記事
Articles
世の中で起きていること、賑わせていること。立場によって、見るべき観点は違います。何を確認し、何から優先すべきかを整理します。
-
2026年版 中小企業白書・小規模企業白書 ── IT費用は資産に計上されないまま増えている
中小企業庁が2026年4月に閣議決定した白書で、設備投資に占めるソフトウェアの割合は中小企業7.9%、大企業12.9%でした。一方で一人当たりの情報処理・通信費は10年で5割近く増え、増加分の28.6%はクラウドサービス使用料です。何にいくら使っているかをどこで見るかを整理しました。
-
労働経済動向調査 令和8年5月 ── 足りないときの打ち手を採用の外にも持つ
厚生労働省の労働経済動向調査で、情報通信業の正社員等の不足感は＋54ポイントと調査産業計より7ポイント高くなっています。不足した部門への対応では中途採用が81%に対し、在職者の賃金改善は17%。採る手と、いまいる人に向く手の差を整理しました。
-
令和7年通信利用動向調査 企業編 ── セキュリティ対策は入れた数ではなく中身で見る
総務省の令和7年通信利用動向調査で、過去1年間に何らかのセキュリティ被害を受けた企業は48.0%、何らかの対応をしている企業は98.0%でした。対応の中身を見ると、端末のウイルス対策が81.8%に対し、アクセスログの記録は40.9%です。自社と委託先をどの順番で見直すかを整理しました。
-
生成AIおよびAIエージェントを安全に活用するための手引書 ── AIの被害は情報漏洩だけで数えない
情報処理推進機構の産業サイバーセキュリティセンターが2026年7月31日に出した手引書で、ユーザー企業に起きる被害が七つに分けられました。情報の漏洩から過剰課金の発生まで、ISO/IEC 27000の7特性に照らして選ばれています。リスクの高さの決め方と、シャドーAIをどう扱うかもあわせて整理しました。
-
AIセーフティ評価観点ガイド 第1.20版 ── AIエージェントは止められるように作る
AIセーフティ・インスティテュートが令和8年7月7日に公開した評価観点ガイド第1.20版で、AIエージェントシステムだけを対象とする観点「観測と制御」が新設されました。既存10観点のうち七つがエージェントにも広がり、三つはLLMシステムのまま残っています。何を記録し、誰がどこで止めるかを決めるための整理です。
-
ステルスマーケティング告示 ── 開発チームの投稿も広告だと分かるようにする
令和5年10月1日から、広告であることを隠した表示は景品表示法違反になりました。規制されるのは広告主で、開発や販売に係る担当チームの一員が自社の商品について投稿した場合も、事業者の表示に当たることがあります。自社サイトに載せる第三者の声や、SNSの投稿の引用についての考え方もあわせて整理しました。
-
フリーランス法のハラスメント対策 ── 業務委託にもハラスメントの相談窓口が要る
フリーランス・事業者間取引適正化等法で、都道府県労働局の指導が最も多いのはハラスメント対策に係る体制整備義務（法第14条）の違反です。従業員向けの規定と相談窓口があっても、業務委託についての体制が無ければ対象になります。講ずべき四つの措置と、相談したことを理由とする不利益な取扱いの禁止を整理しました。
-
顔特徴データと改正個人情報保護法 ── 顔で識別していることを、本人に知らせる義務
令和8年7月17日に公布された改正個人情報保護法で、顔特徴データなどの特定生体個人情報について、六つの事項をあらかじめ本人に通知するか、本人が容易に知り得る状態に置く義務が設けられます。いまの利用目的の通知等と違い、公表という選択肢はありません。オプトアウト制度による第三者提供の禁止と、利用停止等の請求もあわせて整理しました。
-
令和8年の改正個人情報保護法 ── 委託を受けた会社にも、法律の義務が課される
令和8年7月17日に公布された改正個人情報保護法で、個人情報の取扱いの委託を受けた事業者に、委託された業務の遂行に必要な範囲を超えて取り扱ってはならない義務が設けられます。二以上の段階にわたる委託も含まれます。契約で取扱いの方法を定めた場合に適用が外れる規定と、外れない規定もあわせて整理しました。
-
サイバーセキュリティ経営ガイドライン ── 委託先の対策状況の把握も、経営者が指示する
経済産業省とIPAのサイバーセキュリティ経営ガイドラインVer3.0は、経営者が認識すべき3原則と、CISO等に指示すべき重要10項目を示しています。その9番目が、ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策です。担当者へのいわゆる「丸投げ」は許されない、とも書かれています。
-
DX動向2026 生成AIの使われ方 ── 効果が出た会社ほど、リスク管理ができている
IPAが2026年7月30日に公開したDX動向2026は、国内企業1,799社の回答をまとめた調査です。AIで効果を感じている企業ほど、リスクマネジメントを実施できている、と原典は書いています。学習データの整備でも、人材への対応でも同じ差が出ました。一方で、AI独自のリスクマネジメントを実施している企業は14.2%にとどまります。
-
フリーランス法の募集情報の的確表示 ── 報酬を書かない募集は、それだけで違反になる
厚生労働省が令和6年12月18日付の通達で、募集情報に含める六つを示しました。氏名または名称、住所、連絡先、業務の内容、業務に従事する場所、報酬。一つでも欠けると誤解を生じさせる表示に当たります。令和7年度の指導事例には、IT開発のテスト作業の募集が入っています。
-
令和7年度 フリーランス法の運用状況 ── 発注したら直ちに、取引条件を明示する義務
公正取引委員会が令和7年度の運用状況を2026年6月10日に公表しました。勧告10件は、すべて取引条件の明示義務違反を含んでいます。措置1,552件を業種別に見ると、情報通信業が最も多く575件・37.0%。この法律には、発注する側の資本金や従業員数による線引きがありません。
-
2026年9月の価格交渉促進月間 ── 人事評価の配慮まで、大臣名で求められている
経済産業大臣名の周知依頼が2026年8月27日付で出ました。依頼の一つが、価格転嫁を受け入れた調達部門の担当者が人事評価で不利益を被らないよう配慮すること。協議の場を申し出の前に設けることと、今回の月間から官公需に特化した調査が加わることも書かれています。
-
委託先が入れたOSS ── OSSの一覧が無いと、脆弱性の判断ができない
IPAの2025年度オープンソース推進レポートに、OSSポリシーの整備率が企業種別で載っています。ユーザー系255社は28.2%、ベンダー系107社は57.0%でした。倍近い開きがあります。委託したシステムに入っているOSSを把握するために、委託先に何を聞けばよいかを整理します。
-
生成AIサービスへの要求事項 ── AIを入れる前に、必ず求める20項目を決める
デジタル庁が2026年6月12日、生成AIの調達・利活用に係るガイドラインを2.0版に改定しました。調達チェックシートには、事業者に求める要求事項が33件並んでいます。うち20項目が原則として必ず求める基本項目で、7項目は条件付き、6項目は加点項目です。約款への同意だけで使うサービスでは、原則として要機密情報を扱えないとも書かれています。
-
成果物の知的財産権 ── 契約書に書いた無償譲渡が、指導を受けている
公正取引委員会と中小企業庁が2026年6月29日、広告業における取適法違反被疑事件の集中調査の結果を公表しました。広告業者に71件の指導を行い、21件の事例を公開しています。基本契約書に知的財産権を無償で譲渡する旨を記載していた事例も、不当な経済上の利益の提供要請として指導の対象になりました。
-
北朝鮮IT労働者への注意喚起 ── 技術を見極める前に、本人かどうかを確かめる
2026年7月31日、警察庁・国家サイバー統括室・外務省・財務省・経済産業省が、米国や韓国を始めとする関係機関と共に北朝鮮IT労働者に関する注意喚起を公表しました。雇用または業務を発注する側が確かめる特徴として、六つが挙がっています。契約して対価を払う行為は、日本を含む多くの国の国内法に違反するおそれがあります。
-
ランサムウェア被害の復旧 ── 身代金を払う前に、警察庁の復号ツールを探す
令和8年版警察白書によると、警察庁はランサムウェアで暗号化されたデータを戻す復号ツールを公開しています。Phobosのツールは令和7年7月に公開され、令和8年4月現在で少なくとも17の被害企業等が約717万件を復号しました。LockBitのツールでは24の被害企業等が約1,290万件を復号しています。
-
AIの動作と判定の説明 ── 基礎は自分で調べ、判定の経緯はベンダーに聞く
IPAの意識調査は、AIの動作や判定の説明を提供するのが望ましい相手を、九つの項目ごとに聞いています。基本知識では書籍・Webが40.9%で突出しますが、判定の経緯では書籍・Webが28.3%、AIモデルの提供ベンダーが25.7%で差が2.6ポイントに縮みます。組織内で重要とされる説明の1位は、判定の経緯と利用者がどう対処したかです。
-
能動的サイバー防御の施行 ── 自社のサーバーも、10月から警察が止められる
令和8年版警察白書の特集によると、改正警察官職務執行法のアクセス・無害化措置は令和8年10月1日に施行されます。無害化措置の例として挙がっているのは、不正プログラムの消去、機器のシャットダウン、攻撃者の再ログイン防止のための設定変更です。措置を実施したことは、原則として管理者に事後通知されます。
-
見積もりの妥当性 ── 見積もりを比べる先は、自社の中にもある
IPAのソフトウェア開発分析データ集は、事業終了に伴い今後の発行予定がないとページに書かれています。最新は2022年版です。工数や工期などの基本的項目は、5,546件ではなく直近6年の1,479件から算出されています。原典はベンチマークを組織内外の参照情報と定義していて、比べる先を外に限っていません。
-
サイバーセキュリティと経営者の義務 ── サイバーセキュリティの義務は、会社法から来る
国家サイバー統括室の関係法令Q&Aハンドブックは、民間企業に一律に当てはまるサイバーセキュリティの法令はないと書いています。義務は会社法の内部統制システムから来ます。明文の義務がない会社も、決めていなければ責任を問われる場合があります。
-
生成AIの出力と著作権 ── 知らなかったことは、免れる理由にならない
文化庁のAIと著作権に関するチェックリスト＆ガイダンスは、立場ごとに31の項目を挙げています。業務で使う会社に当たるのは8項目です。使った人が元の作品を知らなくても、そのAIが学習したデータに元の作品が入っていることがあります。
-
工程を分けた契約 ── 委託料が返るのは、前の工程に問題があったとき
IPAと経済産業省のモデル取引・契約書 第二版は、工程を分けた契約で前の工程まで戻って委託料の返還を求める例が頻発していると書いています。裁判例は並列型と直列型に分けられ、返還が認められたのは前の工程自体に債務不履行があった場合です。
-
生成AIと個人データ ── 確かめるのは、入力したものが学習に使われるか
個人情報保護委員会は、生成AIに個人情報を含むプロンプトを入力するとき、確認することを二つ挙げています。利用目的の範囲内であることと、AIの提供元が機械学習に利用しないことです。外部の事業者を使うときの判断の基準は、保存しているデータに個人データが含まれているかどうかではありません。
-
やり直しの費用負担 ── やり直しは、どちらかが全部持つ話ではない
経済産業省の振興基準は、やり直しと仕様変更の費用を誰が持つかを三か所で書いています。契約後の仕様変更の追加コストは発注する側が負担し、検査に合格したあとの指摘は原因を明らかにして双方が合理的な割合で負担します。検査について発注の前に協議して決める項目は五つです。
-
アジャイル開発の外部委託 ── 外に出せるのは開発で、決める役割は残る
IPAと経済産業省のモデル契約には、契約前に確かめる21のチェックポイントがあります。委託先の体制は三つで、残る18は発注する側が用意するか、両者で合わせるものです。プロダクトオーナーは発注する側が選び、その行為の責任も発注する側が負います。解説は「職務自体をベンダ側に委ねるべきでない」と書いています。
-
デジタル人材の在籍状況 ── 作れる人より、決める人のほうが少ない
デジタル化を始めた企業でも、CIOやCDOなどの主導者が在籍しているのは35.9%です。システムの実装に精通した人がいる会社は56.1%で、20.2ポイント多い。他の3か国では主導する人が8割台で、この差は開いていません。デジタル化の課題で二位と三位に挙がっているのは、人数が増えても埋まらないものです。
-
取適法の禁止行為 ── 相手の了解があっても、違反になる
委託元に課されている禁止事項は11項目です。公正取引委員会は「たとえ中小受託事業者の了解を得ていても、また、委託事業者に違法性の意識がなくても」違反になると書いています。禁止事項11項目のうち6件は、相手に責任がないことや正当な理由がないことを条件にしています。
-
重要情報を扱うシステム ── 64項目の要求リストは、全部書く表ではない
IPAの要求策定ガイドには要求項目が64、問題・リスクが56あります。ガイドは全部書くことを求めず、先に九つの評価で優先を決めてから選ぶ形にしています。64項目のうち11項目は「日本法」か「日本国内」の話で、サービスや機器の比較では出てきません。
-
中小企業の中途採用 ── 入る前に自社サイトを見た人は、四人に一人
中小企業に入る人のうち新卒は13.2%で、残る86.9%は中途採用の枠から入っています。求職活動で求人企業の自社サイトを使ったのは20歳代24.2%、30歳代27.0%、40歳代25.4%。選んだ理由でいちばん多いのは「仕事の内容に興味があった」で、大企業から移った人では34.5%です。
-
レガシーシステム ── 刷新を止めるのは、経営者の理解不足ではない
ユーザー企業247社のうち195社にレガシーシステムが残っています。刷新の課題でいちばん多いのは「他の案件に手一杯で十分な要員を割けない」86社、次が「ブラックボックス化により解析が困難」78社。「経営者に必要性が理解されない」は20社でした。
-
ランサムウェア ── BCPはあっても、サイバー攻撃の想定はない
警察庁に報告されたランサムウェア被害は令和7年に226件、うち143件が中小企業です。BCPを策定済の64件のうち、サイバー攻撃を想定に含んでいるのは20件でした。感染経路92件のうち不審メールは2件。止まる日数と費用を先に決めることを整理しました。
-
委託先の管理 ── 契約のあとも見ている会社は、4社に1社
個人データの取扱いを委託している421者のうち、契約のあとも取扱い状況を見ているのは24.2%です。再委託の有無を32.8%が把握せず、漏えい時の決まりが無いのが35.2%。個人情報保護委員会が従業員100人以下の4,661者に聞いた調査から、契約のあとに決めることを整理しました。
-
情報処理安全確保支援士 ── 登録者名簿で探すと、三人のうち二人が見えない
試験に合格した46,676名のうち、いま登録しているのは15,962名です。登録者名簿で相手を探すと、三人のうち二人が見えません。IPAが公開している登録者データと試験の推移表から、セキュリティを見てもらう相手の探し方を整理しました。
-
価格転嫁の読み方 ── 交渉に応じることと、値段を上げることは別
価格交渉に応じた発注者415社のうち、価格転嫁もいちばん上の区分だったのは120社でした。中小企業庁の価格交渉促進月間フォローアップ調査（2026年3月末までの取引）の発注者リストを1者ずつ集計し、交渉に応じたことと、値段が動いたことの違いを整理しました。
-
ソフトウェア動向調査 ── 手法を選ぶ前に、直したいことを一つ決める
開発手法を導入している企業の7割は、複数の手法を並行させていました。IPAの2025年度ソフトウェア動向調査（2026年2月時点）をもとに、手法の名前を決めるより先に、何を直したいのかを決める話を整理しました。
-
ソフトウェア動向調査 ── AIを入れる先は、工程ごとに決める
開発の六つの工程それぞれについてAIの導入状況を尋ねた設問で、七割の企業が六つとも同じ答えを付けていました。IPAの2025年度ソフトウェア動向調査（2026年2月時点）から、入れるかどうかではなく、どの工程に入れるかを決める話を整理しました。
-
ソフトウェア動向調査 ── 外部顧問は、会社ではなく誰がつくかで選ぶ
いま任せている先から替えられなくなった原因として、契約や知的財産より多く挙がったのは、社内に分かる人がいないことでした。IPAの2025年度ソフトウェア動向調査をもとに、技術の判断を外に頼むとき、相手について何を確かめられるかを整理しました。
-
能力開発基本調査 ── 学ぶ時間を、別に取れている会社は少ない
教育訓練の費用は増え、時間を作る三つの制度はいずれも減りました。厚生労働省の令和7年度能力開発基本調査をもとに、業務の外に学ぶ場を作れないときに、どこで渡すかを整理しました。
-
オープンソース推進レポート2025年度 ── ポリシーは、決めただけでは効かない
OSSポリシーを整備した組織は36.7%、OSSを組織として管理する部門があるのは4.1%。IPAの2025年度オープンソース推進レポートをもとに、ポリシーのどこまでが決めて終わりで、どこからが運用になるかを整理しました。
-
取適法の運用状況 ── あとから追加かどうかは、発注時に決まっている
取適法（旧・下請法）の勧告39件のうち、31件は「不当な経済上の利益の提供要請」でした。公正取引委員会の運用状況と条文をもとに、発注する側が何を分かっていないといけないのかを整理しました。
-
サイバーセキュリティ相談窓口の四半期データ ── 一人で終わらせない箇所を、決めておく
相談窓口に来ているのは、電話とメールから入るものでした。IPAの2026年4〜6月の相談状況をもとに、当事者以外が気づける場所を、どこに作っておくかを整理しました。
-
DX推進指標の自己診断 ── 自社で作るかどうかは、システムごとに決める
社内のシステムを、全部同じ扱いにしていないか。DX推進指標の自己診断1,164件をもとに、自社で作って手を入れ続けるものと、既存のサービスで足りるものの分け方を整理しました。
-
人材不足の読み方 ── 決まっていないものは、採れない
9割が「DXを進める人が足りない」と答える調査で、同時に何が起きているか。採用や育成に動く前に、自社で決められることを整理します。
-
AI導入率の読み方 ── 差がつくのは、入れたあと
日本企業の86.4%が生成AIを利用という数字は、どの範囲を指しているのか。効果が出た会社とそうでない会社を分けていたものを、公的な調査から整理します。
-
ORB化とは何か ── 情報が漏れなくても、被害は終わらない
自社の機器が、他社への攻撃の中継点にされるORB化。情報漏えいとは性質の違うこのリスクを、経営の視点で整理します。
初回のご相談は無料です。オンラインで60分ほど。その場での売り込みはしません。ここで扱っていないテーマについても、ご相談いただけます。
まずは無料で相談する