カテゴリー: Business

今週のサイバーセキュリティ動向 対象期間（JST）：2026/03/22–2026/03/28

by 塚井海地 / 0件のコメント

本記事で得られる3つのポイント

  • 今週、優先して塞ぐべき脆弱性とサプライチェーン事案の全体像
  • 日本企業で影響が大きい製造業・境界機器・AI/開発基盤・対人欺罔の論点
  • 今すぐ打つべき短期対策と、四半期単位で進めるべき中長期対策

なぜ重要か：今週は、公開管理面、開発パイプライン、AIワークフロー、人間系の侵入口が同時に叩かれた週でした。便利な基盤ほど権限が集まりやすく、侵害されると後処理が重くなります。

今週のハイライト

  • PTC Windchill / FlexPLM の CVE-2026-4681 は未認証RCEで、独警察が直接警告に動くほど緊急度が高い案件でした。
  • Langflow の CVE-2026-33017 は CVSS 9.8、公開後短時間で悪用され、CISA KEV に追加されました。
  • Trivy の CVE-2026-33634 は、脆弱性というより サプライチェーン侵害 として理解すべき案件で、秘密情報の全面ローテーションが前提です。
  • F5 BIG-IP の CVE-2025-53521 は KEV 追加により、境界装置の即時棚卸し対象となりました。
  • LiteLLM の PyPI 汚染、LangChain / LangGraph の情報漏えいリスクなど、AI/開発基盤まわりの実害が増えています。
  • ClickFix、AiTM、vishing が人間側の侵入口として存在感を増しており、メール訓練だけでは守り切れません。

出典：https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/ https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/ https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html

主要トピック一覧

日付(JST) 見出し 要点（1行） 出典URL
2026/03/27 PTC Windchill / FlexPLM の CVE-2026-4681 に緊急警戒 未認証RCEで、独警察が直接警告に動くほど緊急性が高い。 https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/
2026/03/26 Langflow の CVE-2026-33017 が実悪用、KEV追加 公開後短時間で武器化され、AIワークフロー基盤の未認証RCEとして注意度が高い。 https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack
2026/03/26 CISA が Trivy の CVE-2026-33634 を KEV 追加 セキュリティスキャナ自体の改ざんが、CI/CD と秘密情報流出へ直結する。 https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog
2026/03/27 CISA が F5 BIG-IP の CVE-2025-53521 を KEV 追加 境界装置RCEとして、外部公開環境は優先点検が必要。 https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog
2026/03/24 Trivy サプライチェーン侵害が 1,000超の SaaS 環境へ波及可能性 侵害影響は単体ツールにとどまらず、クラウド認証情報の拡散に発展し得る。 https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html
2026/03/25 LiteLLM 1.82.7 / 1.82.8 に悪性コード混入 PyPI汚染により資格情報窃取、Kubernetes横展開、永続化が狙われた。 https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/
2026/03/27 LangChain / LangGraph に情報漏えいリスク ファイル、環境変数、会話履歴、DB情報が抜かれ得る設計上の弱点が示された。 https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html
2026/03/25 Citrix NetScaler の重大脆弱性 2件に即時パッチ推奨 ADC / Gateway の公開面に関わるため、境界構成では優先度が高い。 https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/
2026/03/26 BIND の高深刻度不具合 4件を修正 細工したドメインによりメモリリークや OOM を誘発し得る。 https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/
2026/03/25 Apple が iOS / macOS 26.4 系更新を展開 旧版向けも含め広範な修正が実施され、端末管理側の確認が必要。 https://www.securityweek.com/ios-macos-26-4-roll-out-with-fresh-security-updates/
2026/03/27 欧州委員会のWeb基盤側でデータ流出 公開Web基盤や周辺インフラ侵害が、本体組織の信用毀損へ直結した。 https://www.csoonline.com/article/4151363/european-commission-data-stolen-in-a-cyberattack-on-the-infrastructure-hosting-its-web-sites.html
2026/03/28 ClickFix が macOS に Infiniti Stealer を投下 偽CAPTCHAからBash実行へ誘導し、ユーザー自身に侵入を完了させる手口が続く。 https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/
2026/03/27 TikTok for Business を狙う AiTM フィッシング 業務用SNSアカウントも、MFAを越えてセッションを奪われる対象になっている。 https://www.infosecurity-magazine.com/news/phishing-targets-tiktok-for/
2026/03/23 M-Trends 2026：攻撃高速化と recovery denial が進行 侵害後にバックアップやID基盤を壊し、復旧そのものを妨げる流れが強まっている。 https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html
2026/03/26 Palo Alto Networks 採用担当者になりすます詐欺 ブランド信頼を使った長期型の求人詐欺で、採用・転職文脈が狙われている。 https://www.darkreading.com/cyberattacks-data-breaches/phishers-pose-palo-alto-networks-recruiters-job-scam
2026/03/28 イラン連動ハクティビズムの破壊型攻撃が継続 個人メール侵害とワイパー型攻撃が重なり、地政学イベントとの連動性が高い。 https://thehackernews.com/2026/03/iran-linked-hackers-breach-fbi.html

重大脆弱性とパッチ情報

PTC Windchill / FlexPLM：CVE-2026-4681

CVE-2026-4681 は、PTC Windchill と PTC FlexPLM に影響する未認証RCEです。論点は CVSS の高さだけでなく、製造業・設計変更管理・サプライヤ連携の中枢に刺さることです。業務データ、設計データ、変更履歴がまとまっているPLM基盤は、侵害されると後片付けがかなり重くなります。目立たないが止まると困る基盤ほど、攻撃者はよく見ています。

出典：https://www.securityweek.com/cisa-flags-critical-ptc-vulnerability-that-had-german-police-mobilized/ https://nvd.nist.gov/vuln/detail/CVE-2026-4681 https://www.cisa.gov/news-events/ics-advisories/icsa-26-085-03

Langflow：CVE-2026-33017

Langflow の CVE-2026-33017 は、公開フロー用の未認証エンドポイントが攻撃者入力を exec() に渡してしまう問題です。AIワークフロー基盤は便利ですが、APIキー、モデル接続情報、業務データ、実行権限が集まりやすく、侵害時の被害が広がりやすい。公開から短時間で悪用された点も、今後のAI基盤の標準リスクになりそうです。

出典：https://www.darkreading.com/vulnerabilities-threats/critical-flaw-langflow-ai-platform-under-attack https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://www.cve.org/CVERecord?id=CVE-2026-33017 https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog

Trivy：CVE-2026-33634

Trivy の CVE-2026-33634 は、通常の製品バグというより、リリースパイプラインの乗っ取りです。悪性バージョンや GitHub Actions のタグ改ざんにより、秘密情報窃取へ発展し得ます。ここで重要なのは、パッチだけでは終わらないことです。トークン、PAT、クラウド認証情報、CI変数、Kubernetes Secret の全面ローテーションまでやって、ようやく入口に立てます。

出典：https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2026-33634 https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html

F5 BIG-IP：CVE-2025-53521

F5 BIG-IP の CVE-2025-53521 は、境界装置としての性質上、業務影響が非常に重い案件です。NVD の更新でも説明が RCE に明確化され、CISA KEV 追加で優先度が一段上がりました。境界機器は、止めると困るので後回しにされがちですが、そこが一番困ることになる場所でもあります。

出典：https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2025-53521

その他の重要更新

Citrix NetScaler、BIND、Apple iOS / macOS 26.4 も、公開面や管理対象端末に関わるため、棚卸し優先度が高い更新です。どれも派手な見出しより、「自社で使っているか」「外に見えているか」で重みが決まる案件です。

出典：https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/ https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/ https://www.securityweek.com/ios-macos-26-4-roll-out-with-fresh-security-updates/

インシデント・データ侵害

Trivy 起点のSaaS波及

Trivy の事案は、単なる1製品の問題ではなく、SaaS、CI/CD、クラウド認証の連鎖に広がる構図が厄介です。セキュリティツールが侵入口になるのは、なかなか皮肉ですが、権限と信頼を持つツールほど被害が拡大しやすいのも事実です。

出典：https://www.csoonline.com/article/4149938/trivy-supply-chain-breach-compromises-over-1000-saas-environments-lapsus-joins-the-extortion-wave.html

欧州委員会のWeb基盤側侵害

欧州委員会の事案は、本体組織のアプリだけでなく、そのWeb基盤やホスティング基盤が狙われることを示しています。公開サイト周辺は「広報領域だから本丸ではない」と思われがちですが、実際には認証情報、設定情報、更新経路、対外信用の交点です。

出典：https://www.csoonline.com/article/4151363/european-commission-data-stolen-in-a-cyberattack-on-the-infrastructure-hosting-its-web-sites.html

地政学連動の破壊型攻撃

イラン連動ハクティビズムの文脈では、個人メール侵害とワイパー型の破壊行為が並行しています。ニュースとしては派手ですが、実務上は「政治・外交・軍事の緊張が高まると、便乗型の破壊攻撃や情報公開が増える」という昔からの流れの延長です。

出典：https://thehackernews.com/2026/03/iran-linked-hackers-breach-fbi.html

フィッシング・ソーシャルエンジニアリング

ClickFix は「自分で押させる」攻撃

ClickFix は、偽CAPTCHAや修復指示を使い、ユーザー自身にコマンドやスクリプトを実行させます。技術的には複雑でなくても、現場ではかなり強い。操作説明が丁寧な攻撃は、だいたい危ないです。

出典：https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

AiTM と業務用SNSの乗っ取り

TikTok for Business を狙う AiTM は、広告運用・SNS運用・ブランド広報を持つ組織には軽視しづらい案件です。セッションを奪われると、MFAがあっても防ぎ切れません。業務用SNSはマーケティングの道具ですが、攻撃者から見ると決済・広告・ブランド信頼の入口でもあります。

出典：https://www.infosecurity-magazine.com/news/phishing-targets-tiktok-for/

vishing と採用詐欺

M-Trends 2026 では、voice phishing の存在感が上がり、採用担当者や転職文脈を使う詐欺も続いています。メールだけ訓練しても、電話、チャット、求人、SNSまで対策しなければ穴が残ります。詐欺師も、なかなかマルチチャネルです。

出典：https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html https://www.darkreading.com/cyberattacks-data-breaches/phishers-pose-palo-alto-networks-recruiters-job-scam https://www.apwg.org/blog/apwg-q1-report-phone-based-phishing-grows-explosively-shifting-the-cybercrime-threatscape

政策・基準・フレームワーク動向

今週、実務で一番効くのは、やはり CISA KEV の更新です。Langflow、Trivy、F5 BIG-IP が連日追加され、守る側に優先順位変更を迫りました。一方で、MITRE ATT&CK は公開更新としては 2025年10月版が最新で、今週の優先度判断は新しいマトリクス改訂より、KEV と NVD recent / modified を中心に組む方が実務的です。

出典：https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://attack.mitre.org/resources/updates/

OWASP 側では、今週の急報というより、Agentic AI と GenAI Data Security の運用指針が継続的に補強されています。AIを本番利用する企業では、従来の Web / API の脆弱性管理に加え、ツール権限、プロンプト境界、秘密情報の扱いまで管理対象に含める必要があります。

出典：https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/ https://genai.owasp.org/event/rsac-conference-2026-owasp-ai-security-summit-safeguarding-genai-agents-autonomous-ai-risk-2026/

国内視点の影響

日本企業への影響はかなり直接的です。製造業 では PTC Windchill / FlexPLM、境界機器 では F5 / Citrix / DNS、AI / 開発部門 では Langflow / LangChain / LiteLLM / Trivy、広報・採用・広告運用 では AiTM / ClickFix / 求人詐欺が効いてきます。海外ニュースの顔をしていますが、実態は国内の現場そのものです。

出典：https://www.cisa.gov/news-events/ics-advisories/icsa-26-085-03 https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://thehackernews.com/2026/03/langchain-langgraph-flaws-expose-files.html https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

NICTER については、対象期間内に「直ちに運用優先度を変える新規緊急注意喚起」は確認しにくく、今回の判断軸は KEV、NVD recent、ベンダー更新、サプライチェーン侵害の4点に寄せるのが妥当です。観測データ自体は継続的に更新されていますが、今週の主戦場は別にありました。

出典：https://www.nicter.jp/ https://www.nict.go.jp/

今すぐやるべきこと

  1. KEV追加3件（Langflow、Trivy、F5 BIG-IP）の有無を CMDB、SBOM、リポジトリ、CI/CD、公開資産一覧で横断確認する。
  2. Trivy / LiteLLM の影響バージョンを使っていた場合、トークン、PAT、クラウドキー、Kubernetes Secret、CI変数を一括ローテーションする。
  3. PTC / F5 / Citrix / BIND の外部公開状況を棚卸しし、修正版適用と管理面の到達制限を急ぐ。
  4. Langflow / LangChain / LangGraph の外部公開、権限境界、秘密情報注入方式を点検する。
  5. 現場向けに、偽CAPTCHA、電話でMFA承認を急がせる連絡、採用担当を名乗る接触 の3類型を即日通知する。
  6. Apple 管理端末の更新適用状況を確認し、旧版向けも含めて未更新端末を洗い出す。

出典：https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://www.infosecurity-magazine.com/news/teampcp-litellm-pypi-supply-chain/ https://www.securityweek.com/cloudflare-themed-clickfix-attack-drops-infiniti-stealer-on-macs/

中長期対策

  1. 脆弱性管理を「公開資産中心」から「業務影響中心」へ再設計し、PLM、CI/CD、SaaS、AI基盤を本番同等で扱う。
  2. サプライチェーン防御として、SBOM、署名確認、mutable tag 回避、依存関係監査、秘密情報分離を標準化する。
  3. AI利用の社内基準を整備し、エージェント権限、ツール接続、モデル入力、出力先の境界を明文化する。
  4. 認証防御をメール中心の訓練から、vishing、AiTM、セッション防御、フィッシング耐性MFAへ拡張する。
  5. 復旧設計を見直し、バックアップ、ID基盤、CI/CD、Secrets 管理を recovery denial 耐性の観点で再点検する。

出典：https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/ https://attack.mitre.org/resources/updates/ https://www.csoonline.com/article/4148705/faster-attacks-and-recovery-denial-ransomware-reshape-threat-landscape.html https://blog.knowbe4.com/best-practices-for-implementing-ai-agents

CISA KEV と NVD “recent/modified” の観点で実運用に影響が大きい項目

  • CVE-2026-33017（Langflow Code Injection）— 2026/03/25 に KEV 追加。AIワークフロー基盤の未認証RCEとして優先度が高い。
  • CVE-2026-33634（Aqua Security Trivy Embedded Malicious Code）— 2026/03/26 に KEV 追加。製品脆弱性というよりサプライチェーン侵害として扱うべき。
  • CVE-2025-53521（F5 BIG-IP RCE）— 2026/03/27 に KEV 追加。境界装置であるため、業務影響が一段重い。
  • CVE-2026-4681（PTC Windchill / FlexPLM）— NVD 公開と ICS Advisory を受け、製造業・PLM利用企業では即棚卸し対象。
  • CVE-2026-3055（Citrix NetScaler ADC / Gateway）— 境界面に関わるため、公開構成では優先パッチ対象。
  • CVE-2026-3104（BIND）— DNS インフラの安定性へ影響するため、公開DNS / 再帰DNS 運用では確認価値が高い。

出典：https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/26/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/03/27/cisa-adds-one-known-exploited-vulnerability-catalog https://nvd.nist.gov/vuln/detail/CVE-2026-33017 https://nvd.nist.gov/vuln/detail/CVE-2026-33634 https://nvd.nist.gov/vuln/detail/CVE-2025-53521 https://nvd.nist.gov/vuln/detail/CVE-2026-4681 https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/ https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities-2/

Trustworthy AI政策の定点観測（2026年3月23日確認)

by 塚井海地 / 0件のコメント

2026年3月23日時点で公式情報を確認したところ、Trustworthy AIに関する各国政策は、新規制度の追加よりも「既存制度の実装・運用の具体化」に重点が移行していることが確認できた。EUは規制の実装段階、韓国は施行後運用、カナダは政府内責任分担の明確化、日本はガイドライン運用と政府内ルール整備が並行して進行している。一方でOECDは国際的な基盤としての役割を維持している。

OECD.AI Policy Navigatorの確認

OECD.AIは、各国のAI政策を横断的に整理する国際的な基盤として引き続き機能している。今回の確認では、構造や制度的な大きな変更は確認されておらず、Trustworthy AIに関する国際比較の参照点としての役割が維持されている。

また、OECD AI Principlesは、人間中心・透明性・説明責任・安全性を中核とする枠組みとして継続しており、各国政策の基準として参照されている。

出典：https://oecd.ai/en/

出典：https://oecd.ai/en/ai-principles

EU AI Actの確認

EUではAI Actがすでに制度として確立されており、現在は実装フェーズに移行している。欧州委員会の政策ページでは、AI Actがリスクベースで設計された包括的規制として整理されている。

今回の確認では、制度そのものの変更ではなく、AI literacyや高リスクAI、GPAI（汎用AI）に関する補助文書の整備が進んでいる点が重要である。これは、Trustworthy AIを実務レベルへ落とし込む段階に入っていることを示している。

出典：https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

出典：https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence

出典：https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

韓国AI基本法の確認

韓国ではAI基本法が施行済みであり、制度は実装・運用フェーズへ移行している。今回の確認では、新制度追加よりも、既存制度の現場適用が進んでいる点が確認できた。

AIガバナンス体制、リスク管理、事業者責務の整理が進められており、Trustworthy AIを制度として定着させる段階にある。

出典：https://www.msit.go.kr/eng/index.do

カナダ政府のResponsible AIページ群の確認

カナダではResponsible AIの枠組みは維持されており、政府内部での責任分担の明確化が進んでいる。総合ページは引き続き中核的な導線として機能している。

Guide on Departmental AI Responsibilitiesでは、各省庁の責任と導入プロセスが整理されており、AI導入前に関係部門と連携する枠組みが明示されている。また、AI Strategyの概要ページでは、政府全体で責任あるAI導入を進める方針が確認できる。

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/guide-departmental-ai-responsibilities.html

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html

日本：METI AI事業者ガイドラインの確認

METIでは、AI事業者ガイドライン第1.1版が引き続き主要な基準文書として公開されている。今回の確認では、新版更新は確認されておらず、既存ガイドラインが継続的に参照されている。

本ガイドラインは、AIの開発・提供・利用における基本的な考え方を示すものであり、日本におけるTrustworthy AIの実務基盤として位置付けられている。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20250328_2.pdf

日本：デジタル庁AI資料の確認

デジタル庁では、生成AIの政府利用に関するガイドライン整備が進められている。アドバイザリーボードおよび標準ガイドライン群を通じて、政府内のAI運用ルールが整理されている。

今回の確認では、政府AIの利用が実証段階から実運用段階へ移行していることが確認できる。

出典：https://www.digital.go.jp/councils/ai-advisory-board

出典：https://www.digital.go.jp/resources/standard_guidelines

動向整理：2026年3月時点の全体像

Trustworthy AI政策は、理念や原則の整理から、実際の運用・実装へと軸足が移っている。EU・韓国は制度実装、カナダは行政運用、日本はガイドライン運用、OECDは国際基盤という役割分担が明確になっている。

今後は制度そのものよりも、運用の具体性と説明責任の実装が評価の中心となる。

出典一覧

今週のサイバーセキュリティ動向対象期間（2026/03/15〜2026/03/21）

by 塚井海地 / 0件のコメント
日付 見出し 要点（1行） 出典URL
2026/03/21 CISAがApple・Craft CMS・Laravel Livewire関連の5件をKEV追加 実悪用確認済みとして連邦機関に迅速な修正を要求し、Apple系とWebアプリ基盤の優先度が急上昇した。 https://www.cisa.gov/news-events/alerts/2026/03/20/cisa-adds-five-known-exploited-vulnerabilities-catalog
2026/03/21 Quest KACE SMAのCVE-2025-32975が攻撃で悪用された可能性 教育分野を狙った攻撃との関連が報じられ、端末管理基盤の露出リスクが再浮上した。 https://www.securityweek.com/critical-quest-kace-vulnerability-potentially-exploited-in-attacks/
2026/03/21 LangflowのCVE-2026-33017が公開後20時間で悪用 公開フローを持つAIワークフロー基盤で未認証RCEに至る問題が、極めて短時間で武器化された。 https://www.infosecurity-magazine.com/news/hackers-exploit-critical-langflow/
2026/03/20 Cisco FMCのCVE-2026-20131がInterlockにゼロデイ悪用 未認証でroot権限のコード実行に至り得るCVSS 10.0級の管理面脆弱性が、公開前から悪用されていた。 https://thehackernews.com/2026/03/interlock-ransomware-exploits-cisco-fmc.html
2026/03/19 CISAがMicrosoft SharePointのCVE-2026-20963悪用を警告 すでに実悪用が確認され、KEV入りしたことでSharePoint運用組織の即応案件になった。 https://www.securityweek.com/cisa-warns-of-attacks-exploiting-recent-sharepoint-vulnerability/
2026/03/20 Appleが旧型iPhoneのCoruna／DarkSword対策を強く促す 旧版iOS向けにも更新が必要で、実戦投入されたiOSエクスプロイト基盤への対処が継続課題となった。 https://thehackernews.com/2026/03/apple-warns-older-iphones-vulnerable-to.html
2026/03/20 DarkSwordが6件の脆弱性と3件のゼロデイでiPhone完全掌握 スパイ活動だけでなく金銭目的の攻撃者にも利用可能なiOS向け攻撃基盤として注目された。 https://thehackernews.com/2026/03/darksword-ios-exploit-kit-uses-6-flaws.html
2026/03/20 CISAがStryker事案を踏まえエンドポイント管理基盤の防御強化を要請 MDM/UEMなど管理システムの設定不備や認証強度不足が、破壊的侵害の足場になり得ると警告した。 https://www.cisa.gov/news-events/alerts/2026/03/18/cisa-urges-endpoint-management-system-hardening-after-cyberattack-against-us-organization
2026/03/20 Oracle Fusion Middlewareに重大RCE、外部公開環境は要緊急対応 Identity ManagerやWeb Services Managerが外部露出している場合、未認証で任意コード実行に至り得る。 https://www.darkreading.com/vulnerabilities-threats/patch-oracle-fusion-middleware-rce-flaw
2026/03/20 Aisuru・KimwolfなどDDoSボットネットに国際共同作戦 IoT・ルータ類を踏み台にしたDDoS基盤への妨害が進み、インフラ犯罪の産業化が改めて示された。 https://www.securityweek.com/aisuru-and-kimwolf-ddos-botnets-disrupted-in-international-operation/
2026/03/17 英Companies Houseで数百万社情報が露出し得る欠陥 政府系公開データ基盤でも、情報取得や記録改ざんにつながる設計不備が大規模影響を生み得ると示した。 https://www.securityweek.com/uk-companies-house-exposed-details-of-millions-of-firms/
2026/03/15 Loblawのデータ侵害で顧客情報流出 氏名・メールアドレス・電話番号などの顧客情報が侵害され、小売分野の個人情報保護リスクが続いている。 https://www.securityweek.com/loblaw-data-breach-impacts-customer-information/

Trustworthy AI政策の定点観測（2026年3月16日確認）

by 塚井海地 / 0件のコメント

今回の確認では、Trustworthy AIをめぐる各国・各機関の政策フェーズが、かなりはっきり分かれてきた。OECDは定義や原則の再改定よりも、各国の政策情報を継続的に整理する基盤としての役割を強めている。EUはAI Actの法文そのものより、実装に必要な標準化、コード、ガイダンス整備が前面に出ており、制度は立法段階から実装段階へ移っている。韓国はAI Basic Actが施行段階に入り、透明性・高影響AI・影響評価といった運用ルールの公開が進んだ。カナダはDirectiveそのものの大きな再改定は確認できなかったが、政府内のAI戦略、AI Register、部門別の責任整理が厚くなっている。日本はMETIのAI事業者ガイドライン自体には大きな版更新が見えない一方、デジタル庁による政府内実装の工程が具体化した。

本稿は、指定された公式ソースを中心に、2026年3月16日時点で公開確認できた一次情報をもとに整理している。変更が見当たらない箇所は、その旨を明記した。なお、EUの「EU AI Act」特設サイトは制度理解に便利な整理サイトとして参照しているが、法的な原本確認は欧州委員会側のページを優先した。

OECD

OECDについては、今回の確認でもAI定義やTrustworthy AIの定義そのものに大きな更新は見当たらなかった。引き続き中核にあるのは、2019年採択・2024年更新のOECD AI Principlesであり、Trustworthy AIは「革新的で信頼でき、人権と民主的価値を尊重するAI」という軸で整理されている。今回の確認では大きな変更なし、と見てよい。

ただし、動きが止まっているわけではない。むしろOECDは、原則論の追加よりも、各国政策を比較・追跡しやすくする基盤整備を強めている。OECD AI Policy Navigatorは、80超の法域・国際機関の政策や制度を扱うライブ型のデータベースとして運用されており、各国の公式連絡窓口やOECD.AI側の専門家が継続的に更新する構造になっている。ここは地味だが実務上かなり重要で、制度比較の作業コストを下げる、いわば政策インフラの役割を担っている。

直近では、OECDが2026年3月20日締切で「Governing with Artificial Intelligence」のグローバル募集を続けており、政府内AIのユースケース、政策・ガバナンス施策、リスク評価やバイアス低減などの実装ツールを集めている。これは新たな法制度ではないが、Trustworthy AIを政府実装の文脈で具体化するための国際連携の動きとして見ておくべきだろう。

EU

EUは、今回の定点観測でもっとも「実装段階に入った」ことが明確だった地域である。AI定義やリスクベースの基本構造自体は大きく変わっていないが、AI Actの適用スケジュール、標準化、補助的コード、実務ガイダンスの整備がかなり具体化している。

制度の現在地

AI Actはすでに発効しており、2025年2月には禁止行為とAI literacy要件が適用開始済み、2025年8月にはGPAIモデル関連やガバナンス関連の規定が動き始めている。現在の焦点は、2026年8月以降に本格適用される残りの規定を、事業者と当局がどう実務に落とし込むかに移っている。

直近の更新

欧州委員会のAI政策ページでは、2025年11月19日にDigital Simplification Packageの一部としてAI Actのターゲット改正提案が示されており、実装を簡素で分かりやすいものにする方向が打ち出されている。さらに、標準化に関するページでは、高リスクAIの一部について、関連する標準や支援ツールの整備状況に応じて適用タイミングを連動させる考え方が明示されている。法が先に立ち、運用が後から息切れする――というありがちな筋の悪い展開を避けたい意図が透けて見える。

加えて、2026年3月5日にはAI生成コンテンツの表示・ラベリングに関するCode of Practiceの第2次案が公表された。ここでは、Article 50に基づく透明性義務をめぐり、マーク付け、メタデータ、水準の異なる識別方法、EU共通アイコンの例示、創作物や風刺表現への扱いなどが整理されている。意見募集は2026年3月30日までで、最終化は2026年6月初めが予定されている。透明性義務の適用開始は2026年8月2日だ。

国際連携

EUはAI Officeを軸に、OECD、G7、G20、国連、Council of Europe、NAAIMESなどとの連携を明示している。つまりEUは、EU域内の制度だけで完結するつもりではなく、自らの実装経験を国際標準形成に接続する構えを強めている。Trustworthy AIの定義面で新語を増やしているわけではないが、「実装手順まで含めて輸出可能な制度」に近づけようとしている点が、今回の観察では印象的だった。

韓国

韓国は、今回の確認対象の中で、法制度のステージがもっとも明快に進んだ国の一つである。AI Basic Actは2026年1月22日に施行され、施行令も同日に発効した。つまり、検討や法案段階ではなく、すでに施行段階に入っている。

制度の現在地

MSITの説明では、この法律はAI産業の振興と、安全で信頼できる基盤の整備を同時に狙う枠組みとして位置づけられている。国家AIガバナンスとして大統領直属の戦略委員会やCAIO体制を制度化しつつ、透明性、安全性、高影響AI、影響評価といった実装論点を施行令とガイドラインで具体化している。韓国らしく、推進と統制を一体で並べてくる設計だ。

直近の更新

2025年11月12日から12月22日にかけて施行令案の立法予告が行われ、2026年1月22日に法と施行令が発効した。その後、同日付で支援デスク側に透明性・安全性・高影響AIの判断・事業者責務・影響評価の主要ガイドラインが掲載されている。さらにMSITは2026年2月25日に透明性ガイドラインの公表を正式に発表しており、AI生成コンテンツ、とくにディープフェイクについて、利用者が識別しやすい形での表示を求める方針を具体化した。

ここで実務上のポイントは二つある。第一に、生成AIコンテンツの表示義務について、サービス環境内に留まる出力と、ダウンロード等で外部流通する出力を分けて考えていること。第二に、韓国国内の利用者にAI製品・サービスを直接提供する海外企業も対象に含めると整理していることだ。国内法の運用だが、実質的には域外適用の含みを持つ設計になっている。

スケジュールと移行措置

もっとも、施行と同時に全面執行というわけではない。MSITは少なくとも1年のグレースピリオドを設け、事実調査や過料賦課は原則として猶予すると説明している。重大な生命被害や人権侵害などの例外はあるが、基本的には企業の準備期間を確保しながら、支援デスクとガイドラインで不確実性を下げる運用になっている。制度のステージは施行済みだが、実務上は移行期間のただ中、という理解が正確だ。

カナダ

カナダでは、今回確認した範囲でDirective on Automated Decision-Makingそのものの新たな改正文は見当たらなかった。したがって、Directiveの法政策的な中身については「今回の確認では大きな変更なし」と整理できる。一方で、運用面のツール、ガイド、戦略、公開レジストリは着実に前進している。

制度の現在地

カナダの政府AIガバナンスは、依然としてDirective on Automated Decision-Makingが背骨である。このDirectiveは、行政上の意思決定またはその評価を支える自動化システムに適用され、AIだけでなく、ルールベース、統計モデル、生成AI、機械学習など幅広い自動化を含みうる。つまり、「AIだけを特別扱いする」のではなく、「行政判断を代替・補助する自動化」を横断的に押さえる設計だ。

直近の更新

2026年2月には、Responsible use of artificial intelligence in governmentの統合ページが更新され、連邦公務向けAI Strategy 2025-2027とDepartmental AI Responsibilitiesが前面に出た。AI Strategyの概要ページ自体の更新日は2026年2月25日であり、政府内での責任あるAI活用を単なる試行から恒常的なガバナンスへ移す意図が見える。また、2025年11月には連邦政府のAI Registerが公開され、政府内でどのようなAI利用が行われているかを対外的に示す枠組みが動き始めた。

実装ガイドも地味に効いている。Algorithmic Impact AssessmentはDirectiveを支える必須のリスク評価ツールとして維持されており、影響度に応じて必要な措置が段階的に決まる。さらに、Peer Reviewガイドでは、一定以上のインパクト水準の案件について、レビューの公表まで含めた手順が整理されている。これは「信頼」を空中戦で終わらせず、文書化・評価・公開の流れに落としている点で実務的だ。

パブリックコメントと今後

2024年に実施された連邦公務向けAI戦略の意見募集については、2025年1月末に “What We Heard” が公表され、その後のAI戦略整備につながっている。今回の確認では新たな意見募集は確認できなかったが、戦略、Register、責任整理、リスク評価ツールの更新を見る限り、カナダは新法競争よりも、行政内部の運用統治を磨き込むフェーズに入っていると読める。

日本

日本は、指定ソースの中でやや二層構造になっている。ひとつはMETIのAI事業者ガイドライン、もうひとつはデジタル庁による政府内AI実装である。今回の確認では、前者は安定、後者は前進、という整理がもっとも実態に近い。

METI：AI事業者ガイドライン

METIのAI事業者ガイドライン掲載ページでは、現時点でも第1.1版が最新版として掲示されており、掲載ページの最終更新日は2025年4月4日となっている。このため、指定ページ上で確認できる限りでは、AI定義やTrustworthy AIの考え方を大きく組み替えるような新版公開はまだ確認できない。今回の確認では大きな変更なし、でよい。

ただし、水面下で議論が止まっているわけでもない。METI関連の検討資料では、AIエージェントの動向を踏まえたAI事業者ガイドライン更新の検討に触れており、生成AIからエージェント型AIへ論点がずれてきた現実を受けて、将来の更新余地が示唆されている。正式版はまだ動いていないが、次の更新波はこのあたりから来る可能性が高い。

デジタル庁：政府内AI実装

一方で、デジタル庁側はかなり動いている。2026年3月6日の公表では、政府職員約18万人を対象としたガバメントAI「源内」の大規模実証を、2026年5月から2027年3月まで実施する予定が示された。背景には、2025年12月23日閣議決定の人工知能（AI）基本計画があり、政府自らが先導的にAIを利活用し、最終的にはAIの信頼性と透明性の確保につなげるという方針が明記されている。

ここで注目すべきなのは、日本のTrustworthy AIが、事業者向け一般ガイドラインだけでなく、政府実装そのものを通じて社会的な信頼を示そうとしている点である。デジタル庁の資料では、行政実務用AIアプリの内製、政府共通データセット整備、国産LLM支援、他府省庁への技術支援までが並列で語られており、単なるPoCでは終わらせない設計が見える。制度のステージで言えば、民間向けルールは安定運用、政府利用は実装加速、という二層構造だ。

今回の観察から見えること

今回の定点観測を通して見えてくるのは、Trustworthy AI政策が「定義を掲げる時代」から「実装をさばく時代」へ移っていることだ。OECDは比較可能な政策データベースを整え、EUは標準化・コード・執行体制を厚くし、韓国は法律施行と詳細ガイドラインを出し、カナダは行政内部の責任・公開・評価を磨き、日本は政府利用の実装工程を前に出している。

言い換えると、いまの差は「Trustworthy AIを唱えているかどうか」ではなく、「誰に、どの段階で、どの文書で、どの評価手順を要求するか」がどこまで具体化しているかにある。派手な新語より、地味な運用文書のほうが制度を動かす。政策の世界はしばしばそういう、見た目より泥くさい生き物である。

出典・確認メモ

対象 確認した文書 確認したポイント 一次 / 二次 確認日
OECD https://oecd.ai/en/ai-principles OECD AI Principlesの位置づけ、Trustworthy AIの原則、2024年更新の有無を確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/dashboards/overview Policy Navigatorがライブ型の政策データベースとして継続更新されていることを確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/wonk/call-ai-in-gov 政府AIユースケース・政策施策・実装ツール募集の継続、締切日を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai AI Actの法的位置づけ、信頼できるAIをめざす基本方針、AI Pact等を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence 2025年11月の簡素化提案、主要マイルストーン、AI Officeの実装支援方針を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation 標準化と高リスクAIの適用タイミングの関係、最遅適用時期の提案を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/library/commission-publishes-second-draft-code-practice-marking-and-labelling-ai-generated-content AI生成コンテンツ表示コード第2次案、公募期限、適用開始日を確認。 一次情報 2026-03-16
EU https://artificialintelligenceact.eu/implementation-timeline/ EU AI Actの段階適用日を一覧で再確認。制度理解用の補助参照。 二次情報（制度整理サイト） 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng AI Basic Actと施行令の施行日、グレースピリオド、国家AIガバナンスの枠組みを確認。 一次情報 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1215&sCode=eng 透明性ガイドラインの内容、AI生成物表示、海外事業者への適用整理を確認。 一次情報 2026-03-16
韓国 https://www.sw.or.kr/site/sw/ex/board/View.do?bcIdx=64993&cbIdx=390 主要ガイドライン一式（透明性・安全性・影響評価など）の掲載状況を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html Responsible use of AI in Governmentの統合ページ更新と主要実装文書の構成を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html 連邦公務向けAI戦略の更新日と位置づけを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/guide-scope-directive-automated-decision-making.html Directiveの適用範囲、AIに限定されない自動化全般への適用整理を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/algorithmic-impact-assessment.html AIAの構成と、Directiveを支える必須評価ツールであることを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/treasury-board-secretariat/news/2025/11/canada-launches-first-register-of-ai-uses-in-federal-government.html AI Register公開の事実と位置づけを確認。 一次情報 2026-03-16
日本 https://www.meti.go.jp/policy/it_policy/ai/
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html		 AI事業者ガイドラインの最新版表示、第1.1版の掲載継続、ページ更新日を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/news/2d69c287-2897-46d8-a28f-ea5a1fc9bce9 ガバメントAI「源内」の大規模実証、対象人数、実施期間を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/assets/contents/node/information/field_ref_resources/2d69c287-2897-46d8-a28f-ea5a1fc9bce9/86f43a74/20260306_policies_ai_gennai_mass_deployment.pdf 人工知能基本計画の抜粋、政府先導利用、展開スケジュール、実装項目を確認。 一次情報 2026-03-16

プロフェッショナルとは何か――人事・採用が見直すべき評価軸

by 塚井海地 / 0件のコメント

本記事で得られる3つのポイント

  • ショーンの文脈での「プロフェッショナルとは何か」を、採用と人事評価へ引き寄せて理解できます。
  • 若さ、即戦力、資格、印象といった表面的な評価だけでは見抜けない本質が整理できます。
  • 企業の人事が採用で見ないといけない観点を、実務ベースで再構成できます。

なぜ重要か

採用で見誤ると、組織は「動ける人」を採れても、「判断できる人」「問いを立て直せる人」を取り逃がすためです。結果として、現場は忙しいのに強くならないという、実にありがちな状態に陥ります。

プロフェッショナルとは、単に優秀な人ではない

採用の現場では、どうしても分かりやすい指標へ引っ張られがちです。年齢、学歴、転職回数、資格、話し方、第一印象、流行のスキル、いわゆる即戦力感。もちろん、これらが無意味という話ではありません。ただし、プロフェッショナルを見抜く尺度としては、それだけではかなり足りません。

ショーンの議論を踏まえると、プロフェッショナルとは、単に知識を持つ人でも、正解を暗記している人でもなく、不確実で複雑な状況の中で、何が本当の問題なのかを見極め、必要なら問いそのものを組み替えられる実践家です。ここが核心です。

つまり、企業が採用で本当に見るべきなのは、「若いかどうか」や「勢いがあるかどうか」だけではなく、どのように状況を読み、どのように判断し、どのように修正できるかです。若さは体力や吸収速度の面で強みになることがあります。しかし、プロフェッショナル性そのものは、若さと同義ではありません。

若さが全てではない理由

若い人材は、変化への適応や新しい道具への習熟で強みを発揮することがあります。これは事実です。ただし、採用でそこだけを見てしまうと、組織は「処理できる人」は増えても、「判断の重さを持てる人」を見落とします。

プロフェッショナル性の中核には、経験を通じて蓄積される暗黙知があります。ショーンのいう knowing-in-action に近いものです。これはマニュアルを一度読んだから身につくものではありません。現場で繰り返し状況に向き合い、成功と失敗の両方をくぐり、違和感を言葉にし、やり方を修正し続ける中で育つものです。

だからこそ、プロフェッショナルは一朝一夜では育ちません。短期間で「使える人」に見える人がいたとしても、それは限定された条件下での処理能力であることが少なくありません。本当に強い人は、条件が崩れたときに崩れにくい人です。そして、その強さは時間をかけてしか育たない部分があります。

人事が採用で本当に見ないといけないこと

1. 知識量より、状況判断の質

知識や資格は、あくまで入口です。重要なのは、その知識をどの状況で、どのように使い分けられるかです。採用面接で見るべきなのは、「何を知っているか」だけでなく、「想定外の事態に出会ったとき、どう見立てを変えたか」です。

候補者が過去の案件でどのような違和感を持ち、何を問題と定義し、どこで判断を修正したのか。この語り方には、その人の実践知がかなり表れます。知識の暗唱は準備で作れますが、判断の質はそう簡単には偽装できません。

2. 成果だけでなく、問題設定の仕方

採用では、どうしても「何を達成したか」に目が向きます。売上を伸ばした、コストを下げた、チームを回した、案件を完遂した。これらはもちろん重要です。ただし、もっと重要なのは、その人が最初に何を問題と見たのかです。

同じ成果でも、たまたま条件に恵まれたのか、それとも問題設定が優れていたのかで価値は大きく違います。たとえば売上改善であっても、広告費を増やしただけなのか、顧客の離脱要因を見抜いて導線を修正したのかでは、再現性がまるで違います。人事は結果だけでなく、そこに至るまでの問いの立て方を見ないといけません。

3. 失敗経験の有無より、失敗の扱い方

失敗がない人は、慎重なのかもしれません。あるいは、挑戦していないだけかもしれません。大切なのは失敗経験の有無ではなく、その失敗をどう扱ったかです。

プロフェッショナルに近い人は、失敗を「たまたま」「環境が悪かった」で終わらせません。どこで見立てを誤ったか、何を前提にしすぎたか、次に何を変えるかを語れます。ここに省察の力が表れます。人事が見るべきなのは、無傷の経歴より、傷をどう知に変えたかです。

4. 協調性より、関係の設計力

採用で「協調性」はよく見られますが、この言葉はかなり雑です。場に合わせるだけなら協調性に見えます。しかし、プロフェッショナルに必要なのは、ただ空気を壊さないことではなく、仕事が前に進む関係を設計できるかです。

複雑な業務では、専門知識だけで成果は出ません。関係者の認識をそろえ、必要な対話を起こし、時には曖昧な前提を表に出す必要があります。これは「いい人」であることとは違います。人事は、人当たりよりも、関係の中で仕事の質を上げられるかを見る必要があります。

5. 即戦力かどうかより、文脈を学ぶ力

即戦力採用は合理的に見えます。ただし、どの会社にも固有の文脈があります。商品、顧客、意思決定の癖、失敗しやすい構造、暗黙のボトルネック。前職で優秀だった人でも、文脈を読めなければ簡単に外します。

だから採用では、経験の一致だけでなく、新しい文脈をどのように学び取るかを見ることが重要です。これは「柔軟性」という曖昧な言葉より、ずっと具体的です。未知の環境で、何を観察し、どう仮説を立て、どう修正してきたか。この履歴がある人は強いです。

採用で見落とされやすい「プロフェッショナルの兆候」

プロフェッショナルの兆候は、派手ではないことがよくあります。話が上手い人が、判断も上手いとは限りません。資格が多い人が、現場の複雑さに強いとも限りません。逆に、一見地味でも、状況を丁寧に観察し、問題設定を誤らず、必要に応じてやり方を変えられる人は非常に強いです。

たとえば、面接で次のような話し方が出る人は注目に値します。

  • 「最初はAが問題だと思ったが、実際はBだった」
  • 「うまくいかなかった理由は、自分たちの前提の置き方にあった」
  • 「その時点では正しいと思ったが、途中で顧客の見ている景色が違うと気づいた」
  • 「結果より先に、何を解くべきかの整理が必要だった」

こうした言葉が自然に出る人は、経験をただ積んだのではなく、経験を構造化している可能性が高い。ここにプロフェッショナルの芽があります。

人事制度そのものも問われる

ここでやっかいなのは、採用担当者だけが分かっていても、評価制度が表面的なら意味がないことです。人事制度が「若い」「安い」「従順」「残業できる」「空気が読める」ばかりを評価していると、プロフェッショナルは組織の中で育ちません。

ショーンの議論を人事へ翻訳するなら、採用だけでなく評価制度そのものも、問題設定、判断の質、修正能力、他者との省察的対話をどう見える化するかが問われます。ここがない組織は、処理能力の高い人は集められても、複雑な課題に強い組織にはなりにくいです。

中途採用・ベテラン採用をどう見るべきか

この論点は、とくに中途採用やベテラン採用で重要です。年齢が上がると、どうしても「柔軟性があるか」「カルチャーフィットするか」という方向で見られがちです。もちろん、そこも大事です。ただし、それだけでは浅いです。

ベテランの価値は、単に年数を重ねたことではありません。どれだけ多くの状況を通り抜け、どれだけ見立てを修正し、どれだけ言語化可能な判断知へ変えてきたかにあります。年齢を見るなら、生年月日ではなく、判断の層の厚みを見るべきです。ここを見誤ると、組織は経験値をコスト扱いし、結局は高い授業料を現場で払い直すことになります。

まとめ

企業の人事が採用で本当に見るべきなのは、若さそのものではありません。資格の数や第一印象だけでもありません。見るべきは、その人がどのように状況を読み、どのように問題を定義し、どのように判断を修正してきたかです。

プロフェッショナルとは、一朝一夜で身につくものではありません。知識、失敗、修正、対話、経験の構造化。その積み重ねの中でしか育たない部分があります。だからこそ採用では、勢いだけではなく、判断の成熟を見ないといけない。ここを見抜ける人事は、単に人を採るのではなく、組織の未来の質を選んでいます。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF（参照用）
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf

省察的実践家とは何か――専門家・組織・実務の本質を1本で整理する

by 塚井海地 / 0件のコメント

本記事で得られる3つのポイント

  • 「専門家」と「省察的実践者」の違いを、実務に引き寄せて理解できます。
  • ハードとソフト、マネジメント、組織学習、契約の論点を一本の流れで整理できます。
  • 中小企業経営、制作チーム運営、個人事業、AI活用へどう応用できるかが見えてきます。

なぜ重要か

AIや自動化が進むほど、単なる知識量や処理能力よりも、問いを見直し、状況に応じて判断を更新できる力のほうが、実務上の価値を持つようになるためです。

専門家は必要だが、それだけでは足りない

ドナルド・ショーンの議論で重要なのは、専門家を否定しているわけではないという点です。専門知識、理論、手順、資格、経験は、仕事の品質を支える土台です。医療、法務、会計、設計、映像制作、システム運用。どの領域でも、基礎のない勘だけの仕事は危うい。ここは外せません。

ただし、現実の案件は教科書どおりに整っていません。要件は途中で変わり、関係者の意図はずれ、顧客自身が本当の課題を言語化できていないこともあります。現場で本当に難しいのは、正解を当てること以前に、何を解くべきかを見極めることです。

ここで、単なる専門家と、省察的実践者の違いが出てきます。専門家は、既知の問題を安定して処理できる人です。これに対して省察的実践者は、行為しながら違和感に気づき、問題設定そのものを組み替えられる人です。

省察的実践者とは「やりながら問いを修正できる人」である

省察的実践者は、単に振り返る人ではありません。やりながら考え、ずれを感じ取り、状況に応じて見立てを更新できる人です。売上が落ちたときに、すぐ広告不足と決めない。制作物の品質がぶれたときに、すぐ担当者のスキル不足と決めない。AIの出力が弱いときに、すぐモデル性能のせいにしない。前提そのものを疑える。そこが強みです。

現場では、問題解決者より、問題設定者のほうが強い場面が少なくありません。問いを間違えたままでは、どれほど立派な答えでも全体として外れるからです。式はきれいでも、問題文が違っていれば意味がない。実務ではありがちな転び方です。

専門家は必要条件であり、省察的実践者は十分条件に近い存在といえます。専門知識がなければ品質は崩れます。しかし、専門知識だけでは重要な問題に届かない。長く信頼される人は、知っているだけでなく、ずれに気づき、考えながら修正できます。

ハードとソフト、そしてフォーマルモデル

ショーンの議論を実務へ引き寄せると、ハードとソフトの往復が見えてきます。ハードとは、数値、手順、仕様、締切、原価、工数、承認フロー、検証条件のように、第三者が見ても同じように扱いやすいものです。ハードの強みは再現性にあります。誰がやっても一定品質に近づける。仕組みに落とし込みやすい。AIや自動化とも相性がよい。ここは強いです。

一方のソフトは、意図、価値、文脈、意味づけ、違和感、関係性、暗黙の了解、役割のずれです。測りにくいですが、無視すると仕事の核心を外します。制作でいえば「良い作品とは何か」。営業でいえば「誰のどんな痛みを解くのか」。組織でいえば「本音を言える空気があるか」。こうしたものは手順書だけでは扱いきれません。

強い実務家は、ハードかソフトかの二択で動きません。ハードで整理し、ソフトで修正し、またハードに戻して共有可能な形に整えます。この往復ができる人が強い。厳密さと柔軟さは敵ではなく、厳密さがあるからこそ柔軟に見直せるし、柔軟に見直すからこそ厳密さの意味が生きます。

フォーマルモデルも、この文脈で理解すると位置づけがはっきりします。フォーマルモデルは、仕様、制約、判断条件、分岐、例外処理を明示し、共有と検証を可能にする器です。ただし、万能ではありません。モデル化する時点で、何を残し、何を捨てるかという抽象化が入るからです。フォーマルモデルは「骨格」を作る道具として使うのが最も堅実です。ハードな部分を固定し、そのうえでソフトな部分を別レイヤーで扱う。これが最も事故が少ない運用です。

高く堅い土地とぬかるみ

ショーンの比喩で特に印象的なのが、「高く堅い土地」と「ぬかるみ」です。高く堅い土地は、定義しやすく、分析しやすく、標準化しやすい問題領域です。ここでは手順や数値、ルールベースの判断が強く機能します。在庫管理、定型工程、既知の不具合対応、数値検証のはっきりした業務などが典型です。

一方で、現実に本当に重要な問題は、しばしばぬかるみにあります。顧客の不満が言語化されていない。組織内の対立が表面化していない。売上低下の原因が複数絡んでいる。制作の修正地獄が技術ではなく解釈ズレから来ている。こうした問題は、きれいな手順だけでは処理できません。

厄介なのは、ぬかるみの問題ほど、人間にとって重要だということです。高台にいれば整った問題は解けます。しかし、重要な問題がぬかるみにあるなら、そこに降りるしかない。実務で強いのは、この二つを行き来できる人です。数値と文脈、仕様と価値、手順と解釈。その往復が、ショーンの実践知の骨格です。

マネジメントのわざと組織学習

ショーンの議論は個人の熟達にとどまりません。マネジメント、組織学習、そして専門家と依頼者の契約関係にまで及びます。ここが実務的です。マネジメントは、単に計画を立て、資源を配分し、進捗を管理することではありません。現実のマネジャーは、外部環境の変化を読み、内部の異変を察知し、問題を再定義し、必要なら組織の前提そのものを問い直します。

この意味で、マネジメントは管理科学の適用だけではなく、かなりの部分が省察的な実践です。見えている数字の意味をどう読むか。どの異変を重く見るか。誰の声が欠けているか。こうした判断が中核になります。

組織学習についても同じです。個人が学んでも、それが組織に埋め込まれなければ、組織は学んでいません。会議の作法、報告の形式、異論の扱い、失敗の共有、暗黙の役割期待。これらが組織学習システムを形づくります。つまり、組織学習は研修制度の話ではなく、痛い事実を表に出せるか、前提を疑えるか、修正が仕組みに落ちるかという構造の問題です。

マネジメントの真価は「回す力」よりも「見直せる力」にあります。予定どおりに進めるだけなら、仕組みでもかなりできます。しかし、現場の違和感を拾い、問題設定を修正し、その修正を組織の知に変えるところに、マネジャーの価値があります。会議の多さではなく、学びの深さで組織を見る必要があります。

伝統的な契約と省察的な契約

ショーンの議論でもう一つ重要なのが、専門家と依頼者の関係です。伝統的な契約では、依頼者が問題を持ち込み、専門家が診断し、解決策を与えます。この構図は、速度、責任、標準化の面で強いです。定型案件や緊急対応には向いています。火が出ているのに哲学対話を始める必要はありません。まず消火です。

ただし、この関係には前提があります。依頼者が自分の問題を正しく持ち込める、という前提です。現実には、依頼者が持ち込むのは本当の問題そのものではなく、症状や表面化した困りごとであることが多い。ここで伝統的な契約だけで進むと、専門家は与えられた問いには正確に答えるが、問い自体がずれている、という事態が起こります。

省察的な契約では、専門家は一方的に答えを与える人ではありません。依頼者とともに、何が本当の問題かを探り、状況を読み、必要なら問題設定そのものを組み替えていきます。依頼者も単なる受け手ではなく、問いの共同参加者になります。

伝統的な契約は処理に強く、省察的な契約は変化に強い。この見方がもっとも使いやすい整理です。定型や緊急は伝統型、複雑で未定義な案件は省察型。この切り替えが大切です。ただし、現代の重要課題の多くは、省察的な契約なしでは深く解けないことも多い。これからの専門家は、答えを出す人であるだけでなく、よい問いとよい関係を設計できる人である必要があります。

実務への転用――中小企業経営・制作チーム・個人事業・AI運用

中小企業経営――数字の意味を見直す

中小企業経営では、売上、粗利、成約率、稼働率といった数字が重要です。ただし、省察的に見るなら、数字そのものより、数字の意味を問い直すことが重要です。売上が落ちたとき、すぐに集客不足と決めて広告費を積むのは危険です。本当の問題が、商品設計、価格の見せ方、既存顧客の維持、返信速度、営業トークのずれにあるかもしれないからです。経営における省察とは、結果を見て反応するだけでなく、その数字が何を示しているのかを再定義することです。

制作チーム運営――意図のズレを管理する

制作現場では、「修正が多い」「初稿が通らない」「納期が押す」といった問題がよく起きます。ここで工程表だけを厳しくしても、根本解決しないことが多い。なぜなら、本体は技術不足ではなく、意図共有の不足であることが多いからです。省察的な制作チームは、誰が悪いかより、どの前提がずれていたかを見ます。誰に何を感じてほしいのか、クライアントの成功とは何か、何を絶対に外してはいけないか。これらを案件ごとに明文化しておくと、修正は減り、修正が出ても意味のある修正になります。

個人事業の意思決定――行動量の前に、解くべき問題を絞る

個人事業者は、意思決定のスピードが速い一方で、外部の刺激に引っ張られやすいです。周りが始めたから始める、流行っているから乗る、売れそうだから増やす。これでは忙しくても、軸が弱くなります。省察的な個人事業の意思決定では、まず「これは何の問題を解こうとしているのか」を明確にします。収益の問題なのか、集客の問題なのか、単価の問題なのか、リピートの問題なのか、工数過多の問題なのか。これを分けずに動くと、努力量だけ増えて利益構造は改善しません。

AI活用のワークフロー管理――出力より、工程を設計する

AI活用で最も多い誤解は、AIを「答えを出す装置」としてだけ使うことです。しかし、複雑な仕事では、良い出力は良い工程設計からしか生まれません。記事制作なら、テーマ投下から一発生成ではなく、目的定義、読者設定、構成、本文、事実確認、独自視点、整形、最終確認と工程を分ける。映像制作なら、固定要素と可変要素を分ける。業務運用なら、入力仕様、評価仕様、例外処理を設計する。AI運用で差がつくのは、プロンプトの巧拙より、工程設計の精度です。

まとめ

ショーンの議論の核心は、プロフェッショナルとは単に知識を持つ人ではなく、状況と対話しながら問いを組み替えられる人だ、という一点にあります。無謬の人が強いのではありません。修正能力のある人が強い。現実はいつも少しずつずれているからです。

だから、専門家は必要です。しかし、省察的実践者まで到達して初めて、現実の複雑さに耐えられる。中小企業経営でも、制作チームでも、個人事業でも、AI運用でも、本当に差が出るのは「どう解くか」だけではなく、「何を解くべきか」を見抜けるかどうかです。そこに、これからの仕事の核心があります。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF（参照用）
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか（続き）

by 塚井海地

インターネットが世界を変えた年代史（続編）

※本稿は「産業・市場」と「生活インフラ（教育・医療・行政・決済）」に絞って、**“何が生まれ、何が弱体化・消滅し、政治・社会にどう波及したか”**を年代別に整理します。

産業・市場編（広告／メディア／小売・EC／金融）

変化の骨格（分析）

インターネットが産業に与えたインパクトを一言で言うなら、**「流通コストと探索コストを潰し、情報の非対称性を再配置した」**です。結果として、

  • 価値の源泉が「工場・店舗」から「データ・ネットワーク・規模の経済」へ移動
  • 収益モデルが「販売」から「広告」「手数料」「サブスク」「金融（決済・与信）」へ多層化
  • 市場構造が「多社分散」から「少数のプラットフォーム集中」へ寄りやすい

…という流れが、ほぼ全業界に波及しました。UNCTADは（定義上の差異はあるものの）**グローバルeコマース売上を2019年で約26.7兆ドル（世界GDPの約30%）**と推計しています。

年代別一覧表（産業・市場）

年代新しく生まれたもの（代表）弱体化・消滅が進んだもの（代表）“データで見える”構造変化（代表指標）政治・社会への波及（要点）
1990年代商用インターネット、ポータル、検索、バナー広告、初期EC、電子決済の萌芽紙カタログ依存の情報流通、地域独占の情報仲介（徐々に）（この時期は統計整備が途上）規制が追いつかないまま「通信×放送×出版」の境界が溶け始める
2000年代検索連動広告、比較サイト、ECの本格化、ネット専業の出店モデル一部の中間流通（“探す”価値で食っていた層）、紙媒体広告の伸び悩み「広告＝配信して終わり」から「計測・最適化」へ（ROIの可視化が標準化）“データ優位”の競争が始まり、個人情報保護・競争政策が論点化
2010年代スマホ×SNS広告、アプリ経済、D2C、サブスク、シェアリング／ギグの商用化紙の求人・紙の折込・新聞広告の収益基盤（急速に）米国では2010年にオンライン広告収入が新聞（紙）広告を上回る見通しが示され、広告の主戦場が転換。世論形成が「放送中心」から「プラットフォーム中心」へ移り、情報操作・分断が政策課題に
2020年代生成AI、ライブコマース、物流最適化、フィンテック深化、CBDC検討の拡大“現金・対面前提”の業務プロセス、非効率な紙手続き（急速に是正圧力）デジタル広告：2024年の米国インタラクティブ広告収益は約2,590億ドル（前年比+14.9%）。 / 小売EC比率：米国で2025年Q3は総小売の16.4%。 / ビジネスeコマース：UNCTADは2022年を約27兆ドルと示す。“デジタル前提”が社会の標準となり、競争政策（寡占）・税制・労働政策（プラットフォーム就労）・通貨制度（CBDC）が同時並行で再設計される

生活インフラ編（教育／医療／行政／デジタルID／決済）

変化の骨格（分析）

ここはビジネス以上に「逃げ場がない」領域です。生活インフラは、一度デジタル化が進むと**“戻すコスト”が高い**ため、制度・規格・監査（アカウンタビリティ）まで含めて固定化されます。

年代別一覧表（生活インフラ）

年代新しく生まれたもの（代表）弱体化・消滅が進んだもの（代表）“データで見える”構造変化（代表指標）政治・社会への波及（要点）
1990年代学術ネット、電子メール、行政の情報公開サイト（初期）、遠隔教育の萌芽情報取得が“窓口・紙”に限定される前提（徐々に崩れる）（この時期は普及率の伸長期）政府の情報発信が「紙→Web」へ。透明性の期待値が上がる
2000年代電子申請、オンラインバンキング、eラーニング普及、医療IT（電子カルテ等）“窓口稼働＝サービス”という発想（効率化圧力）デジタル決済・口座利用が拡大（国により差）行政サービスが“受付処理産業”から“デジタル運用”へ転換し始める
2010年代スマホ本人確認、電子署名、オンライン診療の制度整備（各国差）、クラウド行政現金前提の生活設計、紙の本人確認運用（部分的に）途上国でのデジタル決済：World Bank Findexにより、途上国でデジタル決済を行う成人比率は**2014年35%→2021年57%**に上昇。金融包摂が進む一方、監視・プライバシー・データ主権が政治テーマ化
2020年代大規模リモート教育、遠隔医療の急拡大、デジタルガバメントの成熟、CBDC検討の一般化“対面必須”の慣行、紙の通院・受講・申請（例外を除き縮小）教育：COVID-19のピーク時に190か国超で16億人超の学習者が休校影響。 / 遠隔医療：OECD報告で、例としてノルウェーは2020年1月約4.3万件→3月約47万件（10倍超）、ベルギーは2020年3月だけで120万件超など、急拡大が示される。 / CBDC：BISの2024年調査（2025年公表）で、調査対象93中銀の91%がCBDC（リテール／ホールセール）を検討。 / デジタル政府：UN E-Government Survey 2024で、EGDIの世界平均が2022年0.6102→2024年0.6382と上昇。危機（パンデミック）が“強制デジタル化”のスイッチになり、制度が一段階アップグレード。代わりに、デジタル弱者・地域格差・監査負荷が新しい社会コストとして顕在化

主要参照データ（URL一覧）〔追加分〕

UNCTAD「Global e-commerce jumps to $26.7 trillion…（COVID-19でオンライン販売が拡大：ニュース）」
https://unctad.org/news/global-e-commerce-jumps-267-trillion-covid-19-boosts-online-sales

UNCTAD「Digital Economy Report 2024（デジタル経済レポート）」
https://unctad.org/publication/digital-economy-report-2024

U.S. Census Bureau「Quarterly Retail E-Commerce Sales（米国：四半期EC売上統計）」
https://www.census.gov/retail/ecommerce.html

IAB「Internet Advertising Revenue Report: Full Year 2024（年次デジタル広告収益）」
https://www.iab.com/insights/internet-advertising-revenue-report-full-year-2024/

IAB「Internet Advertising Revenue Report: Full Year 2024（PDF直リンク）
https://www.iab.com/wp-content/uploads/2025/04/IAB_PwC-Internet-Ad-Revenue-Report-Full-Year-2024.pdf

Pew Research Center「State of the News Media 2011（年次：ニュース産業の包括レビュー）」
https://www.pewresearch.org/2011/03/14/state-of-the-news-media-2011/

World Bank「Global Findex Database 2021：Chapter 2（口座利用などの要点ブリーフ）」
https://www.worldbank.org/en/publication/globalfindex/brief/the-global-findex-database-2021-chapter-2-use-of-accounts

UNESCO「One year into COVID-19 education disruption（教育の混乱：1年時点の整理）」
https://www.unesco.org/en/articles/one-year-covid-19-education-disruption-where-do-we-stand

OECD「The COVID-19 Pandemic and the Future of Telemedicine（テレメディシンの展望：PDF）」
https://www.oecd.org/content/dam/oecd/en/publications/reports/2023/01/the-covid-19-pandemic-and-the-future-of-telemedicine_1c878192/ac8b0a27-en.pdf

BIS「BIS Paper 159：CBDC/暗号資産に関する2024年サーベイ結果」
https://www.bis.org/publ/bppdf/bispap159.htm

UN DESA「E-Government Survey 2024（電子政府サーベイ：PDF、Web version）」
https://desapublications.un.org/sites/default/files/publications/2024-09/%28Web%20version%29%20E-Government%20Survey%202024%201392024.pdf

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか（続き）

by 塚井海地

規制・ガバナンス編：国家と企業が「自由なネット」を“制度化”していく年代史

インターネットの普及が進むほど、各国は次の二律背反に直面しました。
(1) イノベーションを殺さない（市場形成） と (2) 被害と外部性を抑える（安全・権利・競争）。
この綱引きが、年代ごとに「免責 → 個人情報 → 越境移転 → プラットフォーム規制 → 安全保障統治」へと段階的に移動します。

年代別一覧表（規制・ガバナンス）

年代主な制度・判例（世界の“雛形”になったもの）何を解決しようとしたか実務・産業への帰結（生まれた/変わった運用）
1990sEU：データ保護指令 95/46/EC（1995） / 米：CDA Section 230（1996） / 米：DMCA（1998）個人情報の枠組みを作る／オンライン仲介の責任範囲を整理／著作権と中間者の責任の線引きプライバシー・コンプライアンスの職能が発生。プラットフォームは「第三者投稿の免責」を足場に急拡大。著作権は 通知・削除（Notice & Takedown） が標準運用に。
2000sEU：電子商取引指令 2000/31/EC（2000） / EU-US：セーフハーバー十分性決定（2000） / サイバー犯罪：ブダペスト条約（2001署名開始）ECと仲介の“免責設計”を欧州で整える／越境データ移転の法的器を用意／捜査協力の国際枠組み事業者は ログ保全・開示対応、国際移転の書類整備へ。国境を跨ぐ捜査で 電子証拠（e-evidence） が常設テーマ化。
2010sGDPR：2018/5/25から適用 /（前段）95/46/ECを置換 / 中国：サイバーセキュリティ法（2017/6/1施行） / ブラジル：LGPD（2020/9/18施行、罰則は2021/8/1から）個人データの権利強化と説明責任／国家主導のデータ統治・重要インフラ統制／新興国でも“GDPR型”が波及DPO/データ保護体制、同意管理、事故対応（72時間通知など） が標準装備に。データ移転・委託・共同利用が「契約＋監査」で管理されるように。
2020sSchrems II（2020/7/16：EU-US Privacy Shield無効） / EU-US データ・プライバシー枠組み（2023/7/10十分性決定） / DMA：2023/5/2適用開始、2024/3/7からゲートキーパー義務が本格適用 / DSA：2024/2/17から全面適用 / NIS2：2024/10/17までに国内法化、10/18から適用 / インド：DPDP法（2023/8/11制定）越境移転の不確実性（合法性）を整理／巨大PFの競争・データ結合を規律／違法コンテンツ・広告透明性・リスク管理を義務化／重要分野のサイバー統治を強制「プラットフォーム＝公共インフラ」扱いが進み、監査・透明性・リスク評価が“事業の固定費”化。企業は データ移転の多重策（SCC等）＋リージョン設計 を常態運用へ。サイバーは 経営責任（罰則・報告） と結合。

サイバー犯罪・重要インフラ編：「便利さ」が“攻撃面”になる年代史

インターネットは、攻撃者にとっても「物流網」でした。
しかもサイバー攻撃は、距離・国境・兵站の制約が薄い。この性質が、犯罪を産業化させ、国家安全保障と結合させます。

まず押さえる“定量データ”（近年の代表値）

  • FBI IC3（2024年）：苦情 859,532件、被害額 166億ドル（前年比で損失が33%増）
  • Verizon DBIR 2025：システム侵入型の侵害で、ランサムウェアが75%に関与
  • ENISA Threat Landscape 2024：公開報告された数千件のインシデントを分析し、主要脅威にランサムウェア等を位置づけ

数字は地域・定義で揺れますが、「被害の重心が“金銭化”に寄る」「侵害の主戦場が“認証情報と侵入後活動”」という傾向は、複数ソースで一致します。

年代別一覧表（サイバー犯罪・重要インフラ）

年代攻撃と社会的インパクト（象徴）防御側に“新しく生まれたもの”相対的に機能不全化したもの
1990sマルウェア・侵入が「一部の技術者の事件」から「社会問題」へ移行（接続人口が増えるほど母集団が増える）企業内セキュリティ部門、アンチウイルス産業、初期CERT/CSIRT「社内LANは壁の中だから安全」という感覚
2000sボットネット、DDoS、フィッシングが拡大。サイバー犯罪が“分業”になり始める電子証拠と国際協力の枠組み（ブダペスト条約） / インシデント対応手順（IR）“犯人は近所にいる”前提の捜査モデル
2010sランサムウェアが社会インフラを直撃。2017年WannaCryは医療現場を大規模に停止させ、NHSで政府報告ベースのコスト推計（約£92m）が広く参照されるバックアップ設計の再定義（オフライン/イミュータブル）、EDR、ゼロトラストの拡大「パッチは後で」「古い端末は動けばOK」文化
2020s侵害→恐喝（暗号化＋情報暴露）の二段構えが一般化。被害額は統計上も拡大（例：IC3 166億ドル）報告義務・経営責任の制度化（例：NIS2の国内法化期限と適用日） / サイバー保険の条件厳格化 / サプライチェーン管理「セキュリティはIT部門の仕事」だけでは回らない（法務・広報・経営が不可欠に）

補助線：この2カテゴリが“政治経済”をどう動かしたか

  • 規制側は、**個人情報（権利）→越境移転（貿易）→プラットフォーム（競争と世論）→サイバー（国家安全保障）**へと主戦場が移りました。
  • 企業側は、プロダクト開発に「監査・透明性・報告」を組み込み、**コンプライアンスが“後付けコスト”ではなく“設計要件”**になりました。

主要参照データ（URL一覧）

EU：データ保護（GDPR系）・越境移転

EU「データ保護指令 95/46/EC」（GDPR以前の基本枠組み：EUR-Lex）
https://eur-lex.europa.eu/eli/dir/1995/46/oj/eng

EU「GDPRは2018年5月25日から適用」（EU公式ニュース）
https://eur-lex.europa.eu/content/news/general-data-protection-regulation-GDPR-applies-from-25-May-2018.html

欧州委員会「EUデータ保護の法的枠組み（GDPR等の整理）」 （公式解説）
https://commission.europa.eu/law/law-topic/data-protection/legal-framework-eu-data-protection_en

CJEU（EU司法裁判所）プレスリリース「Schrems II（2020年7月）」（PDF）
https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf

欧州委員会プレスリリース「EU–US Data Privacy Framework：十分性認定（2023/07/10）」 （印刷PDF）
https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_23_3721/IP_23_3721_EN.pdf

EU「EU–US Data Privacy Framework：十分性認定（実施決定 2023/1795）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng

EU：プラットフォーム規制（DMA/DSA）

Digital Markets Act（DMA）「制度概要」 （EU公式サイト）
https://digital-markets-act.ec.europa.eu/about-dma_en

欧州委員会プレスリリース「DMAに基づく非遵守調査開始（Alphabet/Apple/Meta等、2024/03/25）」 （印刷PDF）
https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_24_1689/IP_24_1689_EN.pdf

Digital Services Act（DSA）「制度概要（EU法令サマリ）」 （EUR-Lex）
https://eur-lex.europa.eu/EN/legal-content/summary/digital-services-act.html

EU：サイバーセキュリティ規制（NIS2）

NIS2「Directive (EU) 2022/2555（正文）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng

NIS2（参考：条文抜粋・民間サイト）Article 41（Transposition期限等）
https://www.nis-2-directive.com/NIS_2_Directive_Article_41.html

国際：サイバー犯罪・脅威レポート（統計・年次報告）

Council of Europe「Cybercrime（サイバー犯罪条約等）Key facts」 （国際機関）
https://www.coe.int/en/web/cybercrime/key-facts

FBI IC3「Internet Crime Report 2024」 （PDF）
https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf

FBI「Internet Crime Report（2024年版）公表プレスリリース」
https://www.fbi.gov/news/press-releases/fbi-releases-annual-internet-crime-report

Verizon「Data Breach Investigations Report（DBIR）」
https://www.verizon.com/business/resources/reports/dbir/

ENISA「Threat Landscape 2024」 （EU機関レポート）
https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024

UK NAO「WannaCryとNHS（調査報告）」 （公的監査機関）
https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/

米国：オンライン規制・責任論（基礎法）

米国「DMCA（Digital Millennium Copyright Act of 1998）」 （PDF）
https://www.copyright.gov/legislation/dmca.pdf

米議会調査局（CRS）「Section 230 概説（Congress.gov）」
https://www.congress.gov/crs-product/R46751

EU：電子商取引（基礎法）・越境データ枠組み（旧）

EU「e-Commerce Directive 2000/31/EC」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dir/2000/31/oj/eng

EU「Safe Harbor（2000/520/EC：旧十分性認定）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dec/2000/520/oj/eng

中国：サイバー法（参照）

Stanford DigiChina「中国サイバーセキュリティ法（英訳、2017/06/01施行）」
https://digichina.stanford.edu/work/translation-cybersecurity-law-of-the-peoples-republic-of-china-effective-june-1-2017/

LawInfoChina（中国法令DB：該当法令ページ） （※到達はできるが、ボット対策で本文確認不可）
https://www.lawinfochina.com/Display.aspx?EncodingName=big5&Id=22826&Lib=law&LookType=3

各国：データ保護法（国別参照）

DLA Piper「Data Protection Laws of the World：Brazil（LGPD等）」
https://www.dlapiperdataprotection.com/index.html?c=BR&t=law

India Code「Digital Personal Data Protection Act, 2023（DPDP Act）」
https://www.indiacode.nic.in/handle/123456789/22037?view_type=browse

India 政府PIB「DPDP Act関連のPress Release（PRID=2190014）」
https://www.pib.gov.in/PressReleasePage.aspx?PRID=2190014

（参考）インターネット普及・デジタル経済（統計系：体裁合わせ＋URL点検）

FRED「Internet users for the World（世界のインターネット利用者：系列）」
https://fred.stlouisfed.org/series/ITNETUSERP2WLD

World Bank API「Individuals using the Internet（%）」CSVダウンロード
https://api.worldbank.org/v2/en/indicator/IT.NET.USER.ZS?downloadformat=csv

ITU「Facts and Figures 2025（ICT統計）」
https://www.itu.int/hub/publication/d-ind-ict_mdd-2025-3/

ITU「Facts & Figures（統計トップ：代替導線）」
https://www.itu.int/en/ITU-D/Statistics/Pages/facts/default.aspx

WPP Media「This Year Next Year（2025年12月：広告市場の見通し）」
https://www.wppmedia.com/tr/news/campaigns-report-this-year-next-year-december-2025

World Bank「Global Findex 2021（デジタル決済の増加：プレスリリース）」
https://www.worldbank.org/en/news/press-release/2022/06/29/covid-19-drives-global-surge-in-use-of-digital-payments

CERN「Web誕生（Birth of the Web）」
https://home.cern/science/computing/birth-web

Stanford CISAC「Stuxnet（位置づけ・解説）」
https://cisac.fsi.stanford.edu/news/stuxnet

Pew Research Center「State of the News Media 2011」
https://www.pewresearch.org/wp-content/uploads/sites/8/2017/05/State-of-the-News-Media-Report-2011-FINAL.pdf

OECD「Productivity gains from teleworking in the post COVID-19 era（PDF：本文）」
https://www.oecd.org/content/dam/oecd/en/publications/reports/2020/07/productivity-gains-from-teleworking-in-the-post-covid-19-era-how-can-public-policies-make-it-happen_0aad8ddd/a5d52e99-en.pdfe99/

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか

by 塚井海地

インターネットは「通信手段」ではなく、情報・取引・組織・世論形成の“基盤”そのものを置き換えました。結果として、国家は統治コストと安全保障の前提を更新し、企業は流通・広告・金融を再配線し、個人はメディアと労働の持ち方を刷新していきました。
本稿は、各種の公的統計・国際機関レポートを軸に、年代（10年単位）で整理します。

データと前提（定義の注意点）

  • 「インターネット利用率」は、統計ごとに定義（直近3か月利用など）が微妙に異なり、年次改訂も起こり得ます。ここでは世界時系列は **FRED（World Bank系のシリーズ）**を軸に、直近年は World Bank Data360 / ITU で補完します。
  • 以降の分析は「世界平均」を主軸にしつつ、制度・政治イベントはEU/米国など影響が大きい地域の出来事も含めます（ただし“世界のルールの雛形”になったもの中心）。

変化のメカニズム（なぜ、そんなに効いたのか）

インターネットが効いた理由は、ざっくり言えば次の3つです。

  1. 複製コストと流通コストが限界まで下がる（情報・コンテンツ・ソフトウェア・広告が“配送”から解放）
  2. 取引コストが下がる（検索・比較・決済・配送追跡が統合され、中間業が再編）
  3. ネットワーク効果で寡占が起きやすい（規模が品質に直結し、プラットフォーム化＝市場支配が進む）

この3点が、政治（世論形成・情報戦）、経済（広告・小売・金融）、社会（メディア・働き方）へ連鎖的に波及しました。

年代別：指標で見る「普及と基盤」の推移（一覧表）

指標の核：世界のインターネット利用（人口あたり）
1990年代は“ほぼゼロ”から立ち上がり、2010年代でスマホ＋クラウドにより生活インフラ化、2020年代で規制・安全保障と一体化。

年代主な基盤の出来事（技術・制度）世界のインターネット利用（人口あたり）補足データ（普及の質）
1960sARPANETの原型的試行（研究ネットワーク）—1969年の初期メッセージ送信が「起点」の象徴として語られる
1970sTCP/IPの設計思想が形成、電子メール等が研究界隈で定着—「通信の標準化」がのちの爆発に直結
1980s研究ネットワークの拡張、DNS等の基盤整備—公共資金＋大学ネットが商用化の前段に
1990sWWWの発明（1989）→公開（1993の公開/オープン化が拡散を加速）1990: 0.05 → 2000: 6.72Webが「一般社会のUI」になった
2000sブロードバンド普及、検索・EC・SNSの土台形成2010: 28.5“検索”が購買と広告を支配し始める
2010sスマホ＋アプリ＋クラウドで日常化、SNSが世論形成の中核へ2020: 59.3データ保護（GDPR等）で統治ルールが整備
2020sパンデミックでデジタル移行が加速、地政学・規制・セキュリティと一体化2023: 67.4 / 2024: 71.2ITU推計：2025年 約74%（約60億人）、2024年は約68%（約55億人）

年代別：政治・安全保障（一覧表）

年代何が変わったか（政治・統治）新しく生まれたもの相対的に弱くなったもの
1990s情報公開と市民アクセスが拡大、政府・報道の「一方向」優位が低下政府サイト、オンライン言論空間情報独占（放送・紙中心の統制）
2000s国家安全保障に“サイバー”が常設議題化（攻撃面が現実の政策課題に）CERT/CSIRT整備、国家サイバー戦略の常態化「物理境界＝防御境界」という発想
2010sSNSが動員・世論形成に直結、同時に情報操作・介入・漏えいが政治リスク化影響工作（情報戦）の産業化、監視/諜報のデジタル化“時間をかけた合意形成”の余裕
2010s後半〜サイバー兵器の存在が一般化（重要インフラが標的化）重要インフラ防護、ゼロトラスト等の統治技術「重要設備はオフラインだから安全」神話
2020sデータ主権・輸出規制・プラットフォーム規制が地政学の中核へデジタル規制の国際競争（標準争い）“国境なきネット”の楽観主義

※Stuxnetは「サイバー兵器時代の象徴例」として学術側でも整理されています（2007〜2010にかけて標的型で物理設備へ影響）

年代別：経済・産業構造（一覧表）

年代何が変わったか（経済）代表データ生まれたもの消えた/縮んだもの
1990sEC前夜：カタログ/電話注文のデジタル化、広告のオンライン移行が萌芽—ISP、ポータル、初期EC紙の電話帳・紙の情報仲介が弱体化
2000s検索連動広告とECで「流通＋広告」が再設計、仲介業が再編—検索広告、ECモール、SaaSの原型一部の中間流通（予約・手配・小売）
2010sプラットフォーム経済が本格化（アプリ経済、クラウド、ギグ）UNCTAD：2019年の世界ECは約26.7兆ドル（“GDP比3割相当”との整理）クラウド、アプリ経済、サブスク物理メディア販売（CD/DVD等）の主役交代
2020sパンデミックでEC・デジタル決済が一段加速、広告も“デジタル前提”に小売EC比率：2019年16%→2020年**19%**へ上昇（UNCTAD）D2C、リテールメディア、デジタル公共基盤（ID/決済）既存店舗の一部、紙中心の販促
2020s中盤広告市場の重心が完全にデジタルへ2025年：純デジタルが73.2%（予測、WPP Media）クリエイタープラットフォーム、コマース広告旧来型マス広告の相対的地位

年代別：社会・文化・メディア・働き方（一覧表）

年代何が変わったか（社会）代表データ生まれたもの消えた/縮んだもの
1990sメディアが“読む/観る”から“探す”へ（検索の生活化）—Webメディア、掲示板文化紙百科事典・紙の情報収集習慣
2000s個人発信が常態化（ブログ/動画）、コミュニティが自律的に形成—ソーシャル、UGC“編集部だけが語る”モデル
2010sタイムライン化とスマホで「注意（アテンション）」が社会の争奪資源に—インフルエンサー、常時接続文化ローカル紙・紙広告（特に分類広告）
2010s〜既存新聞の広告モデルが崩壊し、ビジネスモデル転換が不可避に米国例：2010年にオンライン広告が新聞広告を上回った（Pew）ペイウォール、会員制新聞の広告依存（特に紙）
2020sリモートが制度・文化として定着（ただし揺り戻しも含む）OECD整理：パンデミック期にテレワークが急増、労働市場の“遠隔対応”が政策課題化ハイブリッドワーク、オンライン教育“出社が唯一の前提”

さらに、金融面では「現金中心」から「アカウント＋デジタル決済」へ一段進みました。世界銀行は、開発途上地域でデジタル決済利用が2014年35%→2021年57%へ上昇と整理しています。

総括：インターネットが“新しく生んだもの／終わらせたもの”の要約

  • 生んだもの：プラットフォーム経済（検索・SNS・EC・アプリ・クラウド）、デジタル広告、デジタル決済、データ保護と規制産業、サイバー安全保障、リモート/分散協業。
  • 終わらせた（相対的に縮めた）もの：紙の分類広告モデル、情報の一方向モデル、中間業の一部（予約・手配・小売・広告枠売買）、物理メディア中心の流通。

主要参照データ（URL一覧）