【2025年最新】情報セキュリティ10大脅威から学ぶ！経営層・担当者が実践すべき対策ガイド

公開日：2025年5月7日

情報セキュリティ10大脅威から学ぶ！経営層・担当者が実践すべき対策ガイド

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

情報セキュリティの脅威から組織を守るには、単発的な対策ではなく、体系的なマネジメントシステムの構築が効果的です。ISMS認証(ISO/IEC 27001)の取得により、自社のどこにリスクがあるかを把握し、それに対して効果的な対策を講じることができます。

この記事は 16 分で読了することができます。

「セキュリティ対策、何から始めれば良いのだろう」
「最新の脅威に対応できる体制を整えたいが、具体的に何をすれば？」
「経営層へのセキュリティ予算確保のための資料が欲しい…」

このような悩みを抱えている経営層や情報セキュリティ担当者の方も多いのではないでしょうか？

この記事で解決できる課題

ぜひ最後までお読みいただき、セキュリティ対策の第一歩を踏み出しましょう！

2. 「情報セキュリティ10大脅威2025」注目すべき新たな脅威とは？
　【初選出】地政学リスクに起因するサイバー攻撃の特徴
　【5年ぶりに選出】分散型サービス妨害攻撃(DDoS攻撃)の特徴
　【継続してランクイン】ランサムウェア攻撃の特徴と最新手口

3.「情報セキュリティ10大脅威2025」代表的な攻撃手口とその対策とは？
1位　ランサム攻撃による被害
 2位　サプライチェーンや委託先を狙った攻撃
 3位　システムの脆弱性を突いた攻撃
 4位　内部不正による情報漏えい等
 5位　機密情報等を狙った標的型攻撃
 6位　リモートワーク等の環境や仕組みを狙った攻撃
 7位　地政学的リスクに起因するサイバー攻撃
 8位　分散型サービス妨害攻撃（DDoS攻撃）
9位　ビジネスメール詐欺
 10位　不注意による情報漏えい等

4. ISMS（ISO/IEC 27001）導入で体系的なセキュリティ対策を

5. まとめ：初めて取り組む企業向け―まず実施すべき5つの基本対策

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

情報セキュリティの脅威から組織を守るには、単発的な対策ではなく、体系的なマネジメントシステムの構築が効果的です。ISMS認証(ISO/IEC 27001)の取得により、自社のどこにリスクがあるかを把握し、それに対して効果的な対策を講じることができます。

1. IPA「情報セキュリティ10大脅威 2025」とは？

IPAが発表する「情報セキュリティ10大脅威」は、前年に社会的影響が大きかったと考えられる情報セキュリティの脅威を、ランキング形式で紹介したものです。
最新のセキュリティリスクを把握し、適切な対策を講じるための貴重な指針となっています。

▸IPA発表情報セキュリティ10大脅威 2025
https://www.ipa.go.jp/security/10threats/10threats2025.html

毎年公表されるこのリストには、個人や企業に対する脅威とその対策が含まれ、適切な対策を促しています。

組織に対する脅威についてはランキング形式で発表されていますが、順位に関わらず、自社に関係する脅威から対策を行うことが重要です。

それでは、今年特に変化があった脅威、注目すべき脅威について見ていきましょう。

2.「情報セキュリティ10大脅威2025」注目すべき新たな脅威とは？

IPAの最新発表によると、この5年間で脅威の順位は大きく動いています。

たとえばサプライチェーンを狙った攻撃は着実に順位を上げていますし、ランサムウェアによる被害も依然として深刻です。
一方、地政学リスクが絡むサイバー攻撃や分散型サービス妨害攻撃（DDoS攻撃）のように急上昇してきたものもあります。

動向に注視し、自社と関連性が高い脅威については早めに対策を練りましょう！

ここからは、今年特に変化があった脅威、注目すべき脅威について、特徴と事例を紹介していきます。

【初選出】地政学リスクに起因するサイバー攻撃の特徴

今回初めて選ばれた「地政学リスク起因のサイバー攻撃」とはどのようなものでしょうか？

特徴

政治的対立を背景とした攻撃：周辺国に対し社会的な混乱を引き起こすことが目的
外交・安全保障上の対立が引き金：嫌がらせや報復のためのサイバー攻撃を行うことがある
経済的情報収集目的の攻撃：自国の産業の競争優位性確保や外貨獲得を目的とした攻撃もある

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

「地政学リスク起因のサイバー攻撃」は、政治的・経済的対立が背景にあり、ときに国家やその支援を受けた組織が関与します。
標的となる企業や重要インフラは、データ破壊や機密情報の窃取など深刻な被害を被りかねません。

これらの攻撃は高度な技術を持つ攻撃者によって仕掛けられ、通常のセキュリティ対策だけでは不十分なことも多いため、後述する対策を継続的に行う必要があります。

これまでの事例

ロシアを支持するハッカー集団による、日米軍事演習に対する抗議を目的としたサイバー攻撃(2024年10月)

サイバー攻撃グループ MirrorFaceによる、日本の安全保障や先端技術に係る情報窃取を目的としたサイバー攻撃(2024年6月頃)

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

▸地政学リスク起因のサイバー攻撃の攻撃手口・対策はこちら

【5年ぶりに選出】分散型サービス妨害攻撃（DDoS攻撃）の特徴

「分散型サービス妨害攻撃（DDoS攻撃）」とはどのような攻撃でしょうか？

特徴

大量アクセスによるサービス妨害：インターネット上のサービスに大量のアクセスを一斉に仕掛けて高負荷状態にさせる
回線帯域の占有：回線帯域を占有し、サービスを利用不能にする
サービス提供への支障：自国の産業の競争優位性確保や外貨獲得を目的とした攻撃もある

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

大量のアクセスでサービスを混乱させる手法です。5年ぶりに選出された背景には、攻撃規模の拡大と手口の巧妙化があります。
最近では航空会社や金融機関を狙った事例が注目を集め、多数の利用者に影響を及ぼしました。

攻撃者は複数の踏み台を悪用し、一斉に標的のサーバーへ大量のリクエストを送りつけてシステムを麻痺させます。この結果、Webサービスの停止や大幅な遅延が発生し、企業が提供するオンラインサービスに大きな損害を与える可能性があります。

対策としては、ネットワーク機器やサーバーの負荷分散機能の強化、外部からのトラフィックをリアルタイムに監視する仕組みの導入が有効です。

これまでの事例

日本航空が大規模なDDoS攻撃を受けて一部のシステムに障害が発生。

⇒ 攻撃は社内外を繋ぐネットワーク機器に対して行われ、航空便を利用する郵便物や宅配便などの配達にも影響を及ぼした。(2024年12月)

サイバー攻撃を代行する「IP ストレッサー」という海外サービスを使った、中学生によるサイバー攻撃(2024年12月)

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

▸分散型サービス妨害攻撃（DDoS攻撃）の攻撃手口・対策はこちら

【継続してランクイン】ランサムウェア攻撃の特徴と最新手口

特徴

データの暗号化と身代金要求：PCやサーバーのデータ窃取、暗号化を行い、業務継続困難な状態にする
複数の脅迫の組み合わせ：攻撃者は複数の脅迫を組み合わせ、被害組織が金銭支払いを検討せざるを得ない状況を作る
サービス化された攻撃：RaaS（Ransomware as a Service）という、サービスとして開発・提供されたランサムウェアによる攻撃も
新しい攻撃手法の出現：「ノーウェアランサム」（ランサムウェアを用いない金銭要求）やランサムDDoS攻撃なども確認

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

長年上位に位置づけられているランサムウェア攻撃は、組織や生活者に深刻な影響を及ぼしています。

現在、攻撃者側は国家支援型や犯罪組織など多様化しており、脆弱性を突く速度も加速しています。重要インフラはもちろん、広く使われるソフトウェアを提供する企業も狙われやすいです。

これからはセキュリティ教育やバックアップ体制の見直し、さらなる暗号化機能の導入などを定期的に実施し、より強固な防御を構築する必要があります。

これまでの事例

フィッシング攻撃等により従業員のアカウント情報が窃取され、社内ネットワークに侵入されたことによるランサムウェア攻撃を含む大規模なサイバー攻撃。

⇒ 複数のサービスが停止したほか、顧客の個人情報や企業情報が漏えい(2024年6月)

国際ハッカー集団「CyberVolk」による「ノーウェアランサム」攻撃

⇒「研究所のデータ5%を公開し、1万ドルを支払わなければ残95%も公開する」とSNS上で脅迫(2024年10月)

出典：情報セキュリティ10大脅威2025[組織編]　独立行政法人情報処理推進機構（IPA）

▸ランサムウェア攻撃の攻撃手口・対策はこちら

TOP10の順位が注目されがちですが、先述の通り、順位に関わらず、自組織に直接関係ある脅威から対策を始めることが大切です。

この後解説する対策例を確認して、自社の環境に合った方法を実践しましょう！

標的組織が利用するサービスや機器の脆弱性を悪用して不正アクセスする
メールにマルウェアを仕込んだファイルを添付し、開封させる
水飲み場型攻撃（標的組織が頻繁に利用するWebサイトを改ざんし、マルウェアを仕込む）

対策例：

【経営者層向け対策】

【システム管理者・システム管理者向け対策】

【従業員・職員向け対策】

6位　リモートワーク等の環境や仕組みを狙った攻撃

概要：

リモートワークの実現に必要な環境や仕組みを狙ったサイバー攻撃

攻撃手口の例：

対策例：

【従業員向け対策】

【経営者層向け対策】

【セキュリティ担当者・システム管理者向け対策】

7位　地政学的リスクに起因するサイバー攻撃

概要：

政治的に対立する周辺国に対し社会的な混乱を引き起こすことを目的としたサイバー攻撃

攻撃手口の例：

DDoS攻撃（標的のシステムに大量のデータを送り、サービスを停止させる）
ネットワーク貫通型攻撃（標的組織のネットワークとインターネットの境界に設置されたセキュリティ製品の脆弱性を悪用して不正アクセスする）
スピアフィッシング（特定個人を標的としたメール攻撃で認証情報や機密データを窃取する）

対策例：

【経営者層向け対策】

【システム管理者向け対策】

【従業員向け対策】

8位　分散型サービス妨害攻撃（DDoS攻撃）

概要：

インターネット上のサービスに大量のアクセスを一斉に仕掛けて高負荷状態にさせる

攻撃手口の例：

ボットネットを利用したDDoS 攻撃：
IoT機器等により構成されたボットネットに攻撃命令を出し、標的組織のWebサイトや利用しているDNSサーバー*等へ大量のアクセスを行い、高負荷をかける
リフレクション（リフレクター）攻撃：
送信元のIPアドレスを標的組織のサーバーのIPアドレスに偽装して、多数のサーバー等に問い合わせを送り、その応答を標的組織のサーバーに集中させることで高負荷をかける
DNSランダムサブドメイン攻撃：
標的組織のドメインにランダムなサブドメインを付加して、DNSへ問い合わせすることで、標的組織のDNSサーバー*に高負荷をかける

*DNSサーバー…ドメイン名をIPアドレスに変換する役割を持つシステム

対策例：

【Webサイトの運営者向け対策】

【サービス事業者向け対策】

9位　ビジネスメール詐欺

概要：

取引先や経営者とやりとりするようなビジネスメールを装い、攻撃者が用意した口座へ送金させる等

攻撃手口の例：

対策例：

10位　不注意による情報漏えい等

概要：

従業員の不注意等によって意図せず機密情報を漏えい

要因：

対策例：

サイバー攻撃は変化のスピードが速く、新しい手口が次々と生まれています。最新情報を常に確認しながら柔軟に対応することが求められます。

10大脅威を知るだけでなく、それぞれの攻撃パターンをしっかり把握して、実践的な守りを固めていきましょう！
企業規模や業種を問わず、脅威への備えを強化する姿勢が、社会全体のIT安全性を高めるカギになります。

4. ISMS（ISO/IEC 27001）導入で体系的なセキュリティ対策を

情報セキュリティリスクを総合的に管理するためには、体系的なアプローチが効果的です。

ISMS認証（ISO/IEC 27001：情報セキュリティマネジメントシステム）を取得することで、組織全体で一貫したセキュリティ管理体制を構築できます。

当社東京スタンダードでは、月額9,700円(税抜)からISO/IEC27001認証取得に向けたサポートサービスを提供しています。
マネジメントシステム構築に必要な文書テンプレートを搭載したITツール「T-web」と、専任スタッフによるサポートで、組織の実態に合った効果的なセキュリティ管理体制の構築をお手伝いします。

ISO/IEC 27001認証取得に興味をお持ちの方は、ぜひお気軽にご相談ください。

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

ISO文書テンプレを一式搭載！文書管理ツール『T-web』

5. まとめ：初めて取り組む企業向け―まず実施すべき5つの基本対策

2025年度の情報セキュリティ10大脅威では、ランサムウェアやDDoS攻撃など、組織にとって多様な脅威が存在することが確認できました。

重要なのは、脅威を知るだけで終わらせないことです。初めてセキュリティ対策に取り組む企業でも、以下の基本的な対策から始めることで、セキュリティレベルを向上させることができます。

5つの基本セキュリティ対策

セキュリティ対策	内容
多要素認証の導入	・特に重要システムや管理者アカウントに優先して導入・クラウドサービスやVPN接続にも適用
定期的なセキュリティ教育の実施	・全従業員向けの基本的な教育プログラムの策定・標的型メール訓練の定期的な実施
データバックアップの強化	・3-2-1ルール（3つのコピー、2種類の媒体、1つはオフサイト）の実践・定期的なリストア訓練の実施
セキュリティパッチの適用体制の整備	・脆弱性情報の収集と評価の仕組み構築・計画的なパッチ適用プロセスの確立
インシデント対応計画の策定	・対応フローと責任者の明確化・簡易的な訓練の実施と計画の見直し

ポイント：
まずは「完璧」を目指すのではなく「今できること」から始めましょう。セキュリティ対策は継続的な改善プロセスです。

攻撃手法は日々進化しています。常に最新情報をチェックしながら、自社の防御策をアップデートしていくことが重要です。情報セキュリティへの投資は、企業価値を守り、持続的な成長を支える基盤となります。

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

2023年東京スタンダード設立。エイエスアール株式会社、アームスタンダード株式会社、アフノールジャパン株式会社、QAICジャパン株式会社をグループ会社として持ち、ISO認証登録件数グループ合計5,500件以上の実績を持つ。長年の経験とノウハウを活かして、ISOをより活かすことができるお役立ち情報を発信。

記事の監修者

東京スタンダード編集部

お名前*
会社名*
電話番号*
メールアドレス*
個人情報の取扱いに同意する*	同意する ※個人情報の取り扱いについてはこちら

情報セキュリティ10大脅威から学ぶ！経営層・担当者が実践すべき対策ガイド

目次

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

1. IPA「情報セキュリティ10大脅威 2025」とは？

2.「情報セキュリティ10大脅威2025」注目すべき新たな脅威とは？

【初選出】地政学リスクに起因するサイバー攻撃の特徴

【5年ぶりに選出】分散型サービス妨害攻撃（DDoS攻撃）の特徴

【継続してランクイン】ランサムウェア攻撃の特徴と最新手口

3. 「情報セキュリティ10大脅威2025」代表的な攻撃手口とその対策とは？

1位 ランサム攻撃による被害

概要：

攻撃手口の例：

対策例：

2位 サプライチェーンや委託先を狙った攻撃

概要：

攻撃手口の例：

対策例：

3位 システムの脆弱性を突いた攻撃

概要：

攻撃手口の例：

対策例：

4位 内部不正による情報漏えい等

概要：

攻撃手口の例：

対策例：

5位 機密情報等を狙った標的型攻撃

概要：

攻撃手口の例：

対策例：

6位 リモートワーク等の環境や仕組みを狙った攻撃

概要：

攻撃手口の例：

対策例：

7位 地政学的リスクに起因するサイバー攻撃

概要：

攻撃手口の例：

対策例：

8位 分散型サービス妨害攻撃（DDoS攻撃）

概要：

攻撃手口の例：

対策例：

9位 ビジネスメール詐欺

概要：

攻撃手口の例：

対策例：

10位 不注意による情報漏えい等

概要：

要因：

対策例：

4. ISMS（ISO/IEC 27001）導入で体系的なセキュリティ対策を

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

ISO文書テンプレを一式搭載！文書管理ツール『T-web』

5. まとめ：初めて取り組む企業向け―まず実施すべき5つの基本対策

5つの基本セキュリティ対策

ISMS認証取得 = 情報セキュリティ強化の基盤を築きます！

DOCUMNET REQUEST こちらのフォームにご入力後、弊社サービスやISOに関する資料がダウンロードできます。

1位　ランサム攻撃による被害

2位　サプライチェーンや委託先を狙った攻撃

3位　システムの脆弱性を突いた攻撃

4位　内部不正による情報漏えい等

5位　機密情報等を狙った標的型攻撃

6位　リモートワーク等の環境や仕組みを狙った攻撃

7位　地政学的リスクに起因するサイバー攻撃

8位　分散型サービス妨害攻撃（DDoS攻撃）

9位　ビジネスメール詐欺

10位　不注意による情報漏えい等

DOCUMNET REQUEST
こちらのフォームにご入力後、弊社サービスやISOに関する資料がダウンロードできます。