今週のサイバーセキュリティ動向 対象期間(JST):2026/03/22–2026/03/28

本記事で得られる3つのポイント

  • 今週、優先して塞ぐべき脆弱性とサプライチェーン事案の全体像
  • 日本企業で影響が大きい製造業・境界機器・AI/開発基盤・対人欺罔の論点
  • 今すぐ打つべき短期対策と、四半期単位で進めるべき中長期対策

なぜ重要か:今週は、公開管理面、開発パイプライン、AIワークフロー、人間系の侵入口が同時に叩かれた週でした。便利な基盤ほど権限が集まりやすく、侵害されると後処理が重くなります。

今週のハイライト

  • PTC Windchill / FlexPLMCVE-2026-4681 は未認証RCEで、独警察が直接警告に動くほど緊急度が高い案件でした。
  • LangflowCVE-2026-33017CVSS 9.8、公開後短時間で悪用され、CISA KEV に追加されました。
  • TrivyCVE-2026-33634 は、脆弱性というより サプライチェーン侵害 として理解すべき案件で、秘密情報の全面ローテーションが前提です。
  • F5 BIG-IPCVE-2025-53521 は KEV 追加により、境界装置の即時棚卸し対象となりました。
  • LiteLLM の PyPI 汚染、LangChain / LangGraph の情報漏えいリスクなど、AI/開発基盤まわりの実害が増えています。
  • ClickFixAiTMvishing が人間側の侵入口として存在感を増しており、メール訓練だけでは守り切れません。

出典:https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/ https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/ https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html

主要トピック一覧

日付(JST) 見出し 要点(1行) 出典URL
2026/03/27 PTC Windchill / FlexPLM の CVE-2026-4681 に緊急警戒 未認証RCEで、独警察が直接警告に動くほど緊急性が高い。 https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/
2026/03/26 Langflow の CVE-2026-33017 が実悪用、KEV追加 公開後短時間で武器化され、AIワークフロー基盤の未認証RCEとして注意度が高い。 https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack
2026/03/26 CISA が Trivy の CVE-2026-33634 を KEV 追加 セキュリティスキャナ自体の改ざんが、CI/CD と秘密情報流出へ直結する。 https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog
2026/03/27 CISA が F5 BIG-IP の CVE-2025-53521 を KEV 追加 境界装置RCEとして、外部公開環境は優先点検が必要。 https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog
2026/03/24 Trivy サプライチェーン侵害が 1,000超の SaaS 環境へ波及可能性 侵害影響は単体ツールにとどまらず、クラウド認証情報の拡散に発展し得る。 https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html
2026/03/25 LiteLLM 1.82.7 / 1.82.8 に悪性コード混入 PyPI汚染により資格情報窃取、Kubernetes横展開、永続化が狙われた。 https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/
2026/03/27 LangChain / LangGraph に情報漏えいリスク ファイル、環境変数、会話履歴、DB情報が抜かれ得る設計上の弱点が示された。 https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html
2026/03/25 Citrix NetScaler の重大脆弱性 2件に即時パッチ推奨 ADC / Gateway の公開面に関わるため、境界構成では優先度が高い。 https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/
2026/03/26 BIND の高深刻度不具合 4件を修正 細工したドメインによりメモリリークや OOM を誘発し得る。 https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/
2026/03/25 Apple が iOS / macOS 26.4 系更新を展開 旧版向けも含め広範な修正が実施され、端末管理側の確認が必要。 https://www.securityweek.com/ios-macos-26-4-roll-out-with-fresh-security-updates/
2026/03/27 欧州委員会のWeb基盤側でデータ流出 公開Web基盤や周辺インフラ侵害が、本体組織の信用毀損へ直結した。 https://www.csoonline.com/article/4151363/european-commission-data-stolen-in-a-cyberattack-on-the-infrastructure-hosting-its-web-sites.html
2026/03/28 ClickFix が macOS に Infiniti Stealer を投下 偽CAPTCHAからBash実行へ誘導し、ユーザー自身に侵入を完了させる手口が続く。 https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/
2026/03/27 TikTok for Business を狙う AiTM フィッシング 業務用SNSアカウントも、MFAを越えてセッションを奪われる対象になっている。 https://www.infosecurity-magazine.com/news/phishing-targets-tiktok-for/
2026/03/23 M-Trends 2026:攻撃高速化と recovery denial が進行 侵害後にバックアップやID基盤を壊し、復旧そのものを妨げる流れが強まっている。 https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html
2026/03/26 Palo Alto Networks 採用担当者になりすます詐欺 ブランド信頼を使った長期型の求人詐欺で、採用・転職文脈が狙われている。 https://www.darkreading.com/cyberattacks-data-breaches/phishers-pose-palo-alto-networks-recruiters-job-scam
2026/03/28 イラン連動ハクティビズムの破壊型攻撃が継続 個人メール侵害とワイパー型攻撃が重なり、地政学イベントとの連動性が高い。 https://thehackernews.com/2026/03/iran-linked-hackers-breach-fbi.html

重大脆弱性とパッチ情報

PTC Windchill / FlexPLM:CVE-2026-4681

CVE-2026-4681 は、PTC WindchillPTC FlexPLM に影響する未認証RCEです。論点は CVSS の高さだけでなく、製造業・設計変更管理・サプライヤ連携の中枢に刺さることです。業務データ、設計データ、変更履歴がまとまっているPLM基盤は、侵害されると後片付けがかなり重くなります。目立たないが止まると困る基盤ほど、攻撃者はよく見ています。

出典:https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/ https://nvd.nist.gov/vuln/detail/CVE-2026-4681 https://www.cisa.gov/news-events/ics-advisories/icsa-26-085-03

Langflow:CVE-2026-33017

LangflowCVE-2026-33017 は、公開フロー用の未認証エンドポイントが攻撃者入力を exec() に渡してしまう問題です。AIワークフロー基盤は便利ですが、APIキー、モデル接続情報、業務データ、実行権限が集まりやすく、侵害時の被害が広がりやすい。公開から短時間で悪用された点も、今後のAI基盤の標準リスクになりそうです。

出典:https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://www.cve.org/CVERecord?id=CVE-2026-33017 https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog

Trivy:CVE-2026-33634

TrivyCVE-2026-33634 は、通常の製品バグというより、リリースパイプラインの乗っ取りです。悪性バージョンや GitHub Actions のタグ改ざんにより、秘密情報窃取へ発展し得ます。ここで重要なのは、パッチだけでは終わらないことです。トークン、PAT、クラウド認証情報、CI変数、Kubernetes Secret の全面ローテーションまでやって、ようやく入口に立てます。

出典:https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2026-33634 https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html

F5 BIG-IP:CVE-2025-53521

F5 BIG-IPCVE-2025-53521 は、境界装置としての性質上、業務影響が非常に重い案件です。NVD の更新でも説明が RCE に明確化され、CISA KEV 追加で優先度が一段上がりました。境界機器は、止めると困るので後回しにされがちですが、そこが一番困ることになる場所でもあります。

出典:https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2025-53521

その他の重要更新

Citrix NetScalerBINDApple iOS / macOS 26.4 も、公開面や管理対象端末に関わるため、棚卸し優先度が高い更新です。どれも派手な見出しより、「自社で使っているか」「外に見えているか」で重みが決まる案件です。

出典:https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/ https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/ https://www.securityweek.com/ios-macos-26-4-roll-out-with-fresh-security-updates/

インシデント・データ侵害

Trivy 起点のSaaS波及

Trivy の事案は、単なる1製品の問題ではなく、SaaS、CI/CD、クラウド認証の連鎖に広がる構図が厄介です。セキュリティツールが侵入口になるのは、なかなか皮肉ですが、権限と信頼を持つツールほど被害が拡大しやすいのも事実です。

出典:https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html

欧州委員会のWeb基盤側侵害

欧州委員会の事案は、本体組織のアプリだけでなく、そのWeb基盤やホスティング基盤が狙われることを示しています。公開サイト周辺は「広報領域だから本丸ではない」と思われがちですが、実際には認証情報、設定情報、更新経路、対外信用の交点です。

出典:https://www.csoonline.com/article/4151363/european-commission-data-stolen-in-a-cyberattack-on-the-infrastructure-hosting-its-web-sites.html

地政学連動の破壊型攻撃

イラン連動ハクティビズムの文脈では、個人メール侵害とワイパー型の破壊行為が並行しています。ニュースとしては派手ですが、実務上は「政治・外交・軍事の緊張が高まると、便乗型の破壊攻撃や情報公開が増える」という昔からの流れの延長です。

出典:https://thehackernews.com/2026/03/iran-linked-hackers-breach-fbi.html

フィッシング・ソーシャルエンジニアリング

ClickFix は「自分で押させる」攻撃

ClickFix は、偽CAPTCHAや修復指示を使い、ユーザー自身にコマンドやスクリプトを実行させます。技術的には複雑でなくても、現場ではかなり強い。操作説明が丁寧な攻撃は、だいたい危ないです。

出典:https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

AiTM と業務用SNSの乗っ取り

TikTok for Business を狙う AiTM は、広告運用・SNS運用・ブランド広報を持つ組織には軽視しづらい案件です。セッションを奪われると、MFAがあっても防ぎ切れません。業務用SNSはマーケティングの道具ですが、攻撃者から見ると決済・広告・ブランド信頼の入口でもあります。

出典:https://www.infosecurity-magazine.com/news/phishing-targets-tiktok-for/

vishing と採用詐欺

M-Trends 2026 では、voice phishing の存在感が上がり、採用担当者や転職文脈を使う詐欺も続いています。メールだけ訓練しても、電話、チャット、求人、SNSまで対策しなければ穴が残ります。詐欺師も、なかなかマルチチャネルです。

出典:https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html https://www.darkreading.com/cyberattacks-data-breaches/phishers-pose-palo-alto-networks-recruiters-job-scam https://www.apwg.org/blog/apwg-q1-report-phone-based-phishing-grows-explosively-shifting-the-cybercrime-threatscape

政策・基準・フレームワーク動向

今週、実務で一番効くのは、やはり CISA KEV の更新です。LangflowTrivyF5 BIG-IP が連日追加され、守る側に優先順位変更を迫りました。一方で、MITRE ATT&CK は公開更新としては 2025年10月版が最新で、今週の優先度判断は新しいマトリクス改訂より、KEV と NVD recent / modified を中心に組む方が実務的です。

出典:https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://attack.mitre.org/resources/updates/

OWASP 側では、今週の急報というより、Agentic AIGenAI Data Security の運用指針が継続的に補強されています。AIを本番利用する企業では、従来の Web / API の脆弱性管理に加え、ツール権限、プロンプト境界、秘密情報の扱いまで管理対象に含める必要があります。

出典:https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/ https://genai.owasp.org/event/rsac-conference-2026-owasp-ai-security-summit-safeguarding-genai-agents-autonomous-ai-risk-2026/

国内視点の影響

日本企業への影響はかなり直接的です。製造業 では PTC Windchill / FlexPLM、境界機器 では F5 / Citrix / DNS、AI / 開発部門 では Langflow / LangChain / LiteLLM / Trivy、広報・採用・広告運用 では AiTM / ClickFix / 求人詐欺が効いてきます。海外ニュースの顔をしていますが、実態は国内の現場そのものです。

出典:https://www.cisa.gov/news-events/ics-advisories/icsa-26-085-03 https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

NICTER については、対象期間内に「直ちに運用優先度を変える新規緊急注意喚起」は確認しにくく、今回の判断軸は KEV、NVD recent、ベンダー更新、サプライチェーン侵害の4点に寄せるのが妥当です。観測データ自体は継続的に更新されていますが、今週の主戦場は別にありました。

出典:https://www.nicter.jp/ https://www.nict.go.jp/

今すぐやるべきこと

  1. KEV追加3件(Langflow、Trivy、F5 BIG-IP)の有無を CMDB、SBOM、リポジトリ、CI/CD、公開資産一覧で横断確認する。
  2. Trivy / LiteLLM の影響バージョンを使っていた場合、トークン、PAT、クラウドキー、Kubernetes Secret、CI変数を一括ローテーションする。
  3. PTC / F5 / Citrix / BIND の外部公開状況を棚卸しし、修正版適用と管理面の到達制限を急ぐ。
  4. Langflow / LangChain / LangGraph の外部公開、権限境界、秘密情報注入方式を点検する。
  5. 現場向けに、偽CAPTCHA電話でMFA承認を急がせる連絡採用担当を名乗る接触 の3類型を即日通知する。
  6. Apple 管理端末の更新適用状況を確認し、旧版向けも含めて未更新端末を洗い出す。

出典:https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

中長期対策

  1. 脆弱性管理を「公開資産中心」から「業務影響中心」へ再設計し、PLM、CI/CD、SaaS、AI基盤を本番同等で扱う。
  2. サプライチェーン防御として、SBOM、署名確認、mutable tag 回避、依存関係監査、秘密情報分離を標準化する。
  3. AI利用の社内基準を整備し、エージェント権限、ツール接続、モデル入力、出力先の境界を明文化する。
  4. 認証防御をメール中心の訓練から、vishing、AiTM、セッション防御、フィッシング耐性MFAへ拡張する。
  5. 復旧設計を見直し、バックアップ、ID基盤、CI/CD、Secrets 管理を recovery denial 耐性の観点で再点検する。

出典:https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/ https://attack.mitre.org/resources/updates/ https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html https://blog.knowbe4.com/best-practices-for-implementing-ai-agents

CISA KEV と NVD “recent/modified” の観点で実運用に影響が大きい項目

  • CVE-2026-33017(Langflow Code Injection)— 2026/03/25 に KEV 追加。AIワークフロー基盤の未認証RCEとして優先度が高い。
  • CVE-2026-33634(Aqua Security Trivy Embedded Malicious Code)— 2026/03/26 に KEV 追加。製品脆弱性というよりサプライチェーン侵害として扱うべき。
  • CVE-2025-53521(F5 BIG-IP RCE)— 2026/03/27 に KEV 追加。境界装置であるため、業務影響が一段重い。
  • CVE-2026-4681(PTC Windchill / FlexPLM)— NVD 公開と ICS Advisory を受け、製造業・PLM利用企業では即棚卸し対象。
  • CVE-2026-3055(Citrix NetScaler ADC / Gateway)— 境界面に関わるため、公開構成では優先パッチ対象。
  • CVE-2026-3104(BIND)— DNS インフラの安定性へ影響するため、公開DNS / 再帰DNS 運用では確認価値が高い。

出典:https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://nvd.nist.gov/vuln/detail/CVE-2026-33634 https://nvd.nist.gov/vuln/detail/CVE-2025-53521 https://nvd.nist.gov/vuln/detail/CVE-2026-4681 https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/ https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/

国交省・運輸安全委員会の最新公開情報で見る、国内ドローン事故報告の定点観測(2026-03-23確認)

ドローン事故・重大インシデント週次モニタリング

無人航空機(ドローン)事故データで作る安全マネジメント

確認日:2026年03月23日

対象期間:2026年03月16日〜2026年03月22日(JST)

本記事で得られる3つのポイント

  • 前週比較で、今回の監視対象期間に新たに入る公開案件は No.194 であること。
  • 直近の事故類型が、空撮・訓練・散布と用途は異なっても、人的被害、第三者物件接触、立入管理不備に収れんしていること。
  • 事故低減の主戦場が、機体性能よりも離着陸手順、回収動作、第三者離隔、風判断、現場統制にあること。

なぜ重要か:ドローン事故は1件の損害額だけでなく、顧客説明、再発防止対応、受注継続性まで含めて事業収益を削るため、直近公開事案の差分確認はそのまま現場改善の材料になるためです。

続きを読む
https://www.mlit.go.jp/koku/accident_report.html

今週の差分

前週確認時点では、MLIT公開一覧の最新掲載面に No.192(青森市・融雪剤散布)と No.193(名古屋市・係留訓練中の負傷)が確認されていました。今回の対象期間では、同じ最新掲載面にある No.194 が週次対象に新たに入ります。

No.194 は、大阪府泉南郡での空撮前確認飛行中、操縦者自身が機体との距離を見誤って接触し、右手背部を負傷した事案です。分類上は「無人航空機による人の負傷」として重大インシデントに該当します。

一方、運輸安全委員会(JTSB)の無人航空機事故公表案件については、過去1週間で新たな報告書公表は確認できませんでした。

今週の新規抽出案件

No.194|大阪府泉南郡|空撮前確認飛行

発生日:令和7年3月18日 13時30分頃

飛行させた者:事業者

機体:DJI JAPAN株式会社 MATRICE300RTK

概要:空撮前の事前確認のため無人航空機を飛行させていたところ、自身と機体の距離を見誤り、機体が操縦者に接触し、右手背部を負傷した。

人的被害:右手甲の裂傷

機体損傷:プロペラの破損

再発防止策:回転しているプロペラには不用意に近づかない。機体に近づく際には、必ずプロペラが停止していることを確認する。社内のドローン業務対応者へ本事案及び再発防止策を周知徹底する。

分類:観光/空撮、人的被害、立入管理、航行/第三者、着陸・回収フェーズ

出典:https://www.mlit.go.jp/common/001585162.pdf

前週から継続して重要な公開案件

No.192|青森県青森市|融雪剤散布

操作を誤り、第三者所有の電線に機体を接触させて損傷させた事案です。停電等の影響はなかったものの、送電線付近での離着陸を避けることが再発防止策として示されています。

分類:農業、物損、航行/第三者、立入管理

出典:https://www.mlit.go.jp/common/001585162.pdf

No.193|愛知県名古屋市|訓練・係留飛行

訓練のため係留飛行させていたところ、着陸時に機体が突風にあおられ、操縦者の隣に立っていた関係者に接触し、左手中指を負傷した事案です。係留柵の長さ調整と、防護柵設置が再発防止策として示されています。

分類:訓練、人的被害、天候、立入管理、着陸フェーズ

出典:https://www.mlit.go.jp/common/001585162.pdf

キーワード別分析

点検 / 外壁

今週の新規対象期間には点検・外壁の新規追加はありませんでした。ただし、直近公開群では外壁接触や屋根点検時の接触が続いており、構造物近接業務では「成果物のために寄り過ぎる」圧力が事故の温床になっています。点検案件では、撮影・確認に必要な最小距離ではなく、接近の上限距離を社内標準にしておく方が実務的です。

観光 / 空撮

今週の新規案件 No.194 は空撮前確認飛行です。空撮は本番映像の前段階であっても、操縦者が映像・構図・周辺確認を同時に処理しがちで、回収動作や近接判断が甘くなります。「本番前だから安全」ではなく、「本番前だから注意が分散しやすい」と捉えるべき領域です。

建設

今週の新規追加では建設用途は確認できませんでしたが、建設現場に多い第三者物件接触、仮設物接触、狭隘環境近接は、公開済みの他用途事故と同じ構造で起こります。建設用途では飛行計画だけでなく、地上導線・搬入動線・第三者導線の分離が重要です。

農業

No.192 のように、散布系飛行では低高度、障害物近接、作業優先の三要素が重なります。農業は「飛ばせるか」より「安全に離着陸できる場所を確保できるか」が重要です。JTSBの南相馬市事案も含め、農業では人的被害と第三者接触の両方が起きやすく、補助者設計が経営上の管理点になります。

物流

今週の新規対象には物流は含まれていませんが、公開済み一覧には自律飛行から手動介入に移行した際の物件接触も見られます。物流では通常運航時より、異常時のモード遷移時に事故が起きやすく、手動切替え手順の訓練不足が露出しやすい領域です。

測量

測量色の濃い新規追加は確認できませんでした。ただし、測量は GNSS/RTK 依存が高く、誤差や制御挙動が業務品質にも安全にも直結します。安全チェックと精度チェックを別管理にせず、一体化したプレフライト運用に寄せる方が事故予防には有効です。

屋内

今週の対象範囲で屋内案件は確認できませんでした。ただし、屋内は GNSS に依存しない一方、人との距離が近くなりやすいため、プロペラ接触リスクはむしろ増えます。屋内案件ほど、ケージ装着、低速モード、手元回収禁止の徹底が必要です。

目視外

今週の新規案件自体は目視外主題ではありませんが、物流・自律飛行系では目視外前提が混ざりやすい構図があります。目視外で重要なのは飛行そのものより、異常発生時に誰が何を判断し、どこに緊急着陸させるかの事前設計です。

夜間

今週の新規対象に夜間案件はありませんでした。夜間は案件単価が上がりやすい一方、離着陸点の視認性確保と立入管理のコストも上がります。夜間案件は、許可があるかどうかだけでなく、地上安全工程を上乗せした見積にしないと利益を削りやすい領域です。

人的被害

No.193、No.194、そしてJTSB南相馬市事案に共通するのは、回転中の機体へ人が近づいていることです。これは偶発ではなく、回収タイミング、補助者位置、操縦者との役割分担が手順として固定されていない問題です。人的被害は操縦技量の不足だけでなく、現場設計不足として捉えるべきです。

物損

No.192 の電線接触は、停電に至らなくても十分に重い事案です。物損は一見軽微でも、顧客説明、賠償協議、次案件への影響が残ります。BtoB業務では、ニュースになる事故より、こうした小規模物損の積み重ねの方が信用を削ります。

電波 / リンク喪失

今週の新規案件では電波・リンク喪失が直接原因として示されたものはありませんでした。ただし、公開一覧全体では自律飛行や制御不能関連事案も見られ、通信品質とフェイルセーフ理解の不足が背景に潜む可能性があります。現場全員がリンク喪失時の挙動を説明できる状態にしておくことが基本です。

GNSS / 磁気

GNSS/磁気異常を明示した新規案件はありませんでした。一方で、都市部近接、構造物近接、点検業務では GNSS 背景要因が表面化せずに壁面接触として現れることがあります。原因欄に書かれていなくても、設計側では想定すべき変数です。

バッテリー

今週の新規案件ではバッテリー直接起因は確認できませんでした。とはいえ、バッテリーは「故障」より「判断遅れの起点」になりやすい要素です。残量閾値だけでなく、アラーム発生後に誰が帰還判断を下すかまで決めて初めて運用になります。

天候

No.193 は突風が直接要因です。天候は飛ばせるかどうかより、止められるかどうかで評価すべきです。特に係留飛行や近接飛行では、平均風速ではなく突風と局所乱流を見ないと事故を取りこぼします。

立入管理

今週の最重要論点です。No.194 は操縦者自身、No.193 は隣接する関係者、JTSB事案は補助者が被災しています。つまり、主戦場は空中ではなく地上です。離着陸禁止半径、回収許可者、プロペラ停止確認を文章と現場導線の両方で固定しない限り、同じ型の事故は続きます。

航行 / 第三者

第三者物件との接触は、電線、外壁、屋根、フェンスのように、軽微に見えても説明責任が重い対象で起きています。許可承認の有無だけでなく、第三者物件へどこまで近づくかの社内基準を持っているかが差になります。

ビジネス視点の総括

今週は件数が大きく増えた週ではありませんが、事故の型はさらに明瞭になりました。直近公開事案は、①空撮・確認飛行での人的被害、②訓練・係留中の突風絡み負傷、③散布中の第三者物件接触、という三方向に見えて、実際の根は同じです。すなわち、離着陸設計、回収手順、立入管理、風判断、近接時の中止判断です。

機体更新だけで差がつく局面ではありません。利益を残す事業者ほど、現場SOPの粒度を上げ、補助者教育を行い、案件受注段階で危険条件を切っています。ドローン事業の安全は、操縦テクニックよりも工程設計の質で決まります。

参照URL(一次情報)

国土交通省 無人航空機の事故等の報告及び負傷者救護義務
https://www.mlit.go.jp/koku/accident_report.html

国土交通省 無人航空機に係る事故等報告一覧(PDF)
https://www.mlit.go.jp/common/001585162.pdf

運輸安全委員会 航空事故検索結果(無人航空機)
https://jtsb.mlit.go.jp/jtsb/aircraft/air-toukei.php?category=CategoryUninhabitedirvehicle&init=1

運輸安全委員会 無人航空機事故調査事案 AA2026-1-1
https://jtsb.mlit.go.jp/jtsb/aircraft/detail.php?id=2395

Trustworthy AI政策の定点観測(2026年3月23日確認)

2026年3月23日時点で公式情報を確認したところ、Trustworthy AIに関する各国政策は、新規制度の追加よりも「既存制度の実装・運用の具体化」に重点が移行していることが確認できた。EUは規制の実装段階、韓国は施行後運用、カナダは政府内責任分担の明確化、日本はガイドライン運用と政府内ルール整備が並行して進行している。一方でOECDは国際的な基盤としての役割を維持している。

OECD.AI Policy Navigatorの確認

OECD.AIは、各国のAI政策を横断的に整理する国際的な基盤として引き続き機能している。今回の確認では、構造や制度的な大きな変更は確認されておらず、Trustworthy AIに関する国際比較の参照点としての役割が維持されている。

また、OECD AI Principlesは、人間中心・透明性・説明責任・安全性を中核とする枠組みとして継続しており、各国政策の基準として参照されている。

出典:https://oecd.ai/en/

出典:https://oecd.ai/en/ai-principles

EU AI Actの確認

EUではAI Actがすでに制度として確立されており、現在は実装フェーズに移行している。欧州委員会の政策ページでは、AI Actがリスクベースで設計された包括的規制として整理されている。

今回の確認では、制度そのものの変更ではなく、AI literacyや高リスクAI、GPAI(汎用AI)に関する補助文書の整備が進んでいる点が重要である。これは、Trustworthy AIを実務レベルへ落とし込む段階に入っていることを示している。

出典:https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

出典:https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence

出典:https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

韓国AI基本法の確認

韓国ではAI基本法が施行済みであり、制度は実装・運用フェーズへ移行している。今回の確認では、新制度追加よりも、既存制度の現場適用が進んでいる点が確認できた。

AIガバナンス体制、リスク管理、事業者責務の整理が進められており、Trustworthy AIを制度として定着させる段階にある。

出典:https://www.msit.go.kr/eng/index.do

カナダ政府のResponsible AIページ群の確認

カナダではResponsible AIの枠組みは維持されており、政府内部での責任分担の明確化が進んでいる。総合ページは引き続き中核的な導線として機能している。

Guide on Departmental AI Responsibilitiesでは、各省庁の責任と導入プロセスが整理されており、AI導入前に関係部門と連携する枠組みが明示されている。また、AI Strategyの概要ページでは、政府全体で責任あるAI導入を進める方針が確認できる。

出典:https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html

出典:https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/guide-departmental-ai-responsibilities.html

出典:https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html

日本:METI AI事業者ガイドラインの確認

METIでは、AI事業者ガイドライン第1.1版が引き続き主要な基準文書として公開されている。今回の確認では、新版更新は確認されておらず、既存ガイドラインが継続的に参照されている。

本ガイドラインは、AIの開発・提供・利用における基本的な考え方を示すものであり、日本におけるTrustworthy AIの実務基盤として位置付けられている。

出典:https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html

出典:https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20250328_2.pdf

日本:デジタル庁AI資料の確認

デジタル庁では、生成AIの政府利用に関するガイドライン整備が進められている。アドバイザリーボードおよび標準ガイドライン群を通じて、政府内のAI運用ルールが整理されている。

今回の確認では、政府AIの利用が実証段階から実運用段階へ移行していることが確認できる。

出典:https://www.digital.go.jp/councils/ai-advisory-board

出典:https://www.digital.go.jp/resources/standard_guidelines

動向整理:2026年3月時点の全体像

Trustworthy AI政策は、理念や原則の整理から、実際の運用・実装へと軸足が移っている。EU・韓国は制度実装、カナダは行政運用、日本はガイドライン運用、OECDは国際基盤という役割分担が明確になっている。

今後は制度そのものよりも、運用の具体性と説明責任の実装が評価の中心となる。

出典一覧

今週のサイバーセキュリティ動向対象期間(2026/03/15〜2026/03/21)

日付 見出し 要点(1行) 出典URL
2026/03/21 CISAがApple・Craft CMS・Laravel Livewire関連の5件をKEV追加 実悪用確認済みとして連邦機関に迅速な修正を要求し、Apple系とWebアプリ基盤の優先度が急上昇した。 https://www.cisa.gov/news-events/alerts/2026/03/20/cisa-adds-five-known-exploited-vulnerabilities-catalog
2026/03/21 Quest KACE SMAのCVE-2025-32975が攻撃で悪用された可能性 教育分野を狙った攻撃との関連が報じられ、端末管理基盤の露出リスクが再浮上した。 https://www.securityweek.com/critical-quest-kace-vulnerability-potentially-exploited-in-attacks/
2026/03/21 LangflowのCVE-2026-33017が公開後20時間で悪用 公開フローを持つAIワークフロー基盤で未認証RCEに至る問題が、極めて短時間で武器化された。 https://www.infosecurity-magazine.com/news/hackers-exploit-critical-langflow/
2026/03/20 Cisco FMCのCVE-2026-20131がInterlockにゼロデイ悪用 未認証でroot権限のコード実行に至り得るCVSS 10.0級の管理面脆弱性が、公開前から悪用されていた。 https://thehackernews.com/2026/03/interlock-ransomware-exploits-cisco-fmc.html
2026/03/19 CISAがMicrosoft SharePointのCVE-2026-20963悪用を警告 すでに実悪用が確認され、KEV入りしたことでSharePoint運用組織の即応案件になった。 https://www.securityweek.com/cisa-warns-of-attacks-exploiting-recent-sharepoint-vulnerability/
2026/03/20 Appleが旧型iPhoneのCoruna/DarkSword対策を強く促す 旧版iOS向けにも更新が必要で、実戦投入されたiOSエクスプロイト基盤への対処が継続課題となった。 https://thehackernews.com/2026/03/apple-warns-older-iphones-vulnerable-to.html
2026/03/20 DarkSwordが6件の脆弱性と3件のゼロデイでiPhone完全掌握 スパイ活動だけでなく金銭目的の攻撃者にも利用可能なiOS向け攻撃基盤として注目された。 https://thehackernews.com/2026/03/darksword-ios-exploit-kit-uses-6-flaws.html
2026/03/20 CISAがStryker事案を踏まえエンドポイント管理基盤の防御強化を要請 MDM/UEMなど管理システムの設定不備や認証強度不足が、破壊的侵害の足場になり得ると警告した。 https://www.cisa.gov/news-events/alerts/2026/03/18/cisa-urges-endpoint-management-system-hardening-after-cyberattack-against-us-organization
2026/03/20 Oracle Fusion Middlewareに重大RCE、外部公開環境は要緊急対応 Identity ManagerやWeb Services Managerが外部露出している場合、未認証で任意コード実行に至り得る。 https://www.darkreading.com/vulnerabilities-threats/patch-oracle-fusion-middleware-rce-flaw
2026/03/20 Aisuru・KimwolfなどDDoSボットネットに国際共同作戦 IoT・ルータ類を踏み台にしたDDoS基盤への妨害が進み、インフラ犯罪の産業化が改めて示された。 https://www.securityweek.com/aisuru-and-kimwolf-ddos-botnets-disrupted-in-international-operation/
2026/03/17 英Companies Houseで数百万社情報が露出し得る欠陥 政府系公開データ基盤でも、情報取得や記録改ざんにつながる設計不備が大規模影響を生み得ると示した。 https://www.securityweek.com/uk-companies-house-exposed-details-of-millions-of-firms/
2026/03/15 Loblawのデータ侵害で顧客情報流出 氏名・メールアドレス・電話番号などの顧客情報が侵害され、小売分野の個人情報保護リスクが続いている。 https://www.securityweek.com/loblaw-data-breach-impacts-customer-information/

Trustworthy AI政策の定点観測(2026年3月16日確認)

今回の確認では、Trustworthy AIをめぐる各国・各機関の政策フェーズが、かなりはっきり分かれてきた。OECDは定義や原則の再改定よりも、各国の政策情報を継続的に整理する基盤としての役割を強めている。EUはAI Actの法文そのものより、実装に必要な標準化、コード、ガイダンス整備が前面に出ており、制度は立法段階から実装段階へ移っている。韓国はAI Basic Actが施行段階に入り、透明性・高影響AI・影響評価といった運用ルールの公開が進んだ。カナダはDirectiveそのものの大きな再改定は確認できなかったが、政府内のAI戦略、AI Register、部門別の責任整理が厚くなっている。日本はMETIのAI事業者ガイドライン自体には大きな版更新が見えない一方、デジタル庁による政府内実装の工程が具体化した。

本稿は、指定された公式ソースを中心に、2026年3月16日時点で公開確認できた一次情報をもとに整理している。変更が見当たらない箇所は、その旨を明記した。なお、EUの「EU AI Act」特設サイトは制度理解に便利な整理サイトとして参照しているが、法的な原本確認は欧州委員会側のページを優先した。

OECD

OECDについては、今回の確認でもAI定義やTrustworthy AIの定義そのものに大きな更新は見当たらなかった。引き続き中核にあるのは、2019年採択・2024年更新のOECD AI Principlesであり、Trustworthy AIは「革新的で信頼でき、人権と民主的価値を尊重するAI」という軸で整理されている。今回の確認では大きな変更なし、と見てよい。

ただし、動きが止まっているわけではない。むしろOECDは、原則論の追加よりも、各国政策を比較・追跡しやすくする基盤整備を強めている。OECD AI Policy Navigatorは、80超の法域・国際機関の政策や制度を扱うライブ型のデータベースとして運用されており、各国の公式連絡窓口やOECD.AI側の専門家が継続的に更新する構造になっている。ここは地味だが実務上かなり重要で、制度比較の作業コストを下げる、いわば政策インフラの役割を担っている。

直近では、OECDが2026年3月20日締切で「Governing with Artificial Intelligence」のグローバル募集を続けており、政府内AIのユースケース、政策・ガバナンス施策、リスク評価やバイアス低減などの実装ツールを集めている。これは新たな法制度ではないが、Trustworthy AIを政府実装の文脈で具体化するための国際連携の動きとして見ておくべきだろう。

EU

EUは、今回の定点観測でもっとも「実装段階に入った」ことが明確だった地域である。AI定義やリスクベースの基本構造自体は大きく変わっていないが、AI Actの適用スケジュール、標準化、補助的コード、実務ガイダンスの整備がかなり具体化している。

制度の現在地

AI Actはすでに発効しており、2025年2月には禁止行為とAI literacy要件が適用開始済み、2025年8月にはGPAIモデル関連やガバナンス関連の規定が動き始めている。現在の焦点は、2026年8月以降に本格適用される残りの規定を、事業者と当局がどう実務に落とし込むかに移っている。

直近の更新

欧州委員会のAI政策ページでは、2025年11月19日にDigital Simplification Packageの一部としてAI Actのターゲット改正提案が示されており、実装を簡素で分かりやすいものにする方向が打ち出されている。さらに、標準化に関するページでは、高リスクAIの一部について、関連する標準や支援ツールの整備状況に応じて適用タイミングを連動させる考え方が明示されている。法が先に立ち、運用が後から息切れする――というありがちな筋の悪い展開を避けたい意図が透けて見える。

加えて、2026年3月5日にはAI生成コンテンツの表示・ラベリングに関するCode of Practiceの第2次案が公表された。ここでは、Article 50に基づく透明性義務をめぐり、マーク付け、メタデータ、水準の異なる識別方法、EU共通アイコンの例示、創作物や風刺表現への扱いなどが整理されている。意見募集は2026年3月30日までで、最終化は2026年6月初めが予定されている。透明性義務の適用開始は2026年8月2日だ。

国際連携

EUはAI Officeを軸に、OECD、G7、G20、国連、Council of Europe、NAAIMESなどとの連携を明示している。つまりEUは、EU域内の制度だけで完結するつもりではなく、自らの実装経験を国際標準形成に接続する構えを強めている。Trustworthy AIの定義面で新語を増やしているわけではないが、「実装手順まで含めて輸出可能な制度」に近づけようとしている点が、今回の観察では印象的だった。

韓国

韓国は、今回の確認対象の中で、法制度のステージがもっとも明快に進んだ国の一つである。AI Basic Actは2026年1月22日に施行され、施行令も同日に発効した。つまり、検討や法案段階ではなく、すでに施行段階に入っている。

制度の現在地

MSITの説明では、この法律はAI産業の振興と、安全で信頼できる基盤の整備を同時に狙う枠組みとして位置づけられている。国家AIガバナンスとして大統領直属の戦略委員会やCAIO体制を制度化しつつ、透明性、安全性、高影響AI、影響評価といった実装論点を施行令とガイドラインで具体化している。韓国らしく、推進と統制を一体で並べてくる設計だ。

直近の更新

2025年11月12日から12月22日にかけて施行令案の立法予告が行われ、2026年1月22日に法と施行令が発効した。その後、同日付で支援デスク側に透明性・安全性・高影響AIの判断・事業者責務・影響評価の主要ガイドラインが掲載されている。さらにMSITは2026年2月25日に透明性ガイドラインの公表を正式に発表しており、AI生成コンテンツ、とくにディープフェイクについて、利用者が識別しやすい形での表示を求める方針を具体化した。

ここで実務上のポイントは二つある。第一に、生成AIコンテンツの表示義務について、サービス環境内に留まる出力と、ダウンロード等で外部流通する出力を分けて考えていること。第二に、韓国国内の利用者にAI製品・サービスを直接提供する海外企業も対象に含めると整理していることだ。国内法の運用だが、実質的には域外適用の含みを持つ設計になっている。

スケジュールと移行措置

もっとも、施行と同時に全面執行というわけではない。MSITは少なくとも1年のグレースピリオドを設け、事実調査や過料賦課は原則として猶予すると説明している。重大な生命被害や人権侵害などの例外はあるが、基本的には企業の準備期間を確保しながら、支援デスクとガイドラインで不確実性を下げる運用になっている。制度のステージは施行済みだが、実務上は移行期間のただ中、という理解が正確だ。

カナダ

カナダでは、今回確認した範囲でDirective on Automated Decision-Makingそのものの新たな改正文は見当たらなかった。したがって、Directiveの法政策的な中身については「今回の確認では大きな変更なし」と整理できる。一方で、運用面のツール、ガイド、戦略、公開レジストリは着実に前進している。

制度の現在地

カナダの政府AIガバナンスは、依然としてDirective on Automated Decision-Makingが背骨である。このDirectiveは、行政上の意思決定またはその評価を支える自動化システムに適用され、AIだけでなく、ルールベース、統計モデル、生成AI、機械学習など幅広い自動化を含みうる。つまり、「AIだけを特別扱いする」のではなく、「行政判断を代替・補助する自動化」を横断的に押さえる設計だ。

直近の更新

2026年2月には、Responsible use of artificial intelligence in governmentの統合ページが更新され、連邦公務向けAI Strategy 2025-2027とDepartmental AI Responsibilitiesが前面に出た。AI Strategyの概要ページ自体の更新日は2026年2月25日であり、政府内での責任あるAI活用を単なる試行から恒常的なガバナンスへ移す意図が見える。また、2025年11月には連邦政府のAI Registerが公開され、政府内でどのようなAI利用が行われているかを対外的に示す枠組みが動き始めた。

実装ガイドも地味に効いている。Algorithmic Impact AssessmentはDirectiveを支える必須のリスク評価ツールとして維持されており、影響度に応じて必要な措置が段階的に決まる。さらに、Peer Reviewガイドでは、一定以上のインパクト水準の案件について、レビューの公表まで含めた手順が整理されている。これは「信頼」を空中戦で終わらせず、文書化・評価・公開の流れに落としている点で実務的だ。

パブリックコメントと今後

2024年に実施された連邦公務向けAI戦略の意見募集については、2025年1月末に “What We Heard” が公表され、その後のAI戦略整備につながっている。今回の確認では新たな意見募集は確認できなかったが、戦略、Register、責任整理、リスク評価ツールの更新を見る限り、カナダは新法競争よりも、行政内部の運用統治を磨き込むフェーズに入っていると読める。

日本

日本は、指定ソースの中でやや二層構造になっている。ひとつはMETIのAI事業者ガイドライン、もうひとつはデジタル庁による政府内AI実装である。今回の確認では、前者は安定、後者は前進、という整理がもっとも実態に近い。

METI:AI事業者ガイドライン

METIのAI事業者ガイドライン掲載ページでは、現時点でも第1.1版が最新版として掲示されており、掲載ページの最終更新日は2025年4月4日となっている。このため、指定ページ上で確認できる限りでは、AI定義やTrustworthy AIの考え方を大きく組み替えるような新版公開はまだ確認できない。今回の確認では大きな変更なし、でよい。

ただし、水面下で議論が止まっているわけでもない。METI関連の検討資料では、AIエージェントの動向を踏まえたAI事業者ガイドライン更新の検討に触れており、生成AIからエージェント型AIへ論点がずれてきた現実を受けて、将来の更新余地が示唆されている。正式版はまだ動いていないが、次の更新波はこのあたりから来る可能性が高い。

デジタル庁:政府内AI実装

一方で、デジタル庁側はかなり動いている。2026年3月6日の公表では、政府職員約18万人を対象としたガバメントAI「源内」の大規模実証を、2026年5月から2027年3月まで実施する予定が示された。背景には、2025年12月23日閣議決定の人工知能(AI)基本計画があり、政府自らが先導的にAIを利活用し、最終的にはAIの信頼性と透明性の確保につなげるという方針が明記されている。

ここで注目すべきなのは、日本のTrustworthy AIが、事業者向け一般ガイドラインだけでなく、政府実装そのものを通じて社会的な信頼を示そうとしている点である。デジタル庁の資料では、行政実務用AIアプリの内製、政府共通データセット整備、国産LLM支援、他府省庁への技術支援までが並列で語られており、単なるPoCでは終わらせない設計が見える。制度のステージで言えば、民間向けルールは安定運用、政府利用は実装加速、という二層構造だ。

今回の観察から見えること

今回の定点観測を通して見えてくるのは、Trustworthy AI政策が「定義を掲げる時代」から「実装をさばく時代」へ移っていることだ。OECDは比較可能な政策データベースを整え、EUは標準化・コード・執行体制を厚くし、韓国は法律施行と詳細ガイドラインを出し、カナダは行政内部の責任・公開・評価を磨き、日本は政府利用の実装工程を前に出している。

言い換えると、いまの差は「Trustworthy AIを唱えているかどうか」ではなく、「誰に、どの段階で、どの文書で、どの評価手順を要求するか」がどこまで具体化しているかにある。派手な新語より、地味な運用文書のほうが制度を動かす。政策の世界はしばしばそういう、見た目より泥くさい生き物である。

出典・確認メモ

対象 確認した文書 確認したポイント 一次 / 二次 確認日
OECD https://oecd.ai/en/ai-principles OECD AI Principlesの位置づけ、Trustworthy AIの原則、2024年更新の有無を確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/dashboards/overview Policy Navigatorがライブ型の政策データベースとして継続更新されていることを確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/wonk/call-ai-in-gov 政府AIユースケース・政策施策・実装ツール募集の継続、締切日を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai AI Actの法的位置づけ、信頼できるAIをめざす基本方針、AI Pact等を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence 2025年11月の簡素化提案、主要マイルストーン、AI Officeの実装支援方針を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation 標準化と高リスクAIの適用タイミングの関係、最遅適用時期の提案を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/library/commission-publishes-second-draft-code-practice-marking-and-labelling-ai-generated-content AI生成コンテンツ表示コード第2次案、公募期限、適用開始日を確認。 一次情報 2026-03-16
EU https://artificialintelligenceact.eu/implementation-timeline/ EU AI Actの段階適用日を一覧で再確認。制度理解用の補助参照。 二次情報(制度整理サイト) 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng AI Basic Actと施行令の施行日、グレースピリオド、国家AIガバナンスの枠組みを確認。 一次情報 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1215&sCode=eng 透明性ガイドラインの内容、AI生成物表示、海外事業者への適用整理を確認。 一次情報 2026-03-16
韓国 https://www.sw.or.kr/site/sw/ex/board/View.do?bcIdx=64993&cbIdx=390 主要ガイドライン一式(透明性・安全性・影響評価など)の掲載状況を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html Responsible use of AI in Governmentの統合ページ更新と主要実装文書の構成を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html 連邦公務向けAI戦略の更新日と位置づけを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/guide-scope-directive-automated-decision-making.html Directiveの適用範囲、AIに限定されない自動化全般への適用整理を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/algorithmic-impact-assessment.html AIAの構成と、Directiveを支える必須評価ツールであることを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/treasury-board-secretariat/news/2025/11/canada-launches-first-register-of-ai-uses-in-federal-government.html AI Register公開の事実と位置づけを確認。 一次情報 2026-03-16
日本 https://www.meti.go.jp/policy/it_policy/ai/
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html
AI事業者ガイドラインの最新版表示、第1.1版の掲載継続、ページ更新日を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/news/2d69c287-2897-46d8-a28f-ea5a1fc9bce9 ガバメントAI「源内」の大規模実証、対象人数、実施期間を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/assets/contents/node/information/field_ref_resources/2d69c287-2897-46d8-a28f-ea5a1fc9bce9/86f43a74/20260306_policies_ai_gennai_mass_deployment.pdf 人工知能基本計画の抜粋、政府先導利用、展開スケジュール、実装項目を確認。 一次情報 2026-03-16

ドローン事故・重大インシデント週次モニタリング

無人航空機(ドローン)事故データで作る安全マネジメント(2026-03-16確認分)

本記事で得られる3つのポイント

  • 過去1週間で国土交通省の事故等報告一覧に追加表示された新規案件の把握
  • 人的被害・第三者物損・気象要因・立入管理の観点から見た直近リスクの整理
  • 空撮・点検・訓練・農業運用で優先すべき安全管理の実務ポイント

なぜ重要か:業務ドローンの事故は機体性能よりも、着陸回収、第三者との離隔、風判断、作業手順設計の不備で顕在化しやすく、直近の公表事例を追うことがそのまま再発防止の設計図になるためです。

続きを読む
https://www.mlit.go.jp/koku/accident_report.html

今週の差分

前週確認時は目立った新規公表を確認できませんでしたが、今回確認では、国土交通省「無人航空機に係る事故等報告一覧」PDFの最新掲載ページに No.192〜194 が表示されていました。このうち、監視対象期間に入る新規事案は No.192(3月9日)No.193(3月10日) です。No.194(3月18日) も同ページに表示されていますが、発生日ベースでは今回の監視対象期間外のため、次回監視対象として扱うのが妥当です。

一方、運輸安全委員会(JTSB)側では、無人航空機の個別事故調査ページとして確認できる最新公表は 2026年1月29日公表の AA2026-1-1 であり、今回確認した範囲では過去1週間に新たな無人航空機事故調査報告書の公表は確認できませんでした。

今週の新規抽出案件

No.192|青森県青森市|融雪剤散布

  • 発生日:令和7年3月9日 8時00分頃
  • 用途:融雪剤散布
  • 概要:操作を誤り、第三者所有の電線に機体を接触させて損傷。停電等の影響はなし。
  • 人的被害:なし
  • 機体損傷:プロペラ破損
  • 再発防止策:送電線付近での離着陸を実施しない
  • 出典URL:https://www.mlit.go.jp/common/001585162.pdf

分類:農業/第三者物損/航行・第三者/立入管理

No.193|愛知県名古屋市|訓練・係留飛行

  • 発生日:令和7年3月10日 12時33分頃
  • 用途:訓練
  • 概要:係留飛行中、着陸時に機体が突風にあおられ、操縦者の隣に立っていた関係者に接触。
  • 人的被害:左手中指の切創
  • 機体損傷:プロペラ破損
  • 再発防止策:係留柵の適切調整、防護柵設置
  • 出典URL:https://www.mlit.go.jp/common/001585162.pdf

分類:訓練/人的被害/天候/立入管理/着陸フェーズ

参考|次回監視対象候補 No.194|大阪府泉南郡|空撮前確認飛行

同じ最新ページには、3月18日発生の No.194 も表示されています。空撮前の事前確認飛行中、自身と機体の距離を見誤って操縦者が負傷した事案で、表示上は重大インシデント扱いです。ただし発生日は今回の監視対象期間外です。

キーワード別リスク分析

農業

今週の監視対象では、融雪剤散布中に第三者所有の電線へ接触した事案が確認されました。散布系業務は「低高度・障害物近接・作業優先」の三重苦になりやすく、送電線や支線、農地周辺設備への接触リスクが高い用途です。散布オペレーションでは、飛行経路だけでなく離着陸位置の選定まで含めて設計しないと、現場判断で事故率が上がります。

点検 / 外壁

今週の新規対象期間に点検案件はありませんでしたが、同じ最新掲載面には、屋根点検中に外壁へ衝突して第三者物件を損壊した案件も確認できます。点検業務は、構造物近接と気流変化が同時に起きるため、操縦技能だけでなく、事前の障害物確認、狭隘部の飛行回避、風の読み直しが収益性以上に重要です。外壁1枚の破損でも、対人対物保険、工期、元請説明のコストが一気に乗ります。

観光 / 空撮

最新掲載面には、空撮中または空撮関連の飛行で、着陸前後に機体へ手を伸ばした関係者が負傷する事案、風にあおられて建物へ接触する事案、フェンスへ衝突する事案が並んでいます。空撮は画づくりに意識が寄るため、最終進入と回収の統制が甘くなりやすいのが典型です。現場実務では「撮れたか」より「安全に止めたか」をKPIに入れた方が、結果的に事故原価を抑えられます。

建設 / 測量 / 物流

同じ掲載面には、物資輸送中に自律飛行から手動飛行へ切り替わった際の誤操作で電柱・フェンスに接触した事案もあります。建設・測量・物流系は、自律飛行や経路飛行の比率が高く、異常時のモード遷移手順を標準化していないと、非常時だけ人手に戻って事故を起こす構図になりがちです。

人的被害

今週の監視対象では、No.193 が典型例です。JTSBの最新無人航空機事故調査報告でも、着陸時の横移動と補助者の離隔不足が重傷事故につながったと整理されており、人的被害の本質は「接近しすぎ」ではなく、回収タイミング・立ち位置・役割分担が制度化されていないことにあります。

物損

第三者物件への接触は、電線、建物外壁、屋根、フェンスのように、軽微に見えても説明責任が重い対象で起きています。物損事故はニュースになりにくい一方、事業者の信用コストは高く、BtoB案件では継続受注に直結します。保険加入だけでは足りず、現場前の障害物レビューをSOP化する必要があります。

天候

No.193 では着陸時の突風が直接要因として表れています。また、同じ掲載面には風にあおられて建物へ接触した空撮事故も確認できます。風は「飛ばせるか」より「止められるか」で評価するのが実務向きです。特に係留飛行や近接飛行では、平均風速ではなく突風と局所乱流を見ないと事故を取りこぼします。

立入管理

今週最重要の論点はここです。No.193 の防止策は係留柵調整と周辺防護柵設置であり、JTSBの最新調査事案でも、補助者との離隔や機体特性に関する知識共有不足が重傷事故の背景要因として示されています。つまり、事故防止の主戦場は操縦席だけでなく、周辺者をどう近づけないかです。

ビジネス視点の総括

今週の更新は件数こそ多くありませんが、示唆は明快です。直近の事故類型は、①送電線・建物・フェンスなど第三者物件との接触、②着陸・回収段階での人的被害、③突風や近接環境下での最終操作不良、の3系統に収れんしています。これは、点検、空撮、農業、訓練のどの用途でも共通です。機体更新より先に、離着陸手順・回収手順・第三者離隔・気象判断・自律→手動の移行訓練を整備した会社の方が、事故率も説明コストも下げやすい局面です。

参照URL(一次情報)

今週のサイバーセキュリティ動向 2026/03/08–2026/03/14 JST

日付(JST) 見出し 要点(1行) 出典URL
2026/03/14 HPE Aruba Networking AOS-CX に CVE-2026-23813(CVSS 9.8) Web管理インターフェース経由で未認証の管理者パスワードリセットに至り得る重大脆弱性が修正された。 https://www.securityweek.com/critical-hpe-aos-cx-vulnerability-allows-admin-password-resets/
2026/03/13 Chrome 146 が実悪用中のゼロデイ2件を緊急修正 CVE-2026-3909 と CVE-2026-3910 が実悪用ありとして修正された。 https://www.securityweek.com/chrome-146-update-patches-two-exploited-zero-days/
2026/03/13 Starbucks が従業員向けポータル起点のデータ侵害を公表 フィッシングにより従業員向けアカウントが侵害され、数百人規模の個人情報影響が報じられた。 https://www.securityweek.com/starbucks-data-breach-impacts-employees/
2026/03/13 SocksEscort 悪性プロキシ基盤に対する法執行措置 米欧当局がサイバー犯罪支援インフラとして使われたプロキシサービス妨害を公表した。 https://www.securityweek.com/authorities-disrupt-socksescort-proxy-service-powered-by-avrecon-botnet/
2026/03/12 n8n の重大脆弱性でサーバ乗っ取りに発展し得る問題 公開フォームと sandbox escape の連鎖で、認証不要のホスト侵害に発展し得ると報じられた。 https://www.securityweek.com/critical-n8n-vulnerabilities-allowed-server-takeover/
2026/03/12 Apple が旧版 iOS / iPadOS 向け Coruna 対応更新を提供 iOS 13.0〜17.2.1 を狙える Coruna exploit kit に対応するため、旧版系統にも更新が配布された。 https://www.securityweek.com/apple-updates-older-ios-versions-to-patch-coruna-exploits/
2026/03/12 Telus Digital が不正アクセス事案を調査中 同社は限定的システムへの不正アクセスを確認し、ShinyHunters の関与主張が報じられた。 https://www.csoonline.com/article/4144560/telus-digital-hit-with-massive-data-breach.html
2026/03/12 自治体・郡当局になりすます許認可費用フィッシングに注意喚起 KnowBe4 が紹介した FBI 注意喚起では、実在の申請情報を使う高精度な請求詐欺が確認された。 https://blog.knowbe4.com/fbi-phishing-attacks-are-impersonating-city-and-county-officials
2026/03/11 Ivanti Endpoint Manager の CVE-2026-1603 が KEV 追加 認証回避による資格情報漏えいリスクがある Ivanti EPM の脆弱性が KEV に加わった。 https://www.securityweek.com/recent-ivanti-endpoint-manager-flaw-exploited-in-attacks/
2026/03/11 Salesforce Experience Cloud の guest user 設定悪用 製品脆弱性ではなく、公開ポータルの過剰公開設定を使うデータ収集キャンペーンが警告された。 https://www.csoonline.com/article/4143667/overly-permissive-guest-settings-put-salesforce-customers-at-risk.html
2026/03/10 Microsoft 3月 Patch Tuesday は 83件修正 ゼロデイ修正はなかったが、Office 系高深刻度脆弱性は業務端末側で早期対応が望まれる。 https://www.csoonline.com/article/4143232/march-patch-tuesday-three-high-severity-holes-in-microsoft-office.html
2026/03/09 .arpa ドメイン悪用によるフィッシング検知回避手法 IPv6-to-IPv4 トンネリングと reverse DNS 系ドメイン悪用を組み合わせる新しい回避手法が報じられた。 https://www.csoonline.com/article/4142631/hacker-abusing-arpa-domain-to-evade-phishing-detection-says-infoblox.html

プロフェッショナルとは何か――人事・採用が見直すべき評価軸

本記事で得られる3つのポイント

  • ショーンの文脈での「プロフェッショナルとは何か」を、採用と人事評価へ引き寄せて理解できます。
  • 若さ、即戦力、資格、印象といった表面的な評価だけでは見抜けない本質が整理できます。
  • 企業の人事が採用で見ないといけない観点を、実務ベースで再構成できます。

なぜ重要か

採用で見誤ると、組織は「動ける人」を採れても、「判断できる人」「問いを立て直せる人」を取り逃がすためです。結果として、現場は忙しいのに強くならないという、実にありがちな状態に陥ります。

プロフェッショナルとは、単に優秀な人ではない

採用の現場では、どうしても分かりやすい指標へ引っ張られがちです。年齢、学歴、転職回数、資格、話し方、第一印象、流行のスキル、いわゆる即戦力感。もちろん、これらが無意味という話ではありません。ただし、プロフェッショナルを見抜く尺度としては、それだけではかなり足りません。

ショーンの議論を踏まえると、プロフェッショナルとは、単に知識を持つ人でも、正解を暗記している人でもなく、不確実で複雑な状況の中で、何が本当の問題なのかを見極め、必要なら問いそのものを組み替えられる実践家です。ここが核心です。

つまり、企業が採用で本当に見るべきなのは、「若いかどうか」や「勢いがあるかどうか」だけではなく、どのように状況を読み、どのように判断し、どのように修正できるかです。若さは体力や吸収速度の面で強みになることがあります。しかし、プロフェッショナル性そのものは、若さと同義ではありません。

若さが全てではない理由

若い人材は、変化への適応や新しい道具への習熟で強みを発揮することがあります。これは事実です。ただし、採用でそこだけを見てしまうと、組織は「処理できる人」は増えても、「判断の重さを持てる人」を見落とします。

プロフェッショナル性の中核には、経験を通じて蓄積される暗黙知があります。ショーンのいう knowing-in-action に近いものです。これはマニュアルを一度読んだから身につくものではありません。現場で繰り返し状況に向き合い、成功と失敗の両方をくぐり、違和感を言葉にし、やり方を修正し続ける中で育つものです。

だからこそ、プロフェッショナルは一朝一夜では育ちません。短期間で「使える人」に見える人がいたとしても、それは限定された条件下での処理能力であることが少なくありません。本当に強い人は、条件が崩れたときに崩れにくい人です。そして、その強さは時間をかけてしか育たない部分があります。

人事が採用で本当に見ないといけないこと

1. 知識量より、状況判断の質

知識や資格は、あくまで入口です。重要なのは、その知識をどの状況で、どのように使い分けられるかです。採用面接で見るべきなのは、「何を知っているか」だけでなく、「想定外の事態に出会ったとき、どう見立てを変えたか」です。

候補者が過去の案件でどのような違和感を持ち、何を問題と定義し、どこで判断を修正したのか。この語り方には、その人の実践知がかなり表れます。知識の暗唱は準備で作れますが、判断の質はそう簡単には偽装できません。

2. 成果だけでなく、問題設定の仕方

採用では、どうしても「何を達成したか」に目が向きます。売上を伸ばした、コストを下げた、チームを回した、案件を完遂した。これらはもちろん重要です。ただし、もっと重要なのは、その人が最初に何を問題と見たのかです。

同じ成果でも、たまたま条件に恵まれたのか、それとも問題設定が優れていたのかで価値は大きく違います。たとえば売上改善であっても、広告費を増やしただけなのか、顧客の離脱要因を見抜いて導線を修正したのかでは、再現性がまるで違います。人事は結果だけでなく、そこに至るまでの問いの立て方を見ないといけません。

3. 失敗経験の有無より、失敗の扱い方

失敗がない人は、慎重なのかもしれません。あるいは、挑戦していないだけかもしれません。大切なのは失敗経験の有無ではなく、その失敗をどう扱ったかです。

プロフェッショナルに近い人は、失敗を「たまたま」「環境が悪かった」で終わらせません。どこで見立てを誤ったか、何を前提にしすぎたか、次に何を変えるかを語れます。ここに省察の力が表れます。人事が見るべきなのは、無傷の経歴より、傷をどう知に変えたかです。

4. 協調性より、関係の設計力

採用で「協調性」はよく見られますが、この言葉はかなり雑です。場に合わせるだけなら協調性に見えます。しかし、プロフェッショナルに必要なのは、ただ空気を壊さないことではなく、仕事が前に進む関係を設計できるかです。

複雑な業務では、専門知識だけで成果は出ません。関係者の認識をそろえ、必要な対話を起こし、時には曖昧な前提を表に出す必要があります。これは「いい人」であることとは違います。人事は、人当たりよりも、関係の中で仕事の質を上げられるかを見る必要があります。

5. 即戦力かどうかより、文脈を学ぶ力

即戦力採用は合理的に見えます。ただし、どの会社にも固有の文脈があります。商品、顧客、意思決定の癖、失敗しやすい構造、暗黙のボトルネック。前職で優秀だった人でも、文脈を読めなければ簡単に外します。

だから採用では、経験の一致だけでなく、新しい文脈をどのように学び取るかを見ることが重要です。これは「柔軟性」という曖昧な言葉より、ずっと具体的です。未知の環境で、何を観察し、どう仮説を立て、どう修正してきたか。この履歴がある人は強いです。

採用で見落とされやすい「プロフェッショナルの兆候」

プロフェッショナルの兆候は、派手ではないことがよくあります。話が上手い人が、判断も上手いとは限りません。資格が多い人が、現場の複雑さに強いとも限りません。逆に、一見地味でも、状況を丁寧に観察し、問題設定を誤らず、必要に応じてやり方を変えられる人は非常に強いです。

たとえば、面接で次のような話し方が出る人は注目に値します。

  • 「最初はAが問題だと思ったが、実際はBだった」
  • 「うまくいかなかった理由は、自分たちの前提の置き方にあった」
  • 「その時点では正しいと思ったが、途中で顧客の見ている景色が違うと気づいた」
  • 「結果より先に、何を解くべきかの整理が必要だった」

こうした言葉が自然に出る人は、経験をただ積んだのではなく、経験を構造化している可能性が高い。ここにプロフェッショナルの芽があります。

人事制度そのものも問われる

ここでやっかいなのは、採用担当者だけが分かっていても、評価制度が表面的なら意味がないことです。人事制度が「若い」「安い」「従順」「残業できる」「空気が読める」ばかりを評価していると、プロフェッショナルは組織の中で育ちません。

ショーンの議論を人事へ翻訳するなら、採用だけでなく評価制度そのものも、問題設定、判断の質、修正能力、他者との省察的対話をどう見える化するかが問われます。ここがない組織は、処理能力の高い人は集められても、複雑な課題に強い組織にはなりにくいです。

中途採用・ベテラン採用をどう見るべきか

この論点は、とくに中途採用やベテラン採用で重要です。年齢が上がると、どうしても「柔軟性があるか」「カルチャーフィットするか」という方向で見られがちです。もちろん、そこも大事です。ただし、それだけでは浅いです。

ベテランの価値は、単に年数を重ねたことではありません。どれだけ多くの状況を通り抜け、どれだけ見立てを修正し、どれだけ言語化可能な判断知へ変えてきたかにあります。年齢を見るなら、生年月日ではなく、判断の層の厚みを見るべきです。ここを見誤ると、組織は経験値をコスト扱いし、結局は高い授業料を現場で払い直すことになります。

まとめ

企業の人事が採用で本当に見るべきなのは、若さそのものではありません。資格の数や第一印象だけでもありません。見るべきは、その人がどのように状況を読み、どのように問題を定義し、どのように判断を修正してきたかです。

プロフェッショナルとは、一朝一夜で身につくものではありません。知識、失敗、修正、対話、経験の構造化。その積み重ねの中でしか育たない部分があります。だからこそ採用では、勢いだけではなく、判断の成熟を見ないといけない。ここを見抜ける人事は、単に人を採るのではなく、組織の未来の質を選んでいます。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF(参照用)
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf

省察的実践家とは何か――専門家・組織・実務の本質を1本で整理する

本記事で得られる3つのポイント

  • 「専門家」と「省察的実践者」の違いを、実務に引き寄せて理解できます。
  • ハードとソフト、マネジメント、組織学習、契約の論点を一本の流れで整理できます。
  • 中小企業経営、制作チーム運営、個人事業、AI活用へどう応用できるかが見えてきます。

なぜ重要か

AIや自動化が進むほど、単なる知識量や処理能力よりも、問いを見直し、状況に応じて判断を更新できる力のほうが、実務上の価値を持つようになるためです。

専門家は必要だが、それだけでは足りない

ドナルド・ショーンの議論で重要なのは、専門家を否定しているわけではないという点です。専門知識、理論、手順、資格、経験は、仕事の品質を支える土台です。医療、法務、会計、設計、映像制作、システム運用。どの領域でも、基礎のない勘だけの仕事は危うい。ここは外せません。

ただし、現実の案件は教科書どおりに整っていません。要件は途中で変わり、関係者の意図はずれ、顧客自身が本当の課題を言語化できていないこともあります。現場で本当に難しいのは、正解を当てること以前に、何を解くべきかを見極めることです。

ここで、単なる専門家と、省察的実践者の違いが出てきます。専門家は、既知の問題を安定して処理できる人です。これに対して省察的実践者は、行為しながら違和感に気づき、問題設定そのものを組み替えられる人です。

省察的実践者とは「やりながら問いを修正できる人」である

省察的実践者は、単に振り返る人ではありません。やりながら考え、ずれを感じ取り、状況に応じて見立てを更新できる人です。売上が落ちたときに、すぐ広告不足と決めない。制作物の品質がぶれたときに、すぐ担当者のスキル不足と決めない。AIの出力が弱いときに、すぐモデル性能のせいにしない。前提そのものを疑える。そこが強みです。

現場では、問題解決者より、問題設定者のほうが強い場面が少なくありません。問いを間違えたままでは、どれほど立派な答えでも全体として外れるからです。式はきれいでも、問題文が違っていれば意味がない。実務ではありがちな転び方です。

専門家は必要条件であり、省察的実践者は十分条件に近い存在といえます。専門知識がなければ品質は崩れます。しかし、専門知識だけでは重要な問題に届かない。長く信頼される人は、知っているだけでなく、ずれに気づき、考えながら修正できます。

ハードとソフト、そしてフォーマルモデル

ショーンの議論を実務へ引き寄せると、ハードとソフトの往復が見えてきます。ハードとは、数値、手順、仕様、締切、原価、工数、承認フロー、検証条件のように、第三者が見ても同じように扱いやすいものです。ハードの強みは再現性にあります。誰がやっても一定品質に近づける。仕組みに落とし込みやすい。AIや自動化とも相性がよい。ここは強いです。

一方のソフトは、意図、価値、文脈、意味づけ、違和感、関係性、暗黙の了解、役割のずれです。測りにくいですが、無視すると仕事の核心を外します。制作でいえば「良い作品とは何か」。営業でいえば「誰のどんな痛みを解くのか」。組織でいえば「本音を言える空気があるか」。こうしたものは手順書だけでは扱いきれません。

強い実務家は、ハードかソフトかの二択で動きません。ハードで整理し、ソフトで修正し、またハードに戻して共有可能な形に整えます。この往復ができる人が強い。厳密さと柔軟さは敵ではなく、厳密さがあるからこそ柔軟に見直せるし、柔軟に見直すからこそ厳密さの意味が生きます。

フォーマルモデルも、この文脈で理解すると位置づけがはっきりします。フォーマルモデルは、仕様、制約、判断条件、分岐、例外処理を明示し、共有と検証を可能にする器です。ただし、万能ではありません。モデル化する時点で、何を残し、何を捨てるかという抽象化が入るからです。フォーマルモデルは「骨格」を作る道具として使うのが最も堅実です。ハードな部分を固定し、そのうえでソフトな部分を別レイヤーで扱う。これが最も事故が少ない運用です。

高く堅い土地とぬかるみ

ショーンの比喩で特に印象的なのが、「高く堅い土地」と「ぬかるみ」です。高く堅い土地は、定義しやすく、分析しやすく、標準化しやすい問題領域です。ここでは手順や数値、ルールベースの判断が強く機能します。在庫管理、定型工程、既知の不具合対応、数値検証のはっきりした業務などが典型です。

一方で、現実に本当に重要な問題は、しばしばぬかるみにあります。顧客の不満が言語化されていない。組織内の対立が表面化していない。売上低下の原因が複数絡んでいる。制作の修正地獄が技術ではなく解釈ズレから来ている。こうした問題は、きれいな手順だけでは処理できません。

厄介なのは、ぬかるみの問題ほど、人間にとって重要だということです。高台にいれば整った問題は解けます。しかし、重要な問題がぬかるみにあるなら、そこに降りるしかない。実務で強いのは、この二つを行き来できる人です。数値と文脈、仕様と価値、手順と解釈。その往復が、ショーンの実践知の骨格です。

マネジメントのわざと組織学習

ショーンの議論は個人の熟達にとどまりません。マネジメント、組織学習、そして専門家と依頼者の契約関係にまで及びます。ここが実務的です。マネジメントは、単に計画を立て、資源を配分し、進捗を管理することではありません。現実のマネジャーは、外部環境の変化を読み、内部の異変を察知し、問題を再定義し、必要なら組織の前提そのものを問い直します。

この意味で、マネジメントは管理科学の適用だけではなく、かなりの部分が省察的な実践です。見えている数字の意味をどう読むか。どの異変を重く見るか。誰の声が欠けているか。こうした判断が中核になります。

組織学習についても同じです。個人が学んでも、それが組織に埋め込まれなければ、組織は学んでいません。会議の作法、報告の形式、異論の扱い、失敗の共有、暗黙の役割期待。これらが組織学習システムを形づくります。つまり、組織学習は研修制度の話ではなく、痛い事実を表に出せるか、前提を疑えるか、修正が仕組みに落ちるかという構造の問題です。

マネジメントの真価は「回す力」よりも「見直せる力」にあります。予定どおりに進めるだけなら、仕組みでもかなりできます。しかし、現場の違和感を拾い、問題設定を修正し、その修正を組織の知に変えるところに、マネジャーの価値があります。会議の多さではなく、学びの深さで組織を見る必要があります。

伝統的な契約と省察的な契約

ショーンの議論でもう一つ重要なのが、専門家と依頼者の関係です。伝統的な契約では、依頼者が問題を持ち込み、専門家が診断し、解決策を与えます。この構図は、速度、責任、標準化の面で強いです。定型案件や緊急対応には向いています。火が出ているのに哲学対話を始める必要はありません。まず消火です。

ただし、この関係には前提があります。依頼者が自分の問題を正しく持ち込める、という前提です。現実には、依頼者が持ち込むのは本当の問題そのものではなく、症状や表面化した困りごとであることが多い。ここで伝統的な契約だけで進むと、専門家は与えられた問いには正確に答えるが、問い自体がずれている、という事態が起こります。

省察的な契約では、専門家は一方的に答えを与える人ではありません。依頼者とともに、何が本当の問題かを探り、状況を読み、必要なら問題設定そのものを組み替えていきます。依頼者も単なる受け手ではなく、問いの共同参加者になります。

伝統的な契約は処理に強く、省察的な契約は変化に強い。この見方がもっとも使いやすい整理です。定型や緊急は伝統型、複雑で未定義な案件は省察型。この切り替えが大切です。ただし、現代の重要課題の多くは、省察的な契約なしでは深く解けないことも多い。これからの専門家は、答えを出す人であるだけでなく、よい問いとよい関係を設計できる人である必要があります。

実務への転用――中小企業経営・制作チーム・個人事業・AI運用

中小企業経営――数字の意味を見直す

中小企業経営では、売上、粗利、成約率、稼働率といった数字が重要です。ただし、省察的に見るなら、数字そのものより、数字の意味を問い直すことが重要です。売上が落ちたとき、すぐに集客不足と決めて広告費を積むのは危険です。本当の問題が、商品設計、価格の見せ方、既存顧客の維持、返信速度、営業トークのずれにあるかもしれないからです。経営における省察とは、結果を見て反応するだけでなく、その数字が何を示しているのかを再定義することです。

制作チーム運営――意図のズレを管理する

制作現場では、「修正が多い」「初稿が通らない」「納期が押す」といった問題がよく起きます。ここで工程表だけを厳しくしても、根本解決しないことが多い。なぜなら、本体は技術不足ではなく、意図共有の不足であることが多いからです。省察的な制作チームは、誰が悪いかより、どの前提がずれていたかを見ます。誰に何を感じてほしいのか、クライアントの成功とは何か、何を絶対に外してはいけないか。これらを案件ごとに明文化しておくと、修正は減り、修正が出ても意味のある修正になります。

個人事業の意思決定――行動量の前に、解くべき問題を絞る

個人事業者は、意思決定のスピードが速い一方で、外部の刺激に引っ張られやすいです。周りが始めたから始める、流行っているから乗る、売れそうだから増やす。これでは忙しくても、軸が弱くなります。省察的な個人事業の意思決定では、まず「これは何の問題を解こうとしているのか」を明確にします。収益の問題なのか、集客の問題なのか、単価の問題なのか、リピートの問題なのか、工数過多の問題なのか。これを分けずに動くと、努力量だけ増えて利益構造は改善しません。

AI活用のワークフロー管理――出力より、工程を設計する

AI活用で最も多い誤解は、AIを「答えを出す装置」としてだけ使うことです。しかし、複雑な仕事では、良い出力は良い工程設計からしか生まれません。記事制作なら、テーマ投下から一発生成ではなく、目的定義、読者設定、構成、本文、事実確認、独自視点、整形、最終確認と工程を分ける。映像制作なら、固定要素と可変要素を分ける。業務運用なら、入力仕様、評価仕様、例外処理を設計する。AI運用で差がつくのは、プロンプトの巧拙より、工程設計の精度です。

まとめ

ショーンの議論の核心は、プロフェッショナルとは単に知識を持つ人ではなく、状況と対話しながら問いを組み替えられる人だ、という一点にあります。無謬の人が強いのではありません。修正能力のある人が強い。現実はいつも少しずつずれているからです。

だから、専門家は必要です。しかし、省察的実践者まで到達して初めて、現実の複雑さに耐えられる。中小企業経営でも、制作チームでも、個人事業でも、AI運用でも、本当に差が出るのは「どう解くか」だけではなく、「何を解くべきか」を見抜けるかどうかです。そこに、これからの仕事の核心があります。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF(参照用)
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf