サイバー攻撃はもはや大企業だけの問題ではありません。警察庁の発表によれば、2025年に国内で報告されたランサムウェア被害は226件にのぼり、そのうち約6割にあたる143件が中小企業でした。企業規模を問わず、被害企業の5割超が復旧に1,000万円以上の費用を要しており、一度の被害が経営そのものを揺るがしかねない水準になっています。
こうした状況を受けて、IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威2026」では、生成AIの悪用によるリスクが初めて上位3位にランクインしました。攻撃の手口は年々巧妙化・多様化しており、経営者や現場担当者が「言葉の意味」を正しく理解していなければ、自社にとって何が本当に必要な対策なのかを判断すること自体が難しくなります。
本記事では、サイバーセキュリティに関する基本用語を「まず押さえておきたい基本用語」「今、警戒すべき脅威」「対策・ツール」の3つの切り口に整理し、わかりやすく解説します。
サイバーセキュリティとは
サイバーセキュリティとは、企業が保有するネットワーク、システム、ソフトウェア、データといったIT資産を、不正アクセスやマルウェア、フィッシング詐欺などの脅威から保護する取り組み全般を指します。情報セキュリティが「情報・データを守ること」に主眼を置くのに対し、サイバーセキュリティはそれに加えてネットワークやシステムそのものの保護も対象とする、より広い概念です。詳しくは、RSM汐留パートナーズの「サイバーセキュリティ支援」にてサービス内容が掲載されていますのでぜひご覧ください。
まず押さえておきたい基本用語
マルウェア
コンピュータやネットワークに害を及ぼす目的で作られた悪意のあるソフトウェアの総称です。ウイルスやワーム、スパイウェア、後述するランサムウェアなどが含まれ、多くのサイバー攻撃の実行手段として使われます。
アタックサーフェス（攻撃対象領域）
攻撃者が侵入を試みる可能性のあるすべての接点を指します。社用PCやスマートフォンだけでなく、クラウドサービス、リモートアクセス環境、従業員の自宅端末まで含まれ、働き方の多様化とともに年々拡大しています。
攻撃ベクトル
攻撃者が実際にシステムへ侵入するために使う手口や経路のことです。フィッシングメール、漏洩した認証情報の悪用、脆弱なソフトウェアの悪用などが代表例で、対策を考える際は「どの経路から狙われやすいか」を把握することが出発点になります。
ソーシャルエンジニアリング
技術的な脆弱性ではなく、人の心理的な隙や信頼関係を悪用して情報を引き出したり、不正な操作を行わせたりする攻撃手法の総称です。フィッシングやビジネスメール詐欺（BEC）も、この手法の一種に位置づけられます。
バッドアクター
システムへの侵害や業務妨害を試みる個人・組織の総称です。外部の犯罪グループだけでなく、内部関係者や委託先の担当者が意図せず関与するケースも含まれます。
サイバーレジリエンス
攻撃を完全に防ぐことは難しいという前提のもと、被害を最小限に抑え、迅速に復旧し、事業を継続する力を指します。「防ぐ」だけでなく「起きた後にどう立て直すか」まで含めた考え方です。
シャドーIT
IT部門の許可を得ずに従業員が使用しているクラウドサービスやアプリのことです。利便性のために使われる一方、監視外の情報保存先が増えることで漏洩リスクやコンプライアンス上の問題につながります。
脆弱性
システムやソフトウェアに存在する、攻撃者に悪用されうる弱点です。古いバージョンの放置や設定ミス、権限管理の甘さなどが原因となり、定期的なパッチ適用と監視がなければ発見が遅れがちです。
ゼロトラスト
「社内ネットワークだから安全」という前提を捨て、あらゆるアクセスを都度検証するという考え方です。クラウド利用やリモートワークが広がった現在、境界防御に代わる主流のセキュリティモデルとして注目されています。
条件付きアクセス（Conditional Access）
ログインの際に、利用者の所在地や端末の状態、アクセス時間帯といったリスク要因に応じて、アクセスの許可・拒否・追加認証の要求を自動的に判断する仕組みです。ゼロトラストの考え方を実装する具体的な手段の一つとして、Microsoft 365などのクラウド環境で広く使われています。
滞留時間（ダウェルタイム）
攻撃者が検知されないままネットワーク内に潜伏している期間のことです。滞留時間が長いほど被害範囲が拡大するため、早期検知の仕組みを整えることが重要とされています。
インシデントレスポンス計画（IRP）
サイバー攻撃が発生した際に、誰が何をどの順番で対応するかをあらかじめ定めた行動計画です。計画がないまま被害に遭うと、初動対応の遅れが被害拡大に直結します。
サイバーセキュリティ経営ガイドライン
経済産業省とIPAが策定した、経営者がリーダーシップを持ってサイバーセキュリティに取り組むための指針です。「サイバーセキュリティリスク＝経営リスク」という位置づけのもと、重要10項目が示されています。
不正アクセス禁止法
他人のID・パスワードを無断で使用してシステムに侵入する行為などを禁止する日本の法律です。攻撃を受けた企業自身が処罰対象になるわけではありませんが、自社の対策状況が不十分な場合、取引先や顧客への説明責任、法的リスクにつながる可能性があります。
SCS評価制度（サプライチェーンセキュリティ評価制度）
2026年に本格始動した、サプライチェーン全体のセキュリティ対策状況を評価する新しい制度です。自社だけでなく取引先を含めた対策状況の把握が、今後さらに重視される流れを象徴しています。
今、日本企業が警戒すべき脅威用語
フィッシング
実在する企業や取引先を装ったメールやメッセージで、偽サイトへの誘導や個人情報の詐取を狙う攻撃手法です。あらゆるサイバー攻撃の入り口として最も多く使われています。
AIフィッシング（AI悪用型フィッシング）
生成AIを悪用し、自然な文章や本物そっくりのなりすましメール・音声・画像を短時間かつ大量に作り出す手口です。従来のフィッシングを見分けるポイントだった「不自然な日本語」や「たどたどしい言い回し」が通用しにくくなっており、IPA「情報セキュリティ10大脅威2026」でも初めて上位にランクインした注目トピックです。
標的型攻撃メール（スピアフィッシング）
不特定多数を狙う通常のフィッシングとは異なり、特定の企業や個人を狙って作り込まれたメールです。経営層や経理担当者、情シス担当者などが標的にされやすい傾向があります。
ビジネスメール詐欺（BEC）
取引先や自社の役員になりすまし、偽の請求書や振込指示を送りつけて金銭をだまし取る手口です。メール文面が極めて自然に作られているため、担当者が気づかず送金してしまうケースが後を絶ちません。
ゼロデイ攻撃
ソフトウェアの脆弱性が発見されてから、開発元が修正プログラム（パッチ）を提供するまでの期間を狙って行われる攻撃です。防御側が対応策を用意できていない状態を突かれるため、被害が大きくなりやすいのが特徴です。
ランサムウェア
端末やサーバー内のデータを暗号化し、復旧と引き換えに金銭を要求する不正プログラムです。近年はデータを窃取したうえで「公開する」と脅す二重恐喝型が主流になっています。
RaaS（ランサムウェア・アズ・ア・サービス）
ランサムウェアの攻撃ツールを他の犯罪者に貸し出す、いわば「攻撃の外部委託」を可能にするビジネスモデルです。技術力の低い攻撃者でも高度な攻撃を仕掛けられるようになり、被害件数の増加要因の一つとされています。
ノーウェアランサム
データを暗号化せず、窃取した情報の公開をちらつかせて金銭を要求する新しいタイプの攻撃です。暗号化を伴わないぶん検知が難しく、警察庁の報告でも近年注目度が高まっている手口です。
DDoS攻撃（分散型サービス妨害攻撃）
大量のアクセスを送りつけてサーバーやネットワークをダウンさせる攻撃です。直接的なデータ漏洩は伴わないものの、業務停止による機会損失や信用低下を招きます。
ボットネット
マルウェアに感染した多数の端末が、攻撃者にひそかに遠隔操作されているネットワークです。DDoS攻撃やスパムメールの大量送信の踏み台として悪用されます。
クレデンシャルスタッフィング
過去の情報漏洩などで流出したID・パスワードの組み合わせを使い、他のサービスへの不正ログインを試みる攻撃手法です。同じパスワードを複数のサービスで使い回している場合に被害を受けやすくなります。
サプライチェーン攻撃
取引先やシステムの委託先など、セキュリティ対策が手薄になりがちな関連組織を経由して標的企業に侵入する手口です。自社の対策だけでは防ぎきれない点が、近年特に警戒されている理由です。
水飲み場攻撃
標的となる組織の従業員が頻繁に訪れるWebサイトを改ざんし、閲覧しただけでマルウェアに感染させる手口です。利用者側に不審な操作の自覚がないまま被害が発生するのが特徴です。
対策・ツールに関する用語
多要素認証（MFA）
パスワードに加えて、スマートフォンでの認証コードや生体認証など複数の要素を組み合わせてログインを確認する仕組みです。パスワードが漏洩しても不正アクセスを防げる可能性が高まります。
バックアップ（3-2-1ルール）
データを「3つ」のコピーとして保持し、「2種類」の異なる媒体に保存し、そのうち「1つ」は社外（オフサイト）に置くという、データ保全の基本原則です。ランサムウェア被害からの復旧では、暗号化されたオフラインバックアップの有無が復旧スピードを大きく左右します。
EDR（Endpoint Detection and Response）
パソコンやサーバーなどの端末（エンドポイント）上の不審な挙動を検知し、対応する仕組みです。ウイルス対策ソフトでは検知しづらい高度な攻撃にも対応できる点が特徴です。
XDR（Extended Detection and Response）
EDRの対象を端末だけでなく、メール、クラウド、ネットワークなど複数の領域に拡張し、横断的に脅威を検知・分析する仕組みです。
MDR（Managed Detection and Response）
EDRやXDRなどの監視ツールと、専門家による分析・対応をセットで提供するサービスです。自社に専任の担当者を置けない企業でも、24時間体制の監視体制を確保できます。
SIEM（Security Information and Event Management）
社内の様々なシステムから出力されるログを一元的に集約・分析し、不審な兆候を早期に発見するための基盤です。インシデントの兆候把握や監査対応にも活用されます。
SOC（Security Operations Center）
システムの監視や脅威の検知、インシデント対応を専門に担う組織・チームのことです。自社内に設置する場合もあれば、外部の専門サービスとして委託する場合もあります。
IDS/IPS（侵入検知・防御システム）
ネットワーク上の不審な通信や挙動を検知する仕組み（IDS：侵入検知システム）と、検知した脅威を自動的に遮断する仕組み（IPS：侵入防止システム）の総称です。ファイアウォールと組み合わせることで、多層的な防御を実現します。
プロアクティブ・スレットハンティング
アラートが上がるのを待つのではなく、専門家が能動的にログやネットワークを調査し、潜んでいる脅威の兆候を発見する取り組みです。巧妙化する攻撃者に対応するため、近年重要性が高まっています。
攻撃シミュレーション
実際の攻撃を模した訓練を行い、システムや従業員の対応力を事前に検証する取り組みです。疑似的なフィッシングメールを送るテストなどが代表例で、弱点を攻撃者より先に把握することを目的とします。
IAM（Identity and Access Management）
「誰が」「どのシステムに」「どこまでアクセスできるか」を一元管理する仕組みです。クラウドサービスの利用が増えるほど、権限管理の重要性は高まります。
DLP（Data Loss Prevention）
メールやクラウドストレージなどを通じて機密情報が誤って、あるいは意図的に外部へ流出することを防ぐための仕組みです。
CSPM（Cloud Security Posture Management）
クラウド環境の設定ミスやセキュリティリスクを継続的にチェックする仕組みです。クラウド活用が広がるほど、設定不備による情報漏洩のリスクも増えるため注目されています。
ダークウェブ監視
通常の検索エンジンでは閲覧できないダークウェブ上で、自社のメールアドレスやパスワード、機密情報が売買されていないかを監視するサービスです。情報が漏洩している事実を早期に把握できれば、被害が拡大する前に対処できます。
パスワード管理
複雑なパスワードの設定や使い回しの防止、パスワード管理ツールの活用など、認証情報を安全に保つための基本的な取り組みです。地味に思えますが、多くの侵害はここでの甘さから始まります。
従業員教育（セキュリティリテラシー向上）
どれほど高度な技術的対策を導入しても、不審なメールを開いてしまう、安易なパスワードを使うといった人的ミスが被害の入り口になり得ます。定期的な研修や疑似フィッシング訓練を通じて、従業員一人ひとりの意識を高める取り組みです。
サイバー保険対応力
近年、サイバー保険への加入審査において、MFAやEDRの導入、バックアップ体制の整備といった具体的な対策状況が保険会社から確認されるケースが増えています。十分な対策が講じられていない企業は、保険料が割高になったり、加入自体を断られたりするリスクがあります。
まとめ
サイバー攻撃の手口や対策の選択肢は日々増え続けており、すべてに同時に対応することは現実的ではありません。だからこそ、自社にとって何が本当のリスクで、どこから手をつけるべきかを見極めるための「共通言語」を持つことが重要です。
RSM汐留パートナーズでは、国の「サイバーセキュリティ経営ガイドライン」に基づき、経営課題としてのサイバーセキュリティ体制構築から継続的な改善までを支援しています。自社に合った優先順位づけや、サプライチェーンを含めた対策状況の把握でお悩みの場合は、ぜひ当社サイバーセキュリティ支援をご覧の上、お気軽にご相談ください。
またISMS（ISO/IEC 27001）の枠組みで情報セキュリティ全体を整備したい場合は情報セキュリティ（ISO/IEC 27001:2022認証取得）支援、すでに被害が発生し初動対応にお困りの場合はサイバー攻撃被害対応支援もあわせてご覧ください。
出典
- 警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威2026」
