AI時代のセキュリティ対策｜日本の脅威動向と個人・職場で始める５つの備え

不正アクセスや情報漏洩のニュースを見るたびに、「自分のアカウントや職場の情報は大丈夫だろうか」と感じることはありませんか。生成AIを仕事や学習に使う機会が増え、便利さとともに、確認すべきことも広がっています。

AI時代のセキュリティ対策では、アカウントや端末を守る基本に加えて、AIへ渡す情報と、AIに許可する操作を管理することが大切です。特別なツールを導入する前にも、取り組めることがあります。

この記事では、日本の公的資料から脅威動向を整理し、個人・職場で始める５つの対策を紹介します。専門の担当者がいない小規模な職場や、学校・教室での情報教育にも使える確認例をまとめました。

１．日本のセキュリティ動向を、資料から読み取る

IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの１位が「ランサム攻撃による被害」、２位が「サプライチェーンや委託先を狙った攻撃」、３位が「AIの利用をめぐるサイバーリスク」です。AIに関する脅威は、2026年版で初めて選ばれました。

この資料は、2025年に発生した社会的影響の大きい事故や攻撃の状況などを基に、専門家による審議・投票を経て選定されています。順位は、被害件数や個々の企業が攻撃される確率をそのまま示したものではありません。

また、個人向けには、不正ログイン、フィッシング、サポート詐欺などが挙げられています。個人向けの一覧は順位ではなく五十音順なので、組織向けと同じ読み方をしないようにしましょう。

出典：IPA「情報セキュリティ10大脅威 2026」

ニュースの多さだけで「日本は弱い」と決めつけない

国内の被害報道が続いていても、それだけで日本全体の対策水準や、他国との優劣まで判断することはできません。国際比較には、調査対象や被害の定義、報告制度などの違いも確認する必要があります。

日々の対策では、ニュースを見て不安になるだけで終わらせず、「自分たちにも同じ入口がないか」を考えてみましょう。使い回しているパスワード、更新していない端末、確認せずに送れる共有リンクなど、身近な設定を点検するきっかけになります。

２．AIに関するリスクを３つに分けて考える

AIとセキュリティの関係は、「AIが攻撃に使われる」という話だけではありません。自分がAIを使うときの情報管理や、AIが外部サービスを操作するときの権限も確認が必要です。

外部の文章などに含まれる指示によって、AIの動作を変えようとする攻撃は「プロンプトインジェクション」と呼ばれます。AIにメール送信やファイル更新まで任せる場合は、回答内容だけでなく、実行できる範囲も管理しましょう。

また、AIが誤った説明を生成することと、悪意のある攻撃を受けることは別の問題です。どちらにも備えつつ、内容の正しさを確かめる対策と、アクセス・操作を制限する対策を分けて考えてください。

３．個人・職場で始める５つのセキュリティ対策

対策１：アカウントの認証を見直す

パスワードは使い回さず、サービスごとに異なるものを設定します。特にメールのアカウントは、他のサービスのパスワード再設定にも使われるため、優先して確認してください。

対応するサービスでは、多要素認証やパスキーを利用しましょう。認証を強化した場合も、身に覚えのない承認要求には応じず、端末を失ったときの復旧方法を確認しておくことが大切です。

対策２：更新する対象と担当者を決める

更新の対象は、パソコンのOSだけではありません。ブラウザー、スマートフォンのアプリ、ルーター、Webサイトの管理システムやプラグインなども確認します。

個人の端末は自動更新を活用し、職場では「誰が、どの製品の案内を確認するか」を決めましょう。業務への影響を確認しながら、重要な修正を放置しない運用にします。

対策３：バックアップは復元まで確かめる

バックアップは、保存できたことに加えて、必要なデータを戻せることが重要です。保存先、保存する頻度、復元の手順を確認し、少量のデータで実際に復元できるか試してください。

同じアカウントや端末から自由に消せる場所だけに保存していると、元のデータと一緒に被害を受ける可能性があります。切り離して保管する方法や、削除・変更を制限できる保存先などを検討しましょう。

なお、クラウドへの同期だけでは、削除や暗号化された状態まで同期される場合があります。履歴の保持や復元機能がどこまで使えるかを、利用中のサービスで確認してください。

対策４：重要な依頼は別の経路で確認する

「急いで振り込んでほしい」「このリンクから認証してほしい」といった依頼は、文章が自然でも慎重に扱います。表示名や声が本人らしいことだけを、送金や情報提供の根拠にしないようにしましょう。

確認する際は、届いたメッセージに書かれた連絡先へそのまま返信するのではなく、以前から把握している電話番号や、普段使う公式アプリを使います。口座変更や重要資料の送信は、確認手順を事前に決めておくと判断しやすくなります。

対策５：AIに渡す情報と任せる操作を決める

AIに資料を送る前に、そのサービスへ入力してよい内容かを確認します。氏名を削除しても、学校名、日時、役職、相談内容などの組み合わせから、本人や組織が分かる場合があります。

学習に使われない設定であっても、保存、共有、外部連携などの確認は必要です。職場では利用するサービスと用途を決め、個人アカウントへの業務情報の持ち込みを曖昧にしないようにしましょう。

AIに操作を任せる場合は、最初は下書き作成や情報整理から始める方法があります。メール送信、ファイル削除、公開サイトの更新などは、内容と対象を確認してから実行する設計にしてください。

４．AIを対策に使うなら、判断の補助から始める

AIは、注意喚起の文章を読みやすく整理したり、研修用の架空事例を作ったりする補助にも使えます。利用する場合は、元の資料と生成結果を照合し、意味が変わっていないか確認しましょう。

一方、不審なメールをAIへ見せて「安全」と答えたことだけで、リンクを開いてよいとは判断できません。実際のメールやログには機密情報が含まれる場合もあるため、相談先として使う際にも入力内容を選びます。

AIが生成した修正コマンドも、内容を確認せずに管理者権限で実行しないようにしてください。何を変更し、元に戻すにはどうするかを把握したうえで、検証できる環境から進めます。

５．職場や教室では、具体的な場面で確認する

「怪しい連絡に気を付けましょう」だけでは、実際に届いたときの行動まで決まりません。どの操作を止め、誰へ、どの方法で確認するかを、架空の事例で話し合ってみましょう。

例えば、次の３つは短い研修や授業で扱える題材です。実在する個人情報や認証情報を使わず、確認の手順を練習してください。

研修では、見抜けた人数だけでなく、「迷ったときの相談先を知っているか」も確認しましょう。間違いを隠さず早く相談できるよう、報告を受ける人と連絡方法を明確にします。

６．被害が疑われたときは、行った操作を整理する

不審な連絡を見ただけなのか、パスワードを入力したのか、ファイルを実行したのかで、対応は変わります。「何が起きたか分からない」と感じた場合も、時刻と自分が行った操作を整理して相談してください。

認証情報を入力してしまった場合

疑わしいページへの入力を止め、正規のアプリや公式の復旧手順から対応します。パスワード変更に加えて、利用可能ならログイン履歴や有効なセッション、復旧先の連絡先も確認してください。

職場のアカウントなら、速やかに担当者へ報告します。カード情報を入力した場合や送金した場合は、関係するカード会社・金融機関へ、正規の窓口から連絡してください。

端末の感染や情報流出が疑われる場合

職場では、あらかじめ定めた手順に従い、担当者へ連絡します。感染拡大のおそれがある場合はネットワークから切り離すなどの対応が必要ですが、自己判断で初期化や履歴削除を行うと、調査に必要な記録を失う場合があります。

端末の再起動や電源断も含め、不用意な操作を重ねず、担当者や保守事業者の指示を受けましょう。IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、事前の準備に利用できます。

７．今週の確認事項を、担当者と期限まで決める

対策を続けるには、「気を付ける」という目標を、実行できる作業へ置き換えることが必要です。次の表を基に、現在の状態と担当者、確認する日を決めてみてください。

すべての項目を一度に終えられなくても、未対応の項目が分かれば、次に行うことを決められます。特に、重要なアカウントや失うと業務が止まるデータから、優先順位を付けましょう。

AIを活用するほど、情報の扱いと確認の仕組みを整える価値も大きくなります。まずは一つのアカウント、一台の端末、一つの業務から、実際の設定と手順を確かめてみてください。

参考資料

本記事は、2026年10月10日時点で確認した公的資料を基に、対策の進め方と学習用の例を整理したものです。利用中の製品の更新情報や、所属組織の手順も併せて確認してください。

• IPA：情報セキュリティ10大脅威 2026
• IPA：情報セキュリティ10大脅威 2026 解説書［組織編］
• IPA：インターネットサービスへの不正ログインによる被害が増加中
• IPA：中小企業の情報セキュリティ対策ガイドライン
• IPA：中小企業のためのセキュリティインシデント対応の手引き