接続や端末の扱いは、発注元だけの関心事ではなくなっています。

案件を選ぶときに条件や報酬を先に見るのは自然なことですが、どの範囲を自分が担うのかを合わせて確認しておくと、後になって困る場面を減らせます。次に見るのは、この位置づけを図で確かめる作業です。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）をもとに作成

順位そのものより注目したい点

順位の上下だけを追うと、8位は目立たない位置に見えます。しかし注目したいのは順位より継続の年数です。約250名の委員が毎年見直したうえで6回とも選び続けているという事実は、環境の弱さが一時的なものではないことを示しています。

数字の高さより、選ばれ続けている理由のほうが受ける側には参考になります。次の章では、なぜ委託先という立場自体が経路として見られているのかを見ていきます。

2. 委託先が経路として見られている

外から入る立場として見られる理由

サプライチェーンや委託先を狙った攻撃は2位に挙げられています³。選出は2019年から続いており、今回で8年連続8回目です³。発注元の内側だけでなく、外から接続してくる相手先までを含めた範囲が見られていることの表れです。

案件を受ける立場は、発注元にとっての「内側」ではなく「外から入ってくる相手」でもあります。この見え方の違いを理解しておくと、契約時に何を確認すればよいかがはっきりします。守りの強さより、境界の引き方に目を向けたい理由がここにあります。

図の作成：Remogu編集部。案件で守る範囲を発注元側と受ける側とで整理したもので、統計データではありません

上位二つの脅威で関わり方が変わる点

最も上位に挙げられているのは、ランサム攻撃による被害です²。2016年からの選出が続き、今回で11年連続11回目にあたります²。委託先を狙った攻撃とランサム攻撃は同じ調査の中で並んで挙げられていますが、受ける側との関わり方は同じではありません。前者は「外から入る経路」として、後者は「感染の起点になり得る接続や端末の扱い」として関わってきます。下の表で、この二つを並べて整理します。

脅威	順位	選出の継続	受ける側との関わり方
サプライチェーンや委託先を狙った攻撃3	2位	2019年から8年連続8回目	外から入る経路の一つとして見られやすい
ランサム攻撃による被害2	最も上位	2016年から11年連続11回目	感染の起点になり得る接続や端末の扱いに関わる

並べてみると、二つの脅威は狙う対象こそ違いますが、どちらも「外側の誰か」が起点になり得るという点で共通しています。案件を受ける側が起点の一つに数えられているという前提を持っておくと、契約や運用の話し合いで的外れになりません。

経路として見られることが意味する備え

経路として見られているからといって、身構えすぎる必要はありません。求められているのは、自分がどこまでの範囲を担っているかを言葉にしておくことです。曖昧なまま進めるより、契約の段階で確認しておいたほうが後の話し合いが早くなります。

次の章では、この順位そのものがどのように決まっているのかを見ていきます。順位の決め方が分かると、上位に挙がる脅威の重みも読み取りやすくなります。

3. 順位はどう決まっているのか

誰がどのように決めているか

順位は、約250名のメンバーが審議と投票を経て決めています⁶。特定の一者の判断ではなく、多数の関係者が毎年見直したうえでの結果だという点は押さえておきたいところです。

審議と投票という二段階を踏んでいる分、順位の入れ替わりや新規選出には相応の理由があります。前の章で見た8位という位置も、思いつきではなく合議の結果として毎年確かめられてきたものです。

組織向けと個人向けで記載の形式が変わる理由

組織向けの脅威には順位が併記される一方、個人向けの脅威は五十音順で記載されています⁷。組織向けは影響の重さを比較しやすくする狙いがあり、個人向けは優劣をつけるより網羅性を重視した並びだと読み取れます。

この違いを知っておくと、後の章で個人の側の脅威を見るときに、順位の有無を過剰に気にしなくて済みます。並び方が違うだけで、注意を払う理由がなくなるわけではありません。

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）をもとに作成

回数が示す積み重ねの重さ

選出の回数は、単純な新旧を表すものではありません。長く選ばれ続けている脅威ほど、対策が進んでも形を変えて残り続けていることを意味します。リモート環境を狙った攻撃はまだ6回目ですが、初選出から一度も外れていない点は変わりません¹。

順位の決め方と回数の重みが分かったところで、次は上位に並ぶ脅威それぞれが、受ける側とどう関わってくるのかを具体的に見ていきます。

4. 上位に並ぶ脅威と、受ける側の関わり

上位三つに共通する関わり方

最も上位に挙げられているランサム攻撃による被害²に加えて、システムの脆弱性を悪用した攻撃は4位⁴、内部不正による情報漏えい等は7位に挙げられています⁵。三つとも組織向けの上位群に位置しており、案件を受ける側の日々の作業と無関係ではありません。

三つの脅威に共通しているのは、端末や権限といった「手元の管理」が関わってくる点です。発注元が用意した仕組みだけでなく、受ける側が普段どう扱っているかという運用の部分が問われています。

表で比べる三つの脅威と担当範囲

順位や選出の継続だけを並べても、受ける側にとっての距離感はつかみにくいものです。そこで、三つの脅威それぞれについて、どの場面で受ける側の担当範囲と関わってくるのかを一つの表に整理しました。順位が高いほど重要というより、それぞれ関わる場面が違う点に注目してください。

脅威	順位	選出の継続	受ける側の関わり方
ランサム攻撃による被害2	最も上位	2016年から11年連続11回目	端末やアカウントの取り扱いに関わる
システムの脆弱性を悪用した攻撃4	4位	2016年から6年連続9回目	利用するツールやサービスの更新状況に関わる
内部不正による情報漏えい等5	7位	2016年から11年連続11回目	与えられた権限の範囲を超えない運用に関わる

表にすると、順位の高低よりも「何を普段どう扱っているか」が並んで見えてきます。端末の管理、ツールの更新、権限の運用のいずれも、契約書の条文というより日々の習慣に近い部分です。

共通しているのは接続と権限の扱い

三つの脅威を並べて分かるのは、リモートで案件を受ける側が意識したい対象は一つではなく、複数の場面に散らばっているという点です。特定のツールを一つ入れれば防げるという単純な話ではありません。

日々の運用のどこに自分の担当範囲があるのかを把握しておくことのほうが、遠回りに見えて堅い備えになります。次の章では、2026年に初めて選出された新しい項目を見ていきます。

5. 新しく挙がったAIをめぐるリスク

初めて挙がった項目が意味すること

「AIの利用をめぐるサイバーリスク」は、2026年版で初めて選出されました⁸。これまで6年以上続けて選ばれてきた項目が多い中で、今回初めて挙がったという点は、業務の進め方そのものが変わりつつある現れだと言えます。

初選出であることは、まだ実態が定まりきっていないことも意味します。だからこそ、詳細が固まるのを待つより、自分の作業の中でAIをどう使っているかを一度言葉にしておくことに価値があります。

受ける側として向き合う距離感

案件の中でコードの生成や資料の作成にAIを使う場面は珍しくなくなっています。便利さの一方で、どこまでの情報を入力してよいかという線引きは、発注元との間で改めて確認しておきたいところです。

新しい項目ほど、対策の型が定まっていない分、自分の頭で考える余地が大きいとも言えます。次の章では、組織向けだけでなく個人の側で挙がっている脅威にも目を向けます。

6. 個人の側で挙がっている脅威

個人の側にも挙がっている理由

インターネット上のサービスへの不正ログインは、個人向けの脅威として挙げられています⁹。組織向けの順位付けとは別に、個人が日常的に使うサービスの側でも注意したい項目として並んでいることが分かります。

案件を受ける側は、発注元のシステムだけでなく、自分が個人として契約しているサービスのアカウントも扱っています。組織向けと個人向けの両方に目を配る必要がある立場だと言えます。

表で比べる記載のされ方と関わり方

個人向けの不正ログインと、組織向けに挙げられているDDoS攻撃は、記載のされ方も受ける側との関わり方も異なります。DDoS攻撃（分散型サービス妨害攻撃）は9位に挙げられ、2016年から通算7回目、直近では2年連続の選出です¹⁰。並びの違いと関わる場面を、次の表で確認します。

脅威	分類	記載のされ方	受ける側の関わり方
インターネット上のサービスへの不正ログイン9	個人向け	五十音順で記載	アカウントや認証情報の扱いに関わる
DDoS攻撃（分散型サービス妨害攻撃）10	組織向け	9位（2016年から通算7回目）	通信そのものが止まる場面に関わる

組織向けは順位という形で重さが示され、個人向けは順位を持たない形で並びます⁷。順位がないからといって軽く見てよいわけではなく、日常のアカウント管理という、受ける側が最も直接コントロールできる範囲の話だと捉えたほうが実情に近いです。

自分の持ち場として意識したい点

組織向けの上位群と違い、個人向けの脅威は発注元の仕組みでは守り切れません。認証情報の使い回しや、通知を確認する習慣は、受ける側自身の持ち場です。

ここまでで、組織向け・個人向けの両方に受ける側が関わる場面があることを確認しました。最後の章では、これらを踏まえて発注元との線引きをどの時点で決めておくかを整理します。

7. 発注元との線引きを契約の時点で決める

契約の時点で確認しておきたい二つの範囲

ここまで見てきたように、リモートワーク等の環境や仕組みを狙った攻撃は8位に6年連続で挙げられ¹、委託先を狙った攻撃は2位に挙げられています³。どちらも、受ける側が外から接続してくる立場として関わってくる項目です。だからこそ、発注元が仕組みで守る範囲と、自分の手元で守る範囲を、案件が始まる前の契約の時点で言葉にしておくことが有効です。

Remogu（株式会社LASSIC運営）は、案件の90%以上がフルリモート可能な、リモートワーク案件に特化したエンジニアマッチングです。守る範囲を自分の言葉で説明できるようになっていれば、参画後にクライアントと条件を協議する場面でも具体的な話がしやすくなります。

図の作成：Remogu編集部。案件を受ける前後の確認の流れを整理したもので、統計データではありません

線引きを自分の言葉にしておく効果

線引きを言葉にしておく作業は、一度で終わるものではありません。案件が変わるたびに、発注元の仕組みも自分の手元の環境も変わるためです。毎回同じ四つの確認を繰り返す習慣をつけておくと、案件ごとの違いにも対応しやすくなります。

守る範囲がはっきりしている案件ほど、参画後のやり取りもスムーズに進みます。ここまでの内容を踏まえて、よくある質問にも触れておきます。

リモートで受ける案件では、どこまでが自分の担当範囲になりますか

案件ごとに異なるため一律には決まりませんが、発注元が仕組みで守る部分と、端末や認証情報など自分の手元で守る部分に分けて考えると整理しやすくなります。委託先を狙った攻撃は2位に挙げられており³、外から入る経路として見られている前提で、契約時に担当範囲を確認しておくと安心です。

セキュリティの知識がまだ少ない場合でも、リモートの案件は受けられますか

専門の担当者になる必要はなく、自分の手元の範囲を理解し、決められた通りに運用できることのほうが重視されます。案件によって求められる範囲は異なるため、まずは自分に合う条件の案件を確かめてみると、実際に問われる内容がつかみやすくなります。

AIをめぐるリスクは、今どのように案件に関わってきますか

「AIの利用をめぐるサイバーリスク」は2026年版で初めて選出された項目です⁸。具体的な対策の型はまだ定まっていませんが、コードや資料の作成でAIを使う場面が増えている以上、どこまでの情報を入力してよいかを発注元とあらかじめ確認しておく価値があります。

個人向けに挙げられている脅威は、案件を受けるうえでも気にする必要がありますか

インターネット上のサービスへの不正ログインは個人向けの脅威として挙げられています⁹。組織向けの仕組みとは別に、自分が個人で契約しているサービスのアカウント管理は受ける側自身の持ち場になるため、案件の内容にかかわらず日常的に意識しておきたい部分です。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 IPA「情報セキュリティ10大脅威 2026」働く場所の穴（2026年1月・2026年8月確認）
＊2 IPA「情報セキュリティ10大脅威 2026」1位の脅威（2026年1月・2026年8月確認）
＊3 IPA「情報セキュリティ10大脅威 2026」委託先という経路（2026年1月・2026年8月確認）
＊4 IPA「情報セキュリティ10大脅威 2026」直せる穴（2026年1月・2026年8月確認）
＊5 IPA「情報セキュリティ10大脅威 2026」内側の経路（2026年1月・2026年8月確認）
＊6 IPA「情報セキュリティ10大脅威 2026」決め方（2026年1月・2026年8月確認）
＊7 IPA「情報セキュリティ10大脅威 2026」並べ方の違い（2026年1月・2026年8月確認）
＊8 IPA「情報セキュリティ10大脅威 2026」新しい脅威（2026年1月・2026年8月確認）
＊9 IPA「情報セキュリティ10大脅威 2026」個人側の脅威（2026年1月・2026年8月確認）
＊10 IPA「情報セキュリティ10大脅威 2026」止められる攻撃（2026年1月・2026年8月確認）