セキュリティを専門にする案件では、任される範囲がはっきりしないまま話が進む場面があります。攻撃を防ぐ話なのか、社内の体制を整える話なのか、境目が曖昧に見えることもあります。10大脅威の順位や整備状況の調査を辿ると、切り出される役割には一定の型が見えてきて、案件ごとに何を軸に説明を受け取ればよいかも整理しやすくなります。この記事では、その型と、自分の役割を確かめる順番を整理します。

1. 切り出されるのは誰も持っていない役割

委託先や内部を狙う動きが上位に並ぶ

情報セキュリティ10大脅威2026では、サプライチェーンや委託先を狙った攻撃が組織向けの2位に挙げられていて、2019年の初出から8年連続で8回目の選出です¹。委託先を経由した侵入は、自社の中だけで対策を完結できない領域として扱われていて、取引先や外部のサービスまで見渡す視点が求められます。

同じ10大脅威では、内部不正による情報漏えい等が7位に位置し、2016年から11年連続11回目の選出となっています²。外からの攻撃だけでなく、日々の運用の中で起きる漏えいも、長い期間にわたって上位に残り続けている脅威だということが分かります。

この二つが並んで上位に残っているのは、外を見る役割と内を見る役割のどちらか一方だけでは対応しきれないことを示しています。委託先の管理は取引先との関係づくりに近く、内部の運用点検は日々の業務の点検に近い、性質の違う仕事です。

どちらの役割も専任が置かれにくい

委託先の管理は調達や契約の担当が兼ねることが多く、内部の運用点検は情報システムの担当が本来の業務と並行して見ることが多くなります。どちらも専任として置かれることは少なく、他の仕事の合間に片手間で扱われやすい領域として残り続けています。

専任が置かれていない領域は、社内の人員だけでは埋めきれず、外部から専門の力を借りる形で補われることがあります。ここに、セキュリティを専門にする人が、案件という形で迎え入れられる余地が生まれてきます。

案件の説明を受け取る場面では、外を見る比重が大きいのか、内を見る比重が大きいのかを、契約の前段階で言葉にしておくと、後から任される範囲が広がったときにも慌てずに整理できます。曖昧なまま始めると、途中で役割の食い違いに気づくことになりかねません。

外を見る仕事に強みがある人と、内を見る仕事に強みがある人とでは、案件で最初に確認されるポイントも変わってきます。自分の強みがどちらに近いかを整理しておくことは、案件を選ぶときの判断材料になります。

次の章では、外と内の両方に目を配る仕事の中身を、10大脅威の別の項目と合わせて見ていきます。どちらの視点がどれだけ求められるかは、案件によって重なり方が変わります。

図の作成：Remogu編集部。切り出される役割の中身を整理したもので、統計データではありません

2. 外と内の両方に目を配る

外に向ける視点

10大脅威では、機密情報を狙った標的型攻撃が5位に挙げられており、2016年から11年連続11回目の選出です⁵。標的を定めて情報を持ち出す動きは、外部からの侵入を前提にした警戒を必要とする領域として位置づけられています。

同じ順位表には、地政学的リスクに起因するサイバー攻撃も6位に入っていて、2025年の初出から2年連続2回目の選出となっています⁶。情勢の変化そのものが攻撃の背景になるという、これまでの脅威とは違う視点が新たに加わった項目です。

内に向ける視点

標的型攻撃も地政学的リスクも、入り口を塞ぐだけでは対応が完結しません。持ち出されそうな情報がどこに置かれているかを把握し、普段と違う動きが無いかを内側から見る視点も、合わせて必要になります。

外の脅威を追う視点と、内側の状態を点検する視点は、求められる知識も、日々の動き方も異なります。両方を一人で担うことも、役割を分けてそれぞれ担うこともありますが、どちらか一方だけでは空白が残ります。

実務の場面では、外の情報を追う時間と、内側を点検する時間の配分が、案件によって大きく変わります。この配分をあらかじめ確かめておくと、日々の稼働の見通しを立てやすくなり、途中で負荷が偏る事態も避けやすくなります。

外に向く仕事と内に向く仕事の違い

外に向く仕事と内に向く仕事は、見る対象も、確認の頻度も、報告する相手も異なります。両方を並べて整理すると、自分が受ける案件がどちらの性質を強く持っているのかを、事前に確かめやすくなります。次の表に、代表的な違いをまとめました。

観点	外に向く仕事	内に向く仕事
見る対象	委託先・攻撃の動向	社内の運用・情報の所在
確認の頻度	脅威情報の更新に合わせて	定常的な点検の周期で
報告する相手	経営層・取引先	情報システムの担当・現場
必要な視点	外部環境の変化を捉える	内部の逸脱を見つける

表に整理した違いは、案件の説明を受け取るときの確認項目としても使えます。見る対象と報告する相手が食い違っていないかを、契約の前に一度確かめておくと安心です。

外と内、両方の視点を求められることが、この役割を一人にすべて任せきれない理由になっています。次の章では、この役割がどのように順位づけられ、どう扱われているのかを見ていきます。

3. 順位はどう決まっているのか

審議と投票を経て決まる順位

10大脅威の順位は、約250名の委員による審議と投票を経て決定したものです³。特定の一つの企業や機関の判断だけで決まるのではなく、多数の視点を集めたうえで順位づけを行う形が取られています。

この順位は、実際に発生した被害の件数だけを集計して機械的に並べたものではありません。審議というひとつの過程を経ているという点は、順位の重みをどう読み取るかを考えるときの手がかりになります。

組織向けと個人向けで並べ方が違う

10大脅威では、組織向けの脅威については順位を併記する形で示されています⁴。一方で個人向けの脅威は五十音順で並べられていて、組織向けとは並べ方の考え方そのものが異なります。

個人向けが五十音順になっているのは、個人が受ける被害の重さを単純に比較しにくいという事情によるものと考えられます。組織向けの順位だけを見て、個人に関わる脅威の軽重まで読み取ることはできません。

順位表を読むときは、上位に挙がっている項目が組織向けなのか個人向けなのかを取り違えないことも大切です。取り違えると、案件で求められている役割の性質そのものを読み違えることにつながります。

案件で任される役割を考えるときは、組織向けの順位表がどの脅威を上位に置いているかを確かめることが最初の起点になります。個人向けの一覧と混同しないことが、状況を整理する最初の一歩になります。

ここまでで、上位に並ぶ脅威の中身と、順位の決まり方を見てきました。次の章では、この脅威に対して組織側の備えがどこまで進んでいるのかを、別の調査から見ていきます。

4. 組織の備えは薄い

ガイドラインの整備は半分に届いていない

2024年度ソフトウェア動向調査 簡易分析レポートによると、セキュリティのガイドラインを整備している割合は、利用する側の企業で4〜5割です⁷。半数近くの企業で、判断のよりどころとなる文書がまだ整っていない状態がうかがえます。

リスク管理と業務継続計画は5〜6割程度

同じ調査では、ITのリスク管理と業務継続計画についても、全体の5〜6割程度の企業が整備していると示されています⁸。整備が進んでいる企業が半数を上回る一方で、残りの企業では体制がまだ追いついていない状態です。

ガイドラインの整備割合とリスク管理・業務継続計画の整備割合は、いずれも全体の半数前後にとどまっています。どちらも、案件を受ける側が最初に確かめておきたい、組織の足元の状態です。

整備が半数前後にとどまっているという状態は、良し悪しの評価ではなく、まだ手が回っていない企業が一定数あるという事実として受け止められます。ここに、外部から専門の立場で関わる余地が生まれます。

整備が進んでいない部分を放置すると、脅威が上位に挙がっていても対応が後手に回りやすくなります。備えの薄さを埋めていく動きは、企業の規模を問わず求められています。

整備が進んでいる項目と遅れている項目

ガイドラインの整備状況とリスク管理・業務継続計画の整備状況を並べてみると、進んでいる企業と遅れている企業の分かれ方が見えてきます。次の表に、同じ調査が示す整備割合をまとめました。

項目	整備している割合	出典
セキュリティのガイドライン	4〜5割（利用する側の企業）	2024年度ソフトウェア動向調査 簡易分析レポート7
ITのリスク管理・業務継続計画	5〜6割程度	2024年度ソフトウェア動向調査 簡易分析レポート8

表の数字が示すのは、進んでいる企業がある一方で、体制が追いついていない企業も一定数残っているという状態です。整っていない部分をどう扱うかが、次の章以降のテーマになります。

案件を受ける側から見ると、この整備状況の薄さは、任される仕事の起点になり得る情報です。整っていない部分ほど、専門の力を借りて手を入れる余地が残っています。

出典：2024年度ソフトウェア動向調査 簡易分析レポート（IPA、2025年4月）をもとに作成

5. 方針が無い領域という空白

OSSの方針が無いまま使われている

同じ調査では、OSSポリシーやOSPOが未整備であることも示されています⁹。オープンソースソフトウェアを使う場面は広がっていても、その扱い方を定めた方針や、専門に担当する体制はまだ整っていない企業が残っています。

方針が無いまま使われているものは、問題が起きたときにどこで止めるかを事前に決められていません。使う場面が広がれば広がるほど、この空白は目立つようになっていきます。

ガイドラインの空白と重なる領域

前の章で見たとおり、セキュリティのガイドラインを整備している割合も、利用する側の企業で4〜5割にとどまっています⁷。OSSの方針の空白と、ガイドラインの空白は、別々の調査項目ではありますが、同じ企業の中に重なって残っていることがあります。

方針が無い領域は、誰かが担当を決めるまで放置されやすい性質を持っています。この空白を見つけて言葉にすることが、案件で任される役割の入り口になります。声を上げる人がいなければ、空白はそのまま残り続けます。

方針を一から作る仕事は、既存の運用を点検する仕事とは違う難しさがあります。参考にする前例が少ない分、何を基準に整えるかを自分で組み立てる必要があり、判断の理由を残しておくことも欠かせません。

方針が無い領域を任されたときは、まず現状を洗い出し、次に基準を言葉にし、最後に運用に落とし込むという順番で進めると、抜け漏れを減らしやすくなります。順番を飛ばすと、後から見直す手間が増えます。

OSSの方針づくりは、既存のセキュリティ体制と切り離して進めるものではありません。全体の整備状況を踏まえたうえで、どこから手を付けるかの優先順位を決めていく必要があります。

次の章では、この空白をどのように手順に落とし込んでいくのかを、脆弱性対応の考え方に沿って見ていきます。分析の軸を決めることが、最初の一歩になります。

6. 手順に載せるという仕事

被害の大きさと発生の可能性で見る

脆弱性対処に向けた製品開発者向けガイドでは、脆弱性によって生じる被害とその大きさ及び発生の可能性からリスクを分析するという考え方が示されています¹⁰。深刻さの度合いを一つの軸だけで決めるのではなく、二つの軸を掛け合わせて見る点が特徴です。

手順に載せることで属人化を防ぐ

被害の大きさと発生の可能性を分析する手順が言葉になっていれば、担当が代わっても同じ基準で判断できます。逆に手順が言葉になっていなければ、判断は特定の一人の頭の中にとどまり、引き継ぎのたびに一からやり直すことになります。

前の章で見たとおり、ITのリスク管理と業務継続計画を整備している企業は全体の5〜6割程度です⁸。手順を言葉にして残す仕事は、この整備が届いていない残りの企業ほど、求められやすくなります。

分析の軸を並べて見る

被害の大きさという軸と、発生の可能性という軸は、それぞれ別に見ないと判断を誤ります。大きいが起こりにくいものと、小さいが起こりやすいものを、同じ扱いにしないためです。次の表に、二つの軸の関係をまとめました。

軸	見る内容	手順に載せるときの扱い
被害の大きさ	影響が及ぶ範囲や深刻さ	大きいものを優先して扱う基準にする
発生の可能性	起こりやすさの度合い	高いものを優先して扱う基準にする
二つの掛け合わせ	大きさと可能性の組み合わせ	対応の順番を決める材料にする

手順に載せる仕事は、分析そのものよりも、分析の結果を誰が見ても同じように読める形にすることに重心があります。基準を言葉にする経験を積んできた人ほど、この仕事で力を発揮しやすくなります。

分析の結果を言葉にして残すときは、誰が読んでも同じ判断にたどり着けるかどうかを基準にします。読み手によって解釈が割れる書き方では、手順に載せたことにはなりません。

手順を初めて作る場面では、想定していなかった例外が後から見つかることもあります。例外が出るたびに手順を見直していく姿勢も、この仕事には求められます。

表に整理した二つの軸は、被害の大きさと発生の可能性という言葉さえ揃っていれば、業種や規模が異なる案件でも同じように使える考え方です。

ここまでで、切り出される役割の中身と、組織の備えの薄さ、方針の空白、手順に載せる仕事を見てきました。最後の章で、自分の役割を確かめる順番を整理します。

出典：脆弱性対処に向けた製品開発者向けガイド（IPA、2026年3月）をもとに作成

7. 役割を確かめる順番

上位の脅威から逆算する

委託先を狙った攻撃と内部不正が、それぞれ組織向けの上位に挙がっていることは¹、案件で何を見るかを考える起点になります。外を見る仕事と内を見る仕事のどちらの比重が大きいのかを、まず確かめておきたいところです。

被害の大きさと発生の可能性からリスクを分析するという考え方は¹⁰、確かめた比重をどう扱うかの土台になります。任される役割が、分析までなのか、分析結果を手順に落とし込むところまでなのかを、案件ごとに見ていきます。

自分の経験と照らして確かめる

これまで携わってきた領域が、外に向く仕事に近いのか、内に向く仕事に近いのかを言葉にしておくと、案件で任される範囲を照らし合わせやすくなります。両方の経験があるなら、その組み合わせも伝えられる材料になります。

案件情報を確かめるときは、外向きの記述が多いのか、内向きの記述が多いのかを見比べると、実際の比重を推測する手がかりになります。記述だけで分からない部分は、面談で直接確かめることになります。

役割の範囲は案件によって異なり、時期によっても変わります。事前に自分の比重を言葉にしておくことが、条件をクライアントと協議する場面での土台になり、話がかみ合わない場面を減らします。

ここまでの4つの手順は、どれも特別な準備を必要とするものではなく、これまでの経験を言葉にして並べ直す作業に近いものです。

図の作成：Remogu編集部。役割を確かめる順番を整理したもので、統計データではありません

外を見る仕事と内を見る仕事は分けて任されますか

10大脅威では委託先を狙った攻撃も内部不正も上位に残っていて¹、どちらか一方だけを任される案件も、両方をまとめて任される案件もあります。実際の切り分けは、案件ごとの説明を確かめることになります。

方針が無い領域を任されたら何から手を付けますか

OSSポリシーのように方針そのものが無い領域では⁹、まず何が対象になっているかを洗い出すところから始めることになります。手順が無い状態から手順を作る仕事は、既存の運用を点検する仕事より時間がかかることがあります。

外向きの経験しかなくても案件は見つかりますか

外向きの経験だけでも、案件によっては十分に生きる場面があります。内向きの経験は必須ではなく、まずは自分の強みが生きる領域から確かめていくことができます。

自分に合う案件はどう探せばよいですか

まず、これまで携わってきた領域が外向きか内向きかを言葉にしておくと、案件情報を確かめるときの基準になります。Remoguは案件の90%以上がフルリモート可能です。自分の比重に合う条件を確かめながら、場所に縛られずに参画先を探すことができます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 IPA「情報セキュリティ10大脅威 2026」委託先という経路（2026年1月・2026年8月確認）
＊2 IPA「情報セキュリティ10大脅威 2026」内側の経路（2026年1月・2026年8月確認）
＊3 IPA「情報セキュリティ10大脅威 2026」決め方（2026年1月・2026年8月確認）
＊4 IPA「情報セキュリティ10大脅威 2026」並べ方の違い（2026年1月・2026年8月確認）
＊5 IPA「情報セキュリティ10大脅威 2026」狙われる情報（2026年1月・2026年8月確認）
＊6 IPA「情報セキュリティ10大脅威 2026」外の事情（2026年1月・2026年8月確認）
＊7 IPA「2024年度ソフトウェア動向調査 簡易分析レポート」整備の差（2025年4月・2026年8月確認）
＊8 IPA「2024年度ソフトウェア動向調査 簡易分析レポート」止まる備え（2025年4月・2026年8月確認）
＊9 IPA「2024年度ソフトウェア動向調査 簡易分析レポート」方針の空白（2025年4月・2026年8月確認）
＊10 IPA「脆弱性対処に向けた製品開発者向けガイド」優先順位（2026年3月・2026年8月確認）