省察的実践家とは何か――専門家・組織・実務の本質を1本で整理する

本記事で得られる3つのポイント

  • 「専門家」と「省察的実践者」の違いを、実務に引き寄せて理解できます。
  • ハードとソフト、マネジメント、組織学習、契約の論点を一本の流れで整理できます。
  • 中小企業経営、制作チーム運営、個人事業、AI活用へどう応用できるかが見えてきます。

なぜ重要か

AIや自動化が進むほど、単なる知識量や処理能力よりも、問いを見直し、状況に応じて判断を更新できる力のほうが、実務上の価値を持つようになるためです。

専門家は必要だが、それだけでは足りない

ドナルド・ショーンの議論で重要なのは、専門家を否定しているわけではないという点です。専門知識、理論、手順、資格、経験は、仕事の品質を支える土台です。医療、法務、会計、設計、映像制作、システム運用。どの領域でも、基礎のない勘だけの仕事は危うい。ここは外せません。

ただし、現実の案件は教科書どおりに整っていません。要件は途中で変わり、関係者の意図はずれ、顧客自身が本当の課題を言語化できていないこともあります。現場で本当に難しいのは、正解を当てること以前に、何を解くべきかを見極めることです。

ここで、単なる専門家と、省察的実践者の違いが出てきます。専門家は、既知の問題を安定して処理できる人です。これに対して省察的実践者は、行為しながら違和感に気づき、問題設定そのものを組み替えられる人です。

省察的実践者とは「やりながら問いを修正できる人」である

省察的実践者は、単に振り返る人ではありません。やりながら考え、ずれを感じ取り、状況に応じて見立てを更新できる人です。売上が落ちたときに、すぐ広告不足と決めない。制作物の品質がぶれたときに、すぐ担当者のスキル不足と決めない。AIの出力が弱いときに、すぐモデル性能のせいにしない。前提そのものを疑える。そこが強みです。

現場では、問題解決者より、問題設定者のほうが強い場面が少なくありません。問いを間違えたままでは、どれほど立派な答えでも全体として外れるからです。式はきれいでも、問題文が違っていれば意味がない。実務ではありがちな転び方です。

専門家は必要条件であり、省察的実践者は十分条件に近い存在といえます。専門知識がなければ品質は崩れます。しかし、専門知識だけでは重要な問題に届かない。長く信頼される人は、知っているだけでなく、ずれに気づき、考えながら修正できます。

ハードとソフト、そしてフォーマルモデル

ショーンの議論を実務へ引き寄せると、ハードとソフトの往復が見えてきます。ハードとは、数値、手順、仕様、締切、原価、工数、承認フロー、検証条件のように、第三者が見ても同じように扱いやすいものです。ハードの強みは再現性にあります。誰がやっても一定品質に近づける。仕組みに落とし込みやすい。AIや自動化とも相性がよい。ここは強いです。

一方のソフトは、意図、価値、文脈、意味づけ、違和感、関係性、暗黙の了解、役割のずれです。測りにくいですが、無視すると仕事の核心を外します。制作でいえば「良い作品とは何か」。営業でいえば「誰のどんな痛みを解くのか」。組織でいえば「本音を言える空気があるか」。こうしたものは手順書だけでは扱いきれません。

強い実務家は、ハードかソフトかの二択で動きません。ハードで整理し、ソフトで修正し、またハードに戻して共有可能な形に整えます。この往復ができる人が強い。厳密さと柔軟さは敵ではなく、厳密さがあるからこそ柔軟に見直せるし、柔軟に見直すからこそ厳密さの意味が生きます。

フォーマルモデルも、この文脈で理解すると位置づけがはっきりします。フォーマルモデルは、仕様、制約、判断条件、分岐、例外処理を明示し、共有と検証を可能にする器です。ただし、万能ではありません。モデル化する時点で、何を残し、何を捨てるかという抽象化が入るからです。フォーマルモデルは「骨格」を作る道具として使うのが最も堅実です。ハードな部分を固定し、そのうえでソフトな部分を別レイヤーで扱う。これが最も事故が少ない運用です。

高く堅い土地とぬかるみ

ショーンの比喩で特に印象的なのが、「高く堅い土地」と「ぬかるみ」です。高く堅い土地は、定義しやすく、分析しやすく、標準化しやすい問題領域です。ここでは手順や数値、ルールベースの判断が強く機能します。在庫管理、定型工程、既知の不具合対応、数値検証のはっきりした業務などが典型です。

一方で、現実に本当に重要な問題は、しばしばぬかるみにあります。顧客の不満が言語化されていない。組織内の対立が表面化していない。売上低下の原因が複数絡んでいる。制作の修正地獄が技術ではなく解釈ズレから来ている。こうした問題は、きれいな手順だけでは処理できません。

厄介なのは、ぬかるみの問題ほど、人間にとって重要だということです。高台にいれば整った問題は解けます。しかし、重要な問題がぬかるみにあるなら、そこに降りるしかない。実務で強いのは、この二つを行き来できる人です。数値と文脈、仕様と価値、手順と解釈。その往復が、ショーンの実践知の骨格です。

マネジメントのわざと組織学習

ショーンの議論は個人の熟達にとどまりません。マネジメント、組織学習、そして専門家と依頼者の契約関係にまで及びます。ここが実務的です。マネジメントは、単に計画を立て、資源を配分し、進捗を管理することではありません。現実のマネジャーは、外部環境の変化を読み、内部の異変を察知し、問題を再定義し、必要なら組織の前提そのものを問い直します。

この意味で、マネジメントは管理科学の適用だけではなく、かなりの部分が省察的な実践です。見えている数字の意味をどう読むか。どの異変を重く見るか。誰の声が欠けているか。こうした判断が中核になります。

組織学習についても同じです。個人が学んでも、それが組織に埋め込まれなければ、組織は学んでいません。会議の作法、報告の形式、異論の扱い、失敗の共有、暗黙の役割期待。これらが組織学習システムを形づくります。つまり、組織学習は研修制度の話ではなく、痛い事実を表に出せるか、前提を疑えるか、修正が仕組みに落ちるかという構造の問題です。

マネジメントの真価は「回す力」よりも「見直せる力」にあります。予定どおりに進めるだけなら、仕組みでもかなりできます。しかし、現場の違和感を拾い、問題設定を修正し、その修正を組織の知に変えるところに、マネジャーの価値があります。会議の多さではなく、学びの深さで組織を見る必要があります。

伝統的な契約と省察的な契約

ショーンの議論でもう一つ重要なのが、専門家と依頼者の関係です。伝統的な契約では、依頼者が問題を持ち込み、専門家が診断し、解決策を与えます。この構図は、速度、責任、標準化の面で強いです。定型案件や緊急対応には向いています。火が出ているのに哲学対話を始める必要はありません。まず消火です。

ただし、この関係には前提があります。依頼者が自分の問題を正しく持ち込める、という前提です。現実には、依頼者が持ち込むのは本当の問題そのものではなく、症状や表面化した困りごとであることが多い。ここで伝統的な契約だけで進むと、専門家は与えられた問いには正確に答えるが、問い自体がずれている、という事態が起こります。

省察的な契約では、専門家は一方的に答えを与える人ではありません。依頼者とともに、何が本当の問題かを探り、状況を読み、必要なら問題設定そのものを組み替えていきます。依頼者も単なる受け手ではなく、問いの共同参加者になります。

伝統的な契約は処理に強く、省察的な契約は変化に強い。この見方がもっとも使いやすい整理です。定型や緊急は伝統型、複雑で未定義な案件は省察型。この切り替えが大切です。ただし、現代の重要課題の多くは、省察的な契約なしでは深く解けないことも多い。これからの専門家は、答えを出す人であるだけでなく、よい問いとよい関係を設計できる人である必要があります。

実務への転用――中小企業経営・制作チーム・個人事業・AI運用

中小企業経営――数字の意味を見直す

中小企業経営では、売上、粗利、成約率、稼働率といった数字が重要です。ただし、省察的に見るなら、数字そのものより、数字の意味を問い直すことが重要です。売上が落ちたとき、すぐに集客不足と決めて広告費を積むのは危険です。本当の問題が、商品設計、価格の見せ方、既存顧客の維持、返信速度、営業トークのずれにあるかもしれないからです。経営における省察とは、結果を見て反応するだけでなく、その数字が何を示しているのかを再定義することです。

制作チーム運営――意図のズレを管理する

制作現場では、「修正が多い」「初稿が通らない」「納期が押す」といった問題がよく起きます。ここで工程表だけを厳しくしても、根本解決しないことが多い。なぜなら、本体は技術不足ではなく、意図共有の不足であることが多いからです。省察的な制作チームは、誰が悪いかより、どの前提がずれていたかを見ます。誰に何を感じてほしいのか、クライアントの成功とは何か、何を絶対に外してはいけないか。これらを案件ごとに明文化しておくと、修正は減り、修正が出ても意味のある修正になります。

個人事業の意思決定――行動量の前に、解くべき問題を絞る

個人事業者は、意思決定のスピードが速い一方で、外部の刺激に引っ張られやすいです。周りが始めたから始める、流行っているから乗る、売れそうだから増やす。これでは忙しくても、軸が弱くなります。省察的な個人事業の意思決定では、まず「これは何の問題を解こうとしているのか」を明確にします。収益の問題なのか、集客の問題なのか、単価の問題なのか、リピートの問題なのか、工数過多の問題なのか。これを分けずに動くと、努力量だけ増えて利益構造は改善しません。

AI活用のワークフロー管理――出力より、工程を設計する

AI活用で最も多い誤解は、AIを「答えを出す装置」としてだけ使うことです。しかし、複雑な仕事では、良い出力は良い工程設計からしか生まれません。記事制作なら、テーマ投下から一発生成ではなく、目的定義、読者設定、構成、本文、事実確認、独自視点、整形、最終確認と工程を分ける。映像制作なら、固定要素と可変要素を分ける。業務運用なら、入力仕様、評価仕様、例外処理を設計する。AI運用で差がつくのは、プロンプトの巧拙より、工程設計の精度です。

まとめ

ショーンの議論の核心は、プロフェッショナルとは単に知識を持つ人ではなく、状況と対話しながら問いを組み替えられる人だ、という一点にあります。無謬の人が強いのではありません。修正能力のある人が強い。現実はいつも少しずつずれているからです。

だから、専門家は必要です。しかし、省察的実践者まで到達して初めて、現実の複雑さに耐えられる。中小企業経営でも、制作チームでも、個人事業でも、AI運用でも、本当に差が出るのは「どう解くか」だけではなく、「何を解くべきか」を見抜けるかどうかです。そこに、これからの仕事の核心があります。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF(参照用)
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf

週次サイバーセキュリティ動向(直近7日)

サイバーセキュリティ週報|2026/03/01–2026/03/07

直近1週間の最新情報一覧(重要度順)

日付(JST) 見出し 要点(1行) 出典URL
2026/03/06 CISA KEV:Hikvision(CVE-2017-7921)/Rockwell Automation(CVE-2021-22681)を追加(いずれもCVSS 9.8) 監視カメラ・産業制御(Studio 5000/RSLogix/Logix Controllers)に“既知悪用”が波及し、IT/OTの境界管理が同時に問われる。 https://thehackernews.com/2026/03/hikvision-and-rockwell-automation-cvss.html
2026/03/04 Android:Qualcommの既知悪用ゼロデイ(CVE-2026-21385)を含む3月セキュリティ修正 「限定・標的型」でも端末基盤の穴は横展開の入口になり得るため、MDMで強制アップデート可否の棚卸しが急務。 https://www.securityweek.com/android-update-patches-exploited-qualcomm-zero-day/
2026/03/04 VMware Aria Operations:コマンドインジェクション(CVE-2026-22719)が“悪用中” pre-authで到達する運用系(監視/管理)製品が狙われる典型で、露出面の遮断+緊急パッチが最優先。 https://www.securityweek.com/vmware-aria-operations-vulnerability-exploited-in-the-wild/
2026/03/05 Cisco Secure Firewall:クリティカル2件(CVE-2026-20079 / CVE-2026-20131、各CVSS 10.0)など大量修正 Web管理IF由来で“未認証→root”に至り得るため、パッチ即応+管理IFの非公開化(到達制御)が現実解。 https://www.csoonline.com/article/4141268/cisco-issues-emergency-patches-for-critical-firewall-vulnerabilities.html
2026/03/03 CISA:KEVに2件追加(アクティブ悪用根拠) KEV追加は「悪用済み」シグナルのため、CVSSより優先してSLAを短縮する運用が合理的。 https://www.cisa.gov/news-events/alerts/2026/03/03/cisa-adds-two-known-exploited-vulnerabilities-catalog
2026/03/05 CISA:KEVに5件追加(アクティブ悪用根拠) 追加対象が複数に拡大しており、週次の脆弱性対応を“KEV起点の定例化”へ寄せるべき局面。 https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog
2026/03/03 APT28:MSHTMLのゼロデイ(CVE-2026-21513、CVSS 8.8)をLNKで悪用 “ユーザー操作最小”の初期侵入が成立し得るため、LNK/添付経路の制御とEDR検知強化が有効。 https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html
2026/03/05 GTIG報告:企業向けソフトのゼロデイ悪用が高水準(2025年の追跡データ) “ゼロデイ前提”の備え(攻撃面縮小・ログ保全・迅速復旧)が、単純なパッチ追従より差を生む。 https://www.infosecurity-magazine.com/news/zero-day-enterprise-record-high/
2026/03/06 FreeScout:ゼロクリックRCE級の「Mail2Shell」懸念(運用系ヘルプデスクのリスク) サポート/チケット系は社内情報の集積点で、侵害されると横展開の踏み台になりやすい。 https://www.infosecurity-magazine.com/news/zeroclick-freescout-bug-remote/
2026/03/04 LexisNexis:データ侵害を確認(流出主張後に限定影響を説明) “情報サービス/法務系”は二次被害(なりすまし・詐欺)に直結し、通知・監視・認証強化が実務論点。 https://www.securityweek.com/new-lexisnexis-data-breach-confirmed-after-hackers-leak-files/
2026/03/03 University of Hawaiʻi Cancer Center:最大約120万人影響のデータ侵害(公表) 研究系インフラも標的化が進み、バックアップ隔離と特権ID管理の成熟度が被害を分ける。 https://www.securityweek.com/1-2-million-affected-by-university-of-hawaii-cancer-center-data-breach/
2026/03/07 KnowBe4:トレーニング/コンテンツ更新(2月分) 人起点の侵入(フィッシング/詐欺)は継続して主戦場で、教育・演習の“鮮度”が防御品質を左右する。 https://blog.knowbe4.com/your-knowbe4-fresh-content-updates-from-february-2026
2026/03/06 NICTER:ダークネット観測 Top10(日別・過去約3か月参照可) 国内観測の“いつもと違う増え方”を把握し、公開ポート/国別到達の運用閾値調整に使える。 https://www.nicter.jp/
2026/03/07 NVD:recent/modified データフィード(直近8日分の公開・更新CVEを収録) 自動トリアージ(資産DB突合→チケット起票)を回す“取り込み口”として、週次運用の土台になる。 https://nvd.nist.gov/vuln/data-feeds
2026/03/03 CVE.org:CVEプログラム運用レポート(Q4 2025) 脆弱性エコシステム(CNA/運用)の最新状況を押さえると、社内の脆弱性管理KPI設計がぶれにくい。 https://www.cve.org/Media/News/item/blog/2026/03/03/CVE-Program-Report-for-Q4-2025
2026/03/03 APWG:フィッシング動向レポート(トレンドレポートの入口) 音声/電話・SMSなど多チャネル化が進むため、メール偏重の対策から“本人確認/送信元信頼”へ重心を移すべき。 https://apwg.org/trendsreports

Trustworthy AI政策モニタリング

2026年3月7日時点:OECD・EU・韓国・カナダ・日本の現在地を読む

AIをめぐる政策議論は、抽象的な理念の段階から、制度設計・運用・監査の段階へと移っています。「Trustworthy AI」という言葉そのものを前面に出す国もあれば、「責任あるAI」「安全・安心なAI」「透明で公正な自動意思決定」といった表現で進める国もあります。ただし、共通しているのは、AIを単なる便利な技術として扱うのではなく、透明性、公平性、安全性、説明責任をどう制度へ落とし込むかが主戦場になっている点です。

Trustworthy AIは、もう理念だけでは済まない

本日時点で各国の動きを整理すると、Trustworthy AIは「望ましい価値観」の話から、「誰が責任を負うのか」「どのような説明を求めるのか」「いつから義務化されるのか」という運用設計の話へ移っています。各国で表現は異なりますが、AIの社会実装にあたり、信頼性・安全性・透明性・公正性・説明責任を制度として定着させようとする流れは明確です。

この全体像を横断的に把握する起点として、最も使いやすいのが OECD.AI です。OECD はAI原則を公表し、それを各国政策の比較に使える形で整理しています。各国の定義や施策をざっと見渡すには、まず OECD.AI を起点にし、その後に各国の公式サイトへ降りていく流れが実務的です。参照:OECD AI Principles(https://oecd.ai/en/ai-principles)OECD.AI Policy Observatory / National AI Policies(https://oecd.ai/en/dashboards/national)

OECDは各国比較の「座標軸」として有効

OECD の役割は、各国に直接義務を課すことではありません。むしろ、各国がAI政策を設計する際に参照しやすい共通の枠組みを示すことにあります。Trustworthy AI を単一の法律で定義するのではなく、共通原則として各国の制度設計に反映させるための座標軸として機能しています。

このため、「どの国がTrustworthy AIをどう定義しているのか」をざっと掴むには OECD.AI が最も見やすく、「その国が今どの段階にあるのか」を厳密に見るには、その先で各国官庁のページを読むのが正攻法です。政策監視の世界では、ここを飛ばしていきなり細部へ入ると、森を見ずに枝葉だけ追いかけることになりがちです。

EUは、理念をもっとも明確に制度へ押し込んだ

EUは Trustworthy AI をもっとも明確に制度化した法域です。2019年に公表された Ethics Guidelines for Trustworthy AI では、人間の主体性と監督、技術的堅牢性と安全性、プライバシーとデータガバナンス、透明性、多様性・非差別・公正性、社会・環境的福利、説明責任という7つの要件が整理されました。これは、AIの信頼性を単なる安全性や精度だけでなく、ガバナンス全体の束として捉えている点で重要です。参照:European Commission – Ethics guidelines for trustworthy AI(https://digital-strategy.ec.europa.eu/en/library/ethics-guidelines-trustworthy-ai)

その後、EUはこの理念を AI Act へ接続しました。AI Act は2024年8月1日に発効し、禁止AI慣行とAIリテラシー義務は2025年2月2日から、GPAI(汎用AI)関連の義務とガバナンス規則は2025年8月2日から、全面適用は2026年8月2日とされています。さらに、一部の高リスクAIシステムには2027年8月2日までの延長移行期間があります。EUの特徴は、理念を標語で終わらせず、適用日付きの制度へ落とし込んだところにあります。参照:European Commission – Regulatory framework proposal on artificial intelligence(https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)

本日時点では、EUは「法律を作って終わり」の段階ではありません。AI生成コンテンツの表示やラベリングに関する Code of Practice の整備など、事業者が実際にどう適合していくのかという実務設計が進んでいます。週次監視の対象として見るなら、EUは法そのものよりも、周辺ガイドライン、FAQ、実務コード、解釈文書の更新が非常に重要です。

韓国は、Trustworthinessを法制度の中心に据えた

韓国は、Trustworthy AI をかなり正面から法制度に組み込んでいます。科学技術情報通信部(MSIT)は、AI Basic Act を Basic Act on the Development of Artificial Intelligence and the Establishment of Foundation for Trustworthiness と位置付けており、2026年1月22日に施行されたと公表しています。法の名称レベルで「信頼の基盤」が明示されている点は、かなり特徴的です。参照:MSIT – Korea enforces AI Basic Act to become AI G3(https://www.msit.go.kr/eng/bbs/view.do%3Bjsessionid%3DZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng)

もっとも、韓国は単純な規制強化路線ではありません。産業競争力を損なわないように「minimum regulation principle」を掲げつつ、AI倫理、透明性、安全性、高影響AIに関する実務義務を整備する方向です。つまり、育成と統治の両方を同時に走らせている構造です。現在地としては、法の施行は済み、ここから下位法令、ガイドライン、解釈運用がどこまで具体化されるかが監視ポイントになります。

カナダは、公的部門の責任あるAI運用で先行している

カナダは、包括AI法よりも先に、政府利用の統制と透明化でTrustworthy AIを具体化しています。中核にあるのは Directive on Automated Decision-Making であり、政府部門で自動意思決定を利用する際に、透明性、説明責任、公平性を確保することを求めています。影響評価、透明性の確保、品質の維持、救済の余地といった要素が明確に組み込まれており、非常に行政実務寄りです。参照:Government of Canada – Guide on the Directive on Automated Decision-Making(https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/guide-scope-directive-automated-decision-making.html)

さらに、カナダ政府は「Responsible use of artificial intelligence in government」のページで、生成AIの日常利用ガイド、部局別責任、AI Register、AI Strategy for the Federal Public Service 2025-2027 への導線をまとめています。AI Register の公開は、公共部門におけるAI利用の可視化という意味で非常に大きい動きです。行政がどこでAIを使い、どのような用途なのかを見える化し始めたことは、Trustworthy AIの実装段階として評価できます。参照:Government of Canada – Responsible use of artificial intelligence in government(https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html)

監視対象として見ると、カナダの強みは「更新が見やすい」ことです。理念だけでなく、政府内部の運用ルール、登録制度、戦略文書が比較的追いやすく整理されているため、週次モニタリングとの相性が非常に良い国だといえます。

日本は、法の一本化よりも原則とガイドラインで固めている

日本は、EUのように包括AI法を前面に出しているわけではありません。土台にあるのは、2019年の「人間中心のAI社会原則」です。この文書では、AIの恩恵を最大化しながら負の影響を抑えるために、技術だけでなく、制度や社会全体をAI時代に対応させる必要があると整理されています。日本のTrustworthy AIは、まずこの人間中心原則から読み始めるのが筋です。参照:内閣官房 – 人間中心のAI社会原則(https://www.cas.go.jp/jp/seisaku/jinkouchinou/pdf/aigensoku.pdf)

実務面の中心にあるのが、経済産業省の「AI事業者ガイドライン」です。METIの検討会ページでは、第1.0版が2024年4月19日、第1.01版が2024年11月22日、第1.1版が2025年3月28日と明示されており、日本が改訂可能なガイドラインを積み上げながら、AIガバナンスを実務へ落とし込んでいることが分かります。参照:経済産業省 – AI事業者ガイドライン検討会(https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html)

加えて、政府内部のAI利活用に関しては、デジタル庁の「先進的AI利活用アドバイザリーボード」が重要です。ここでは「信頼できるAI」のあり方、ガバメントAIの推進、行政の進化と革新のための生成AI調達・利活用ガイドラインの改定方向などが議論されています。日本の現在地は、民間向けにはMETIのAI事業者ガイドライン、政府向けにはデジタル庁の調達・利活用ガイドラインという二層構造で運用を固めている段階です。参照:デジタル庁 – 先進的AI利活用アドバイザリーボード(https://www.digital.go.jp/councils/ai-advisory-board)

本日時点で、優先的に見るべき論点

本日時点で、もっとも実務インパクトが大きいのはEUです。AI Actの主要な適用節目がすでに始まっており、2026年8月2日の全面適用へ向けて、透明性義務、GPAI対応、コード・オブ・プラクティスの整備が続いています。週次監視では、EU側のガイドライン、ドラフト、FAQ、実務コードの更新をもっとも重視すべきです。

その次に注視すべきは韓国とカナダです。韓国は施行済み法の運用細則がどこまで明確になるか、カナダは公共部門における責任あるAI運用がどこまで定着し、公開情報として可視化されていくかがポイントです。

日本については、派手な法制ニュースよりも、METIのガイドライン改訂履歴、検討会資料、デジタル庁の会議資料更新を丁寧に追うほうが本質に近いと考えられます。日本の政策は、巨大な一発法よりも、会議体、指針、改定版、実証、調達ガイドの積み上げで進む傾向が強いためです。地味な改定履歴ほど、あとで効いてくる。政策の世界は、見出しの大きさより、更新履歴の静かな一行のほうが怖いのです。

まとめ

Trustworthy AIは、すでに理念だけの言葉ではありません。OECDは各国比較の座標軸を整え、EUは理念を義務へ変え、韓国は信頼性を法制度の中心へ置き、カナダは公共部門で責任あるAIを可視化し、日本は原則とガイドラインで実務運用を詰めています。国ごとにアプローチは異なりますが、共通しているのは、AIの信頼性を「誰かの善意」に任せず、制度と運用に変えようとしている点です。

だからこそ、今後の監視では「Trustworthy AIという言葉があるかどうか」だけでなく、「その国が何を義務化し、何をガイドラインにとどめ、何を実務へ落としたのか」を見ていく必要があります。その差分の積み重ねこそが、各国のAI政策の本当の現在地です。

出典

【MV】桜のフロア/ Sakura no Floor – Suno AI

ダンスもドローンも、まだ難しい。

顔・身長・体型がブレないようにプロンプトを詰めても、全カット一貫はまだ課題。

映像:Sora2/音楽:SunoAI「桜のフロア」

https://suno.com/s/Sh9AmzN2bCNdd4nq

Dance and drone shots are still tough.

Even with tight prompts to lock face/height/body shape, full consistency across every shot is still a challenge.

Video: Sora2 / Music: SunoAI “Sakura no Floor”

https://suno.com/s/Sh9AmzN2bCNdd4nq

#mv #sunoai #sora2 #ダンス #ミュージックビデオ

週次サイバーセキュリティ動向(直近7日)

日付見出し要点(1行)出典URL
2026/02/18CISA KEV:悪用中の4件を追加(Chrome/TeamT5 ThreatSonar/Zimbra/Windows ActiveX)CVE-2026-2441/CVE-2024-7694/CVE-2020-7796/CVE-2008-0015を「実際に悪用確認」としてカタログ追加。 https://thehackernews.com/2026/02/cisa-flags-four-security-flaws-under.html
2026/02/16Google Chrome:2026年最初の“悪用中”ゼロデイ(CVE-2026-2441)を修正Chrome 145系アップデートでCSSのUse-After-Free(CWE-416)を修正、早急な更新が必須。 https://www.securityweek.com/google-patches-first-actively-exploited-chrome-zero-day-of-2026/
2026/02/21NVD:CVE-2026-2441(Chrome)の詳細(CWE-416/参考リンク)NVD側でCVE詳細が更新され、影響範囲・参照(Chrome Release等)を確認可能。 https://nvd.nist.gov/vuln/detail/CVE-2026-2441
2026/02/20BeyondTrust:CVE-2026-1731がランサムウェア局面で悪用(KEV更新)BeyondTrust Remote Support/Privileged Remote Accessのpre-auth RCEが、ランサム展開前の足場として利用され得る。 https://www.securityweek.com/beyondtrust-vulnerability-exploited-in-ransomware-attacks/
2026/02/18Grandstream VoIP:CVE-2026-2329(CVSS 9.3)でroot権限RCE、通話傍受等のリスクGXP1600系に影響、平坦ネットワークでは“電話機が侵入の踏み台”になり得るためセグメント分離と更新が重要。 https://www.darkreading.com/threat-intelligence/grandstream-bug-voip-security-blind-spot
2026/02/19Dell RecoverPoint:CVE-2026-22769(CVSS 10.0)ゼロデイが長期悪用(UNC6201)ハードコード資格情報により未認証でroot級持続化の恐れ、影響環境は優先的に緊急対処。 https://www.securityweek.com/dell-recoverpoint-zero-day-exploited-by-chinese-cyberespionage-group/
2026/02/19Windows Admin Center:CVE-2026-26119(権限昇格)WACの認証不備によりネットワーク越しの権限昇格が成立し得るため、管理基盤の更新状況を点検。 https://thehackernews.com/2026/02/microsoft-patches-cve-2026-26119.html
2026/02/18M365狙い:OAuth 2.0デバイスコード(Device Authorization Grant)悪用でMFAを迂回するフィッシング正規フローを悪用してOutlook/Teams/OneDrive等のアカウント奪取を狙うため、条件付きアクセス等の統制が重要。 https://blog.knowbe4.com/uncovering-the-sophisticated-phishing-campaign-bypassing-m365-mfa
2026/02/19ICS/OT:脆弱性が過去最高水準(運用面の負債が顕在化)OT/ICSで脆弱性対応が追いつきにくい状況が示唆され、資産可視化・保全計画が優先課題。 https://www.infosecurity-magazine.com/news/industrial-control-system-vulns/
2026/02/16OWASP GenAI:MCP(Model Context Protocol)サーバのセキュア開発ガイド公開AIエージェント連携の“接続点”であるMCPを守る実装観点(入力検証・権限境界等)の整理として実務に有用。 https://genai.owasp.org/resource/a-practical-guide-for-secure-mcp-server-development/
2026/02/20NICTER:ダークネット観測Top10(国内観測の状況把握の起点)観測日を指定して、送信元国別ユニークホストや宛先ポート等の上位傾向を確認可能(過去3か月分)。 https://www.nicter.jp/
2026/02/17CVE.org:VestelがCVE Numbering Authority(CNA)に追加CVEエコシステム拡大の一環としてCNAが増加、製品領域によってはCVE公開・是正の速度に影響し得る。 https://www.cve.org/Media/News/item/news/2026/02/17/Vestel-Added-as-CNA

週次サイバーセキュリティ動向(直近7日)

週次サイバーセキュリティレポート(2026/02/22–2026/02/28)

対象期間:2026/02/22–2026/02/28(実行日の前日までの7日間)/重複排除:同一CVE・同一事案は一次情報(公式・KEV・主要メディア)を代表として統合

今週のサイバーセキュリティ動向 2026/02/22–2026/02/28 (JST)

今週の最新情報一覧(重要度順)

日付(JST) 見出し 要点(1行) 出典URL
2026/02/27 Cisco Catalyst SD-WANのゼロデイ(CVE-2026-20127, CVSS 10.0)—長期悪用の可能性 認証回避→管理者権限取得が可能で、UAT-8616として2023年からの悪用が示唆され、ネットワーク制御面の掌握リスクが高い。 https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
2026/02/25 Five EyesがCisco SD-WAN悪用に緊急指令(CVE-2026-20127) 「パッチ適用」だけでなく、侵害痕跡の収集・ハンティング・ハードニングまでを前提に対応が求められる。 https://www.csoonline.com/article/4137562/five-eyes-issue-emergency-directive-on-exploited-cisco-sd-wan-zero-day.html
2026/02/24 FileZenのOSコマンドインジェクション(CVE-2026-25108)—KEV追加・実害報告 ログイン後にHTTPリクエストで任意コマンド実行が可能(条件付き成立でも業務影響が大きく、優先対応が妥当)。 https://thehackernews.com/2026/02/cisa-confirms-active-exploitation-of.html
2026/02/23 Ivanti EPMMのゼロデイ2件(CVE-2026-1281 / CVE-2026-1340, 各CVSS 9.8)悪用 MDM基盤を無認証で掌握され得るため、パッチだけでなく侵害判定・再構築・鍵/トークン/証明書ローテーションが論点。 https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html
2026/02/27 Juniper PTX(Junos OS Evolved)のクリティカル脆弱性(CVE-2026-21902) 未認証・ネットワーク到達でRCE(root)に至り得るとして、コア機器の保守窓/迂回計画と直結。 https://www.securityweek.com/juniper-networks-ptx-routers-affected-by-critical-vulnerability/
2026/02/27 FreePBX(Sangoma)にWebシェル感染が残存(CVE-2025-64328, CVSS 8.6) 既知のコマンドインジェクション経由で侵害が継続し、PBXが横展開の踏み台になりやすい(棚卸・更新・到達制御が鍵)。 https://www.securityweek.com/900-sangoma-freepbx-instances-infected-with-web-shells/
2026/02/27 ManoManoで最大3,800万人規模の情報流出疑い(Zendesk起点) サポート基盤(SaaS)侵害はID連携・監査ログ・データエクスポート監視の“運用品質”が被害差を生む。 https://www.securityweek.com/38-million-allegedly-impacted-by-manomano-data-breach/
2026/02/27 Kratos(Phishing-as-a-Service)によるフィッシング産業化 低スキルでも多国展開できる“運用基盤化”が進み、メール訓練だけでなくトークン/セッション防御が主戦場に。 https://blog.knowbe4.com/the-rise-of-kratos-how-the-new-phishing-as-a-service-kit-industrializes-cybercrime
2026/02/25 MITREがATT&CK Advisory Councilを設立(運営の持続性強化) ATT&CKの長期運用とガバナンス強化の動きで、脅威ベース運用(検知・演習・投資判断)の参照基盤に影響。 https://www.mitre.org/news-insights/news-release/mitre-forms-attack-advisory-council-strengthens-long-term-stewardship
2026/02/28 NVD:CVE-Recent/Modified データフィード(直近8日分の取り込み口) 最近公開/更新されたCVEを機械取り込みでき、社内トリアージ自動化(資産DB→チケット起票)の起点として有効。 https://nvd.nist.gov/vuln/data-feeds
2026/02/28 NICTER(ダークネット観測)Top10(参照) 国内観測の上位傾向を、境界防御・ブロック運用・異常増加の早期検知(閾値)に利用可能。 https://www.nicter.jp/

日本人読者向けの週次解説

今週のハイライト

今週の最優先は、ネットワーク制御面を直撃する Cisco Catalyst SD-WAN(CVE-2026-20127, CVSS 10.0) と、
国内影響が現実的な FileZen(CVE-2026-25108)、そしてモバイル統制の根幹に触る Ivanti EPMM(CVE-2026-1281 / CVE-2026-1340) です。
“侵害されると復旧が難しい基盤”から優先して止血するのが合理的です。

出典:
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
https://thehackernews.com/2026/02/cisa-confirms-active-exploitation-of.html
https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html

重大脆弱性とパッチ情報

CVSSの高さだけでなく「外部露出」「pre-auth」「ネットワーク制御面」の3点で優先順位が決まります。
SD-WAN/PTXのような基盤機器は、パッチ適用に保守窓が必要な一方、放置コストが極端に高いカテゴリです。

出典:
https://www.securityweek.com/juniper-networks-ptx-routers-affected-by-critical-vulnerability/
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html

インシデント・データ侵害

SaaS(Zendesk等)のサポート基盤は、顧客情報・やり取り・添付ファイルなどが集約されやすく、侵害時の“情報価値”が高い領域です。
管理者MFA/SSO強制、監査ログ保全、データエクスポート監視(大量DL・不審IP)を標準運用に格上げしてください。

出典:
https://www.securityweek.com/38-million-allegedly-impacted-by-manomano-data-breach/

フィッシング・ソーシャルエンジニアリング

KratosのようなPhaaSは、巧妙さよりも“量と運用”で勝ちに来ます。対策は訓練に加え、条件付きアクセス、トークン保護、セッション異常検知など
ID防御を中心に再設計するのが費用対効果の高い方向です。

出典:
https://blog.knowbe4.com/the-rise-of-kratos-how-the-new-phishing-as-a-service-kit-industrializes-cybercrime

政策・基準・フレームワーク動向

MITRE ATT&CKの運営持続性強化は、脅威インテリジェンスやSOC運用の“共通言語”の安定化につながります。併せて、NVDフィード(CVE-Recent/Modified)は
週次・日次の脆弱性トリアージ自動化の定番導線として活用価値が高いです。

出典:
https://www.mitre.org/news-insights/news-release/mitre-forms-attack-advisory-council-strengthens-long-term-stewardship
https://nvd.nist.gov/vuln/data-feeds

国内視点の影響

NICTERの観測傾向は“地合い”を掴むのに有用です。週次運用では、公開IP/公開ポートの変更と突合し、不要公開の削除・WAF/IPS適用・レート制御などの
具体的な運用へ落とし込むと効果が出ます。

出典:
https://www.nicter.jp/

今すぐやるべきこと

  • Cisco SD-WAN:該当バージョン棚卸し → 緊急パッチ → 侵害前提のログ/設定差分点検。
  • Ivanti EPMM:外部露出確認 → パッチ → 必要なら再構築+証明書/トークン/管理者資格情報のローテーション。
  • FreePBX:更新状況監査+Webシェル点検 → 管理画面の到達制御(社内/VPN/許可IP)。
  • SaaSサポート基盤:SSO/MFA強制、監査ログ保全、データエクスポート監視(大量DL・不審IP)。

出典:
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html
https://www.securityweek.com/900-sangoma-freepbx-instances-infected-with-web-shells/

中長期対策

  • 公開面の最小化:SD-WAN/MDM/PBXなど管理面は原則インターネット非公開(例外は申請制)。
  • KEVドリブンの優先順位:CVSSより「KEV掲載+資産重要度+露出」でSLAを決定。
  • 脆弱性情報の自動取り込み:NVD recent/modified → 資産DB突合 → 影響判定 → チケット自動起票を定例化。

出典:
https://nvd.nist.gov/vuln/data-feeds

付録:CISA KEV / NVD “recent” 観点で実運用に影響大

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか(続き)

インターネットが世界を変えた年代史(続編)

※本稿は「産業・市場」と「生活インフラ(教育・医療・行政・決済)」に絞って、**“何が生まれ、何が弱体化・消滅し、政治・社会にどう波及したか”**を年代別に整理します。


産業・市場編(広告/メディア/小売・EC/金融)

変化の骨格(分析)

インターネットが産業に与えたインパクトを一言で言うなら、**「流通コストと探索コストを潰し、情報の非対称性を再配置した」**です。結果として、

  • 価値の源泉が「工場・店舗」から「データ・ネットワーク・規模の経済」へ移動
  • 収益モデルが「販売」から「広告」「手数料」「サブスク」「金融(決済・与信)」へ多層化
  • 市場構造が「多社分散」から「少数のプラットフォーム集中」へ寄りやすい

…という流れが、ほぼ全業界に波及しました。UNCTADは(定義上の差異はあるものの)**グローバルeコマース売上を2019年で約26.7兆ドル(世界GDPの約30%)**と推計しています。


年代別一覧表(産業・市場)

年代新しく生まれたもの(代表)弱体化・消滅が進んだもの(代表)“データで見える”構造変化(代表指標)政治・社会への波及(要点)
1990年代商用インターネット、ポータル、検索、バナー広告、初期EC、電子決済の萌芽紙カタログ依存の情報流通、地域独占の情報仲介(徐々に)(この時期は統計整備が途上)規制が追いつかないまま「通信×放送×出版」の境界が溶け始める
2000年代検索連動広告、比較サイト、ECの本格化、ネット専業の出店モデル一部の中間流通(“探す”価値で食っていた層)、紙媒体広告の伸び悩み「広告=配信して終わり」から「計測・最適化」へ(ROIの可視化が標準化)“データ優位”の競争が始まり、個人情報保護・競争政策が論点化
2010年代スマホ×SNS広告、アプリ経済、D2C、サブスク、シェアリング/ギグの商用化紙の求人・紙の折込・新聞広告の収益基盤(急速に)米国では2010年にオンライン広告収入が新聞(紙)広告を上回る見通しが示され、広告の主戦場が転換。世論形成が「放送中心」から「プラットフォーム中心」へ移り、情報操作・分断が政策課題に
2020年代生成AI、ライブコマース、物流最適化、フィンテック深化、CBDC検討の拡大“現金・対面前提”の業務プロセス、非効率な紙手続き(急速に是正圧力)デジタル広告:2024年の米国インタラクティブ広告収益は約2,590億ドル(前年比+14.9%)。 / 小売EC比率:米国で2025年Q3は総小売の16.4%。 / ビジネスeコマース:UNCTADは2022年を約27兆ドルと示す。“デジタル前提”が社会の標準となり、競争政策(寡占)・税制・労働政策(プラットフォーム就労)・通貨制度(CBDC)が同時並行で再設計される

生活インフラ編(教育/医療/行政/デジタルID/決済)

変化の骨格(分析)

ここはビジネス以上に「逃げ場がない」領域です。生活インフラは、一度デジタル化が進むと**“戻すコスト”が高い**ため、制度・規格・監査(アカウンタビリティ)まで含めて固定化されます。


年代別一覧表(生活インフラ)

年代新しく生まれたもの(代表)弱体化・消滅が進んだもの(代表)“データで見える”構造変化(代表指標)政治・社会への波及(要点)
1990年代学術ネット、電子メール、行政の情報公開サイト(初期)、遠隔教育の萌芽情報取得が“窓口・紙”に限定される前提(徐々に崩れる)(この時期は普及率の伸長期)政府の情報発信が「紙→Web」へ。透明性の期待値が上がる
2000年代電子申請、オンラインバンキング、eラーニング普及、医療IT(電子カルテ等)“窓口稼働=サービス”という発想(効率化圧力)デジタル決済・口座利用が拡大(国により差)行政サービスが“受付処理産業”から“デジタル運用”へ転換し始める
2010年代スマホ本人確認、電子署名、オンライン診療の制度整備(各国差)、クラウド行政現金前提の生活設計、紙の本人確認運用(部分的に)途上国でのデジタル決済:World Bank Findexにより、途上国でデジタル決済を行う成人比率は**2014年35%→2021年57%**に上昇。金融包摂が進む一方、監視・プライバシー・データ主権が政治テーマ化
2020年代大規模リモート教育、遠隔医療の急拡大、デジタルガバメントの成熟、CBDC検討の一般化“対面必須”の慣行、紙の通院・受講・申請(例外を除き縮小)教育:COVID-19のピーク時に190か国超で16億人超の学習者が休校影響。 / 遠隔医療:OECD報告で、例としてノルウェーは2020年1月約4.3万件→3月約47万件(10倍超)、ベルギーは2020年3月だけで120万件超など、急拡大が示される。 / CBDC:BISの2024年調査(2025年公表)で、調査対象93中銀の91%がCBDC(リテール/ホールセール)を検討。 / デジタル政府:UN E-Government Survey 2024で、EGDIの世界平均が2022年0.6102→2024年0.6382と上昇。危機(パンデミック)が“強制デジタル化”のスイッチになり、制度が一段階アップグレード。代わりに、デジタル弱者・地域格差・監査負荷が新しい社会コストとして顕在化

主要参照データ(URL一覧)〔追加分〕

UNCTAD「Global e-commerce jumps to $26.7 trillion…(COVID-19でオンライン販売が拡大:ニュース)」
https://unctad.org/news/global-e-commerce-jumps-267-trillion-covid-19-boosts-online-sales

UNCTAD「Digital Economy Report 2024(デジタル経済レポート)」
https://unctad.org/publication/digital-economy-report-2024

U.S. Census Bureau「Quarterly Retail E-Commerce Sales(米国:四半期EC売上統計)」
https://www.census.gov/retail/ecommerce.html

IAB「Internet Advertising Revenue Report: Full Year 2024(年次デジタル広告収益)」
https://www.iab.com/insights/internet-advertising-revenue-report-full-year-2024/

IAB「Internet Advertising Revenue Report: Full Year 2024(PDF直リンク)
https://www.iab.com/wp-content/uploads/2025/04/IAB_PwC-Internet-Ad-Revenue-Report-Full-Year-2024.pdf

Pew Research Center「State of the News Media 2011(年次:ニュース産業の包括レビュー)」
https://www.pewresearch.org/2011/03/14/state-of-the-news-media-2011/

World Bank「Global Findex Database 2021:Chapter 2(口座利用などの要点ブリーフ)」
https://www.worldbank.org/en/publication/globalfindex/brief/the-global-findex-database-2021-chapter-2-use-of-accounts

UNESCO「One year into COVID-19 education disruption(教育の混乱:1年時点の整理)」
https://www.unesco.org/en/articles/one-year-covid-19-education-disruption-where-do-we-stand

OECD「The COVID-19 Pandemic and the Future of Telemedicine(テレメディシンの展望:PDF)」
https://www.oecd.org/content/dam/oecd/en/publications/reports/2023/01/the-covid-19-pandemic-and-the-future-of-telemedicine_1c878192/ac8b0a27-en.pdf

BIS「BIS Paper 159:CBDC/暗号資産に関する2024年サーベイ結果」
https://www.bis.org/publ/bppdf/bispap159.htm

UN DESA「E-Government Survey 2024(電子政府サーベイ:PDF、Web version)」
https://desapublications.un.org/sites/default/files/publications/2024-09/%28Web%20version%29%20E-Government%20Survey%202024%201392024.pdf