個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第33問: IPA「情報セキュリティ10大脅威 2026」（組織編）の解説書で、ある企業がランサムウェアの被害に遭い、その企業に業務を任せていた複数の企業が保有する個人情報

正解: 1. サプライチェーンや委託先を狙った攻撃

IPA「情報セキュリティ10大脅威 2026」（組織編）の解説書は、2位「サプライチェーンや委託先を狙った攻撃」の＜事例または傾向＞で「業務委託先へのランサム攻撃」を取り上げ、2025年11月に業務委託先がランサムウェアの被害に遭い、同社に業務を委託していた複数の企業が保有する個人情報が漏えいした事例を紹介しています（1が正しい）。被害の手段はランサムウェアですが、標的組織よりセキュリティが脆弱な関連会社や業務委託先を攻撃して情報を窃取する手口として、1位「ランサム攻撃による被害」（2）ではなく2位の項で扱われています。3「内部不正による情報漏えい等」は役職員等の内部者による不正、4「システムの脆弱性を悪用した攻撃」は機器やソフトウェアの脆弱性を突く攻撃です。委託元には、委託先の監督（法第25条）として、委託先のセキュリティ対策状況の把握が求められます。

根拠・参照資料: 個人情報の保護に関する法律第25条

関連キーワード: 情報セキュリティ10大脅威・ランサムウェア・業務委託先・委託先の監督