October 21, 2026, 06:45 UTCPR TIMES

【調査】不正アクセスによる情報漏えいの公表が相次ぐ今、経営のリスクの一覧は更新されているか--2026年新規上場31社の87%が「セキュリティ」を記載、10月の注意喚起の中心「API」は1社

PR TIMES

　2026年10月、国内で不正アクセスによる情報漏えいの公表が相次いでいます。金融庁も10月の注意喚起で、インターネット上に公開している顧客向けサービスや業務システムに対する不正アクセスが「相次ぎ」としています。

　10月7日から9日には、8つの機関が企業に点検を求めています。当社はこの状況に強い危機感を持っています。

　現場の緊急対応だけで終わらせず、経営が自社のリスクとして扱うところまで進めなければ、次の注意喚起のたびに同じ対応を繰り返すことになると考えています。

　ただし、現場の点検が経営の認識にまで届いているかは、外からは見えません。誰でも同じ条件で読める形で経営のリスク認識が書かれている場所の一つが、法定開示の「事業等のリスク」章です。

　そこで、2026年に東京証券取引所へ新規上場した企業の開示文書を全数調査し、結果を公開しました。

　調査対象は、2026年9月29日時点で2026年に新規上場した38社のうち、持株会社化などによるテクニカル上場7社を除いた31社です。いずれも上場審査を経た、直近の「事業等のリスク」の記載です。各社が提出した有価証券届出書または有価証券報告書の「事業等のリスク」章を取得し、20の語がそれぞれ何社に記載されているかを機械的に数えました。

　結果、31社のうち27社（87%）が「サイバー」または「セキュリティ」をリスクとして記載していました。

　一方、2026年10月に8つの機関が相次いで点検を求めた事案の中心にある「API」を記載していたのは1社（3%）でした。

　また、警察庁の統計で被害の大きさが示されている「ランサムウェア」を記載していた企業は、ありませんでした。注意喚起への対応を現場の点検で終わらせず、同じ論点で「事業等のリスク」章を照らして経営に上げると、次に各機関が点検を求めたときや、同業で被害が公表されたときに、何を見直すかが先に決まります。

　https://www.securoi.com/#checklist

　https://www.securoi.com/whitepapers/security-checklist-2026-10.xlsx

　　使い方は3つです。

　①17項目それぞれの現在地を、○（できている）・△（一部）・×（できていない・不明）で付ける

　②×が付いた項目のうち、外から届く入口とアカウントに関わるものから手を付ける

　③結果を1枚にまとめて経営に報告する

　　Excel版では、結果を選ぶと優先度と経営向けの根拠が自動で出て、そのまま報告に使えます。

　　点検表は、現場の状態を確かめるものです。その論点が経営のリスクの一覧にあるかは、論点の語（例：API、不正アクセス）で自社の「事業等のリスク」章を検索すると確かめられます。本調査は、その検索を31社に20語で行ったものです。

　次の開示までには時間があります。

　3月決算の企業なら、次の有価証券報告書の提出期限は2027年6月末です。順番は次のとおりです。

　・被害が確認されていない企業は、点検表（Excel版）などを使って、最初にインターネットから入れる入口を確かめてください。自社のWebサイト、アプリの裏側で動くサーバ（API）、管理画面、VPNなどの接続口、クラウド上の保存領域について、自社で全部把握しているか、それぞれに認証があり、使える人が決まっているかを見ます。点検表では、3番（外部への公開範囲）で入口を一覧にし、その入口について2番（脆弱性への対応。17項目の中で入口に関わる項目のうち、最も多い5機関が求めた項目）と4番（API）を確かめます。

　・点検の後、自社に当たる論点を、社内のリスク評価に載せます。

　・次の届出書・有価証券報告書までに、その論点が「事業等のリスク」章にあるかを照らし、無い論点は、主要なリスクとして書くか、書かない判断を記録するかを決めて、経営に上げてください。本調査は、この最後の段階を31社の全数で測ったものです。

　AIを使った攻撃の報道も続いていますが、IPAは10月の注意喚起で、公表事例の傾向から、外部に公開しているアプリケーションやサービスの侵害と、アカウントの侵害が起点になっていることがうかがえるとしています。新しいツールの名前を追うより、上の順で自社の入口から確かめるのが先です。

　8機関の注意喚起を17項目に整理すると、最も多くの機関（8機関中6機関）が求めていたのは、経営層の関与でした。技術的な対策は必要で、効きます。ただし効くのは、いま見つかった穴に対してです。攻撃に使われる手口やツールは入れ替わり、注意喚起も相次ぎます。次に点検を求められたとき、現場がどれだけ速く対策に移れるかは、経営がそのリスクを自社の主要なリスクとして認めているかに左右されます。認めていれば予算と権限が付きやすく、点検の結果を対策に移しやすくなります。「事業等のリスク」章は、経営者が認識している主要なリスクを書く章です。本調査は、この章に何が書かれているかを、20の語で31社の全数で測りました。セキュリティは27社（87%）が記載していましたが、注意喚起の中心にあったAPIは1社、暗号化も1社でした。不正アクセスは18社（58%）でした。点検表で現場の状態を確かめ、語の照合で経営が書いた文書を確かめます。2つを同じ論点でつなぐと、次に各機関が点検を求めたときや、同業で被害が公表されたときに、何を見直すかが先に決まります。

　【これから有価証券届出書を書く企業（IPO準備中）】

　届出書の提出前に、10月の注意喚起の論点を自社のリスクとして書くかを検討できます。

　【2026年に上場した31社を含む、既に上場している企業】

　次の有価証券報告書（事業年度の終了後3か月以内に提出）で、上場時の記載を引き継ぐか、10月以降の変化を反映するかを決められます。

　【監査法人・主幹事証券・IPOコンサルタントなど、読んで評価する側】

　次に「事業等のリスク」を読むとき、「このリスクの一覧は、いつ、何を見て書かれたか」「見直す仕組みはあるか」を問うと、記載がいつの状況を映しているかが分かります。

　【情報システム・セキュリティの担当者】

　自社の「事業等のリスク」章を、点検した論点の語や本調査の20語で検索すると、経営企画やIRの担当者と話す材料になります。

　書いた対応策は、実際に行っていることが前提です。変わるのは次の2つです。

　1. 審査・監査で、社内の記録を示して説明できます。社内の評価と開示が語のレベルで一致していれば、「このリスクをどう評価し、何をしているか」に社内の記録で答えられます。

　2. 被害の後に読み返されたとき、備えの記録になります。被害が公表されると、リスク章は株主・取引先・報道に読み返されうる文書です。対応策まで書いてあれば、認識して手を打っていたことの記録になります。総称だけでは、認識していたかどうかが文書から区別できません。見直した結果、主要なリスクではないと判断して書かないのも一つの結論です。要点は、判断した記録が社内に残ることです。

　（参考）有価証券報告書は、虚偽の記載だけでなく、記載すべき重要な事項が欠けている場合も、役員等の賠償責任の対象になります（金融商品取引法第24条の4）。判断の記録は、そのときの説明の材料になります。

■ 10月の事案の中心「API」を記載していたのは1社

　・API：1社（3%）

　・暗号化：1社（3%）

　8つの機関が挙げた対策のうち、10月の事案の手口に直接関わるのは、APIの管理状況やアクセス制御、大量アクセスの制限です。

　「アクセス制御」「大量アクセス」は数えていません。20語は集計の前に決めた語で、10月の17項目から選んだものではないためです。リスクの側の語「不正アクセス」は18社（58%）でした。

■ 「ランサムウェア」を記載していた企業は0社でした

　・ランサムウェア：0社（0%）

　警察庁が令和8年上半期にランサムウェアの被害に遭った企業・団体等に行ったアンケートでは、復旧に総額1,000万円以上を要した組織が全体の6割を占め、1か月未満で復旧した組織は全体の5割弱にとどまっています（警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」11ページ）。

■ この調査が測ったものと、結果の使い方

　測ったのは、「事業等のリスク」章に20の語がそれぞれ書かれているかです。そのうち10月の論点に直接当たるのは「API」「不正アクセス」「暗号化」の3語です。社外の誰もが同じ条件で読める、経営のリスク認識の記録です。

　この結果の使い方は、自社の章に当てることです。自社の「事業等のリスク」章を、点検した論点の語と本調査の20語で検索し、無い語のうち社内のリスク評価で既に扱っているものは、主要なリスクとして書くか、書かない判断を記録するかを決めて、経営に上げます。

　本調査の数字は、自社の章と比べるための目安です。31社はいずれも上場審査を経て、10月の注意喚起より前に書かれた記載です。個別の会社の対策の良し悪しを示す数字ではなく、各社を責める話でもありません。

■ 「細かい語は、あえて書いていない」という見方について

　そのとおりの場合が多いと考えています。開示府令の記載上の注意が「事業等のリスク」に求めるのは、経営者が重要と認識している「主要なリスク」です。「サイバー攻撃等」と総称で書くか、手口まで書くかは各社の判断です。

　それでも語の単位で数えた理由は2つです。

　1. 同じ記載上の注意が、リスクが顕在化する可能性の程度や時期、影響の内容、対応策を記載するなど、具体的に書くことを求めているため（企業内容等の開示に関する内閣府令第二号様式記載上の注意(31)a）。総称だけでは、何に対する対応策かが読み手に伝わりにくくなります。

　2. この粒度でも書けることを、「API」を記載した1社が示しているため。書いていない企業には、APIを外部に公開していないなど、当てはまらない企業も含まれます。

　何をどの粒度で書くかは、各社が監査人・主幹事証券と判断するものです。本調査は判断の材料を示すもので、書き方を指図するものではありません。

■ なぜ2026年の新規上場31社か

　31社に絞ったのは、31社だから言えることがあるためです。

　・直近の記載であること。資料はすべて2026年1月9日から9月7日に提出された、10月の注意喚起より前の記載です。

　・上場時点の認識が映る文書であること。資料の大半は上場にあたって提出した有価証券届出書です。

　・届出書を書く企業にとって、同じ手続きを直近に経た会社の記載であること。

　・抽出条件から31社を特定し、1社ずつ原本で確かめられる規模であること。

■ 調査の方法

　・資料の内訳＝有価証券届出書30社・有価証券報告書1社。章を機械的に抽出して語の出現を数え、人の解釈は入れていません（集計日＝2026年10月13日）

　　抽出条件・20語・集計日はすべて本文に記載しており、同じ手順で同じ数字が得られます。数字の出し方のご確認には [email protected] で応じます。

　　当社はセキュリティ診断を提供する会社ですが、本調査は販売資料ではなく、本文で当社の診断に触れるのは、画像の表『使える手段と、見直す周期』の1行だけです。　

■ 調査に使った資料

　・対象企業の一覧＝日本取引所グループ「新規上場銘柄一覧（株式）」（2026年9月29日時点）

　・開示文書＝金融庁 EDINET（有価証券届出書・有価証券報告書）　

　　出典：EDINET 閲覧（提出）サイト（ https://disclosure2.edinet-fsa.go.jp/ ）／

　　　　　公共データ利用規約（PDL1.0）（ https://www.digital.go.jp/resources/open_data/public_data_license_v1.0 ）

　・上記をもとに合同会社SecuROIが集計・作成しました　

　　（編集・加工の内容＝31社の「事業等のリスク」章を抽出し、サイバー・セキュリティ・API 　　など20語の記載の有無と章の文字数を集計。数値の加工や推定は行っていません）

　・各機関の注意喚起＝内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について」（2026年10月14日・9機関分を掲載。17項目は、このうち10月7日から9日に出た8機関の文書を整理したもの）　

　　https://www.cyber.go.jp/news/20261014.html

　・ランサムウェア被害の統計＝警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」　

　　https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

■ 数えた20の語と、31社の記載状況

　20語は、31社の集計の前に固定しました。集計した20語は、記載の多い少ないにかかわらず、すべて公開しています。

　・セキュリティ：27社（87%）

　・コンプライアンス：26社（84%）

　・災害：25社（81%）

　・個人情報：24社（77%）

　・情報セキュリティ：21社（68%）

　・不正アクセス：18社（58%）

　・内部統制：17社（55%）

　・システム障害：14社（45%）

　・サイバー：13社（42%）

　・法令遵守：13社（42%）

　・ISMS：9社（29%）

　・クラウド：9社（29%）　

　・情報漏洩：6社（19%）

　・プライバシーマーク：5社（16%）

　・BCP：5社（16%）

　・情報漏えい：3社（10%）

　・API：1社（3%）

　・暗号化：1社（3%）

　・マルウェア：1社（3%）

　・ランサム：0社（0%）

　　※「ランサム」は「ランサムウェア」を含む語として数えています。

　　※「情報漏洩」と「情報漏えい」は表記ごとに数えています。

　　※「サイバー」「セキュリティ」のいずれかを含む社数＝27社（87%）。リードの87%はこの数です。

　　20語のうち、10月の注意喚起を整理した17項目に直接当たるのは「API」「不正アクセス」「暗号化」の3語です。

　点検の結果を既にある管理の仕組みのどこに戻すかの目安として、17項目をNIST CSF 2.0の機能とISO/IEC 27001:2022附属書Aのテーマに大まかに当てました（下の画像）。

■ 会社概要

　・会社名：合同会社SecuROI（法人番号：5011203005053）

　・代表者：代表社員小山幸輝（Yoshiki Koyama）

　・代表者の経歴：情報システム・セキュリティの現場に20年以上。

　　　　　　　　　警察庁関連（犯罪対策支援）を経て、大手監査法人グループのセキュリティ

　　　　　　　　　コンサルティングファームで監査対応・セキュリティコンサルティングに従事。

　　　　　　　　　その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、

　　　　　　　　　統制の内製化とIPO準備の実務を担う。

　・事業内容：企業向けIT統制・セキュリティ診断SaaSの提供

　・サービス：SecuROI（セキュロイ）｜https://www.securoi.com

　・お問い合わせ：[email protected]