IPA「情報セキュリティ10大脅威2026」——AIリスクが3位に入った意味と中小企業の最低限の備え

「AIが脅威になった」——IPAが、ついにそう認めた。

2026年1月29日、IPA（情報処理推進機構）が毎年恒例の「情報セキュリティ10大脅威」を発表した。組織向けの脅威ランキングで、「AIの利用をめぐるサイバーリスク」が初選出、いきなり3位にランクインした。

1位はランサムウェア（11年連続）、2位はサプライチェーン攻撃。この2つは「またか」という顔ぶれだ。でも3位の新顔は、僕たちのようにAIを日常的に使っている人間にとって、無視できないシグナルだと思う。

何がリスクで、何をすればいいのか。セキュリティの現場にいる立場から、正直に整理してみる。

目次

1. 2026年のランキング——何が変わったか
2. AIリスクの中身を分解する
3. 「使う側」と「攻められる側」——AIリスクの両面
4. 中小企業は、まず何をやればいいか
5. 「外に出さない」という選択肢——ローカルLLM
6. 次に来るもの——ISO 42001というAIの規格

1. 2026年のランキング——何が変わったか

まず全体像を押さえておく。組織向け10大脅威のトップ3はこうだ。

1位：ランサム攻撃による被害（11年連続）。2位：サプライチェーンや委託先を狙った攻撃。3位：AIの利用をめぐるサイバーリスク（初選出）。

上位2つは変わらない。ランサムウェアは二重恐喝が主流のまま、仮想化基盤や基幹システムを狙った高額要求が増え続けている。サプライチェーン攻撃も、委託先を経由した侵入ルートが常態化した。

注目すべきは「AI」が独立した脅威カテゴリとして認定されたことだ。これまでAI関連の問題は他の脅威の「一部」として扱われていたが、ついに単独で3位に入った。IPAが「AIそのものが脅威の震源地になりつつある」と判断したということだ。

2. AIリスクの中身を分解する

「AIが危険」と言われても、何が危険なのか分からなければ対策のしようがない。IPAが挙げているリスクは、大きく3つに分けられる。

①AIを「理解しないまま使う」リスク。業務で生成AIを使うとき、入力した情報がどう扱われるかを把握していない従業員は多い。顧客情報や機密データをそのままChatGPTに貼り付けて要約させる——このとき、そのデータがAI側の学習に使われる可能性がある。意図しない情報漏洩だ。著作権や肖像権の侵害も同じ構造で起きる。

②AIの出力を「過信する」リスク。ハルシネーション——AIがもっともらしい嘘を出力する現象だ。裏取りなしで業務に使えば、誤情報に基づく意思決定が起きる。生成AIの出力は「下書き」であって「事実」ではない。この区別が組織に浸透していないケースが非常に多い。

③AI技術が「攻撃に使われる」リスク。攻撃者がAIを使ってフィッシングメールの文面を生成したり、脆弱性スキャンを自動化したりしている。自然な日本語のフィッシングメールが大量に生成される時代だ。従来の「不自然な日本語で見破る」という防御法は、もう通用しない。

3. 「使う側」と「攻められる側」——AIリスクの両面

ここが重要なポイントだ。AIリスクには「自分たちがAIを使うことで生まれるリスク」と「攻撃者がAIを使うことで受けるリスク」の2つの面がある。

「使う側」のリスクで最も深刻なのが、シャドーAIだ。会社が認めていないAIサービスを、従業員が勝手に使うことでガバナンスが崩壊する。「個人のChatGPTアカウントで議事録を要約しました」——この一言で、会議の機密情報が外部サービスに渡っている可能性がある。

「攻められる側」では、AIで強化されたソーシャルエンジニアリングが脅威だ。ディープフェイクで上司の声を合成した電話、完璧な日本語で書かれた標的型メール——攻撃の速度・精度・規模が、AIによって加速されている。

セキュリティ研修でも、この「両面」を扱う設計が必要になってきた。

→ 研修設計の実践はこちら：セキュリティ研修をAIで設計した——30分で骨格が揃い、本番で「自分ごと化」が起きた話

4. 中小企業は、まず何をやればいいか

「分かった、AIは危険だ。で、うちは何をすればいいんだ？」——そう聞かれることが多い。現場でのコンサル経験も踏まえて、最低限の3アクションを挙げる。

第1に、AI利用のルールを決める。「どのAIサービスを使っていいか」「何を入力してはいけないか」を明文化する。完璧な規程じゃなくていい。A4一枚のガイドラインでも、あるのとないのでは全く違う。

第2に、入力情報を制限する。顧客名・個人情報・社内の未公開情報——これらをAIに入力しない、というルールを徹底する。「AIに聞く前に、入力して大丈夫か3秒考える」——これだけでリスクは大幅に減る。

第3に、生成物を検証する。AIの出力をそのまま使わない。特に数値・法令・人名は必ず一次ソースで確認する。ハルシネーションは「バグ」ではなく「仕様」だと思った方がいい。

上司がこのあたりの話を理解してくれない——そういう壁にぶつかっている人は、こちらの記事も読んでほしい。

→ 社内セキュリティが進まない本当の理由——上司の知識不足という盲点

5. 「外に出さない」という選択肢——ローカルLLM

「機密情報をAIに入力するな」と言われても、AIの恩恵は受けたい。その矛盾に対する現実的な回答のひとつが、ローカルLLM——つまりクラウドに接続しない、自分のPC上で完結するAIの活用だ。

僕はLM Studioというツールを使って、Mac mini M4やMacBook Air M5上でローカルにLLMを動かしている。データは自分の端末の中だけで処理されるので、外部への情報流出リスクがそもそも存在しない。社内文書の要約、議事録の整理、規程のドラフト検討——機密性の高い作業こそ、ローカルLLMの出番だ。

もちろん、ローカルLLMはクラウドのClaude やChatGPTほど賢くはない。回答の質・速度・対応範囲は正直劣る。だからこそ「使い分け」が正解だ。機密情報を扱う作業はローカルLLM、それ以外はクラウドAI——この棲み分けができれば、利便性とセキュリティを両立できる。

ローカルLLMの具体的な導入方法や実測パフォーマンスについては、別記事で詳しく書く予定だ。

6. 次に来るもの——ISO 42001というAIの規格

IPAの10大脅威は「何が起きているか」を示すレポートだ。では「どう備えるか」を体系的に整理した規格はあるのか——ある。ISO/IEC 42001だ。

これはAIマネジメントシステム（AIMS）の国際規格で、ISO 27001と同じPDCA構造をベースにしている。AIのリスク管理・倫理・透明性・データガバナンスを組織的に運用するためのフレームワークだ。EU AI Actとの連携も進んでおり、今後AIガバナンスのデファクトスタンダードになる可能性が高い。

ISO 27001で情報セキュリティの「仕組み」を整え、27017・27018でクラウドに拡張し、42001でAI固有のリスクに対応する——この「成長の地図」が見えてきた。次回以降の記事で、ISO 42001の中身を詳しく整理する。

関連記事

・セキュリティ研修をAIで設計した——30分で骨格が揃い、本番で「自分ごと化」が起きた話
AIリスクを研修に組み込む実践例。本記事の「攻められる側」の対策として。

・社内セキュリティが進まない本当の理由——上司の知識不足という盲点
AIリスク対策を社内で推進するとき、最初にぶつかる壁の話。

・ISO 27017・27018とは何か？クラウド移行後のセキュリティ規格を現場目線で解説
クラウドAIを使う前提で知っておくべき規格の話。本記事と合わせて読んでほしい。

内部監査って何をするのか——チェックリストと現場での進め方【ISO27001】

「内部監査って、要するに自分たちで自分たちをチェックすること？」——そう、だいたいそれで合っている。

ISO27001の運用支援をしていると、担当者から一番よく聞かれる質問のひとつが「内部監査って具体的に何をするんですか？」だ。認証取得を目指す組織にとって義務ではあるが、「どうやればいいか分からない」という声は想像以上に多い。

今回は、内部監査の目的・進め方・チェックリストの作り方を、現場目線で解説していく。ISO27001の基礎を押さえたい方は、まず以下の記事から読んでほしい。

→ ISO27001とは何か？仕組み重視の情報セキュリティ入門【中小組織向け】

目次

1. 内部監査とは何か：「自己点検」ではなく「仕組みの検証」
2. なぜ内部監査が必要か：外部審査だけでは見えないもの
3. 内部監査の進め方：4つのステップ
4. チェックリストの作り方：ゼロから作らなくていい
5. 指摘事項の扱い方：「不合格」ではなく「改善の種」
6. 中小組織での現実的な運用：年1回でも十分機能する
7. 内部監査は「育てるもの」だ

1. 内部監査とは何か：「自己点検」ではなく「仕組みの検証」

内部監査とは、組織が自ら情報セキュリティマネジメントシステム（ISMS）の運用状況を確認する活動だ。ISO27001では年1回以上の実施が求められている。

よくある誤解が「自分たちで自分たちを評価するなら甘くなる」というものだ。確かにその傾向はある。ただ、内部監査の本質は「合否を判定すること」ではなく「仕組みが実態通りに動いているかを確認すること」だ。問題を見つけて改善につなげるプロセスが目的であって、高得点を取ることが目的ではない。

外部の審査機関が行う「外部審査」と違い、内部監査は組織の実態に深く踏み込める点が強みだ。毎日業務をしている人間が確認するからこそ、外からは見えない「ズレ」を発見できる。

2. なぜ内部監査が必要か：外部審査だけでは見えないもの

ISO27001の認証を維持するためには外部審査が必要だが、外部審査だけでは不十分な理由がある。

外部審査員は限られた時間の中でサンプリングを行う。組織の全部を確認するわけではない。「審査日に見せた資料と、日常の運用が一致しているか」——これを継続的に確認できるのは内部監査だけだ。

現場で実際に起きているのは、規程には書いてあるが誰も守っていないルール、台帳上は管理されているが実態が違うデータ、担当者が変わって引き継がれなかった手順——こういった「ズレ」の積み重ねだ。内部監査はそれを定期的にリセットする機会になる。

3. 内部監査の進め方：4つのステップ

内部監査は以下の4ステップで進める。規模を問わず、この流れは共通だ。

ステップ1：監査計画の策定
いつ・どの部門を・何を確認するかを決める。監査範囲・日程・担当者をあらかじめ文書化しておく。初めての場合は「主要な情報資産を扱う部門」から始めると整理しやすい。

ステップ2：チェックリストの準備
確認項目を事前にリスト化する。ISO27001の要求事項・自組織の規程・過去の是正処置内容をもとに作成する。詳細は次のセクションで説明する。

ステップ3：監査の実施
書類確認・現地サンプリング・担当者ヒアリングの3つを組み合わせて行う。「書いてあること」と「実際にやっていること」のズレを見つけることに集中する。

ステップ4：監査報告と是正処置
指摘事項を報告書にまとめ、是正処置の計画を立てる。指摘の重さに応じて「不適合」「観察事項」「改善提案」に分類すると整理しやすい。

4. チェックリストの作り方：ゼロから作らなくていい

チェックリストをゼロから作る必要はない。ISO27001の附属書Aに管理策が列挙されているので、それを自組織の文脈に合わせて絞り込むのが現実的だ。

確認項目は大きく3カテゴリに分けると使いやすい。

① 文書・記録の確認：規程・手順書・台帳が最新版か、必要な記録が残っているか
② 実施状況の確認：規程通りに運用されているか、担当者が手順を理解しているか
③ インシデント・リスクの確認：直近のインシデント対応は適切だったか、リスクの状況に変化はないか

AIを使うと、チェックリストのドラフト生成が大幅に効率化できる。「ISO27001附属書Aをもとに、医療系中小企業向けの内部監査チェックリストを作って」という指示で実用的な叩き台が出てくる。情報資産台帳とAIの活用については以下の記事でも触れている。

→ 棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話

5. 指摘事項の扱い方：「不合格」ではなく「改善の種」

内部監査で指摘事項が出ることを恐れる担当者は多い。ただ、指摘事項が出ない内部監査は「機能していない監査」の可能性が高い。

指摘事項は3段階で分類するとその後の処理がしやすくなる。

不適合：ISO27001の要求事項または自組織の規程に明確に違反している状態。是正処置が必須。
観察事項：現時点では要求事項を満たしているが、このままでは不適合になりうる懸念がある状態。
改善提案：義務ではないが、改善すると効果が期待できる事項。

重要なのは、指摘事項が出た後に「是正処置→効果確認」まで記録として残すことだ。PDCAサイクルを回すという観点では、是正処置の記録こそがISMSの証拠になる。

6. 中小組織での現実的な運用：年1回でも十分機能する

人手が限られる中小組織では、内部監査に大きなリソースをかけるのが難しい。現実的な運用の工夫を3つ挙げる。

監査員は「その部門の担当者以外」から選ぶ：自分の部門を自分で監査すると客観性が失われる。他部門の担当者が相互に監査し合う形にすると機能しやすい。

チェックリストを使い回す：毎年ゼロから作らない。前回の指摘事項・是正状況の確認を前半に入れ、後半で新たな確認項目を加える形で積み上げていく。

記録はシンプルでいい：立派な報告書フォーマットよりも、「確認項目・結果・指摘事項・是正処置」の4列があれば十分だ。更新されない完璧な書式より、使い続けられるシンプルな記録の方が価値がある。

内部監査は「育てるもの」だ

最初の内部監査が完璧である必要はない。チェックリストが粗くても、指摘が少なくても、やり切ることに意味がある。

回を重ねるごとに「どこを見ればズレが分かるか」という勘が養われていく。内部監査は一発勝負ではなく、組織と一緒に育てていくものだ。

次回は、セキュリティ規程をAIに書かせてみた実体験を書いていく予定だ。

関連記事

・ISO27001とは何か？仕組み重視の情報セキュリティ入門【中小組織向け】
ISO27001の本質と「仕組み重視」の考え方を解説した入門記事。

・棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話
情報資産台帳の作り方とAI活用の具体例を紹介した実践記事。

Claude Codeがゲームを作った——Godogenが示す「コードを書かない開発」の最前線

「ゲームを作って。」——その一言で、AIが本当にゲームを作り始めた。

先日、GitHubに「Godogen」というプロジェクトが公開された。Claude Codeのスキル機能を使い、ゲームの説明文を入力するだけでGodot Engine 4のゲームプロジェクトを自動生成するというツールだ。Hacker Newsで241ポイント、145件のコメントを集めた話題作でもある。

「コードが書けない人でも使えるのか？」「本当にゲームになるのか？」——気になることが多すぎたので、仕組みを調べて正直に書いていく。

目次

1. Godogenとは何か：Claude Codeが「ゲームエンジン」を動かす
2. どう動くのか：計画→生成→検証のループ
3. AIの分業体制がすごい
4. 正直に言う。「3つの現実」
5. これは何を意味するのか
6. 「コードが書けない」は、もう言い訳にならない

1. Godogenとは何か：Claude Codeが「ゲームエンジン」を動かす

Godogenは、GitHubユーザーhtdtが公開したオープンソースのプロジェクトだ。Claude Codeのスキル（Skills）機能を利用し、テキストでゲームの仕様を伝えるだけで、Godot Engine 4の完全なゲームプロジェクトを自動構築する。

Godot Engineは、UnityやUnreal Engineと並ぶ人気のゲーム開発エンジンだ。無料・オープンソースで、近年インディー開発者を中心に急速に普及している。GodogenはそのGodotを「AIが操作するキャンバス」として使う発想で作られている。

使い方はシンプルだ。publish.shを実行してプロジェクトフォルダをセットアップし、そのフォルダでClaude Codeを開く。あとは「こんなゲームを作って」と伝えるだけ。/godogenスキルが以降のすべてを担う。

ClaudeがGodotを使って何かを作っている——そう書くと大げさに聞こえるかもしれないが、実際にそれが起きている。

→ Claudeを選んだ理由から読みたい人はこちら：AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話

2. どう動くのか：計画→生成→検証のループ

Godogenの面白さは、単に「コードを生成する」だけでないところにある。内部では2つのClaude Codeスキルが連携している。1つ目が「設計・計画」を担うスキル、2つ目が「実装・実行」を担うスキルだ。それぞれが独立したコンテキストで動くことで、タスクへの集中度を保つ設計になっている。

さらに驚くのが、視覚的な検証ループだ。Godogenはゲームを生成した後、実際に動かしたスクリーンショットを撮影し、それをAIに分析させる。テクスチャが欠けていないか、物理演算が崩れていないか——目で見て確かめ、問題があれば自動で修正する。

「コードを書いて終わり」ではなく、「動くものを確認して直す」ループが回っている。これは従来のコード生成ツールとは一線を画す部分だ。

3. AIの分業体制がすごい

Godogenが使うAIはClaudeだけではない。複数のAIが役割分担しながら1つのゲームを作り上げる。

2Dアートとテクスチャの生成はGeminiが担当し、生成した画像を3Dモデルに変換する部分はTripo3Dが使われる。さらに、スクリーンショットの解析にはGemini Flashの画像認識機能が使われる。Claudeが司令塔となって、複数のAIを束ねながらプロジェクトを進める構造だ。

もう一つ、Godogenが工夫しているのがGDScript（GodotのスクリプトLanguage）への対応だ。GDScriptはGodot独自の言語で、LLMの学習データに含まれる量が少ない。そこでGodogenは独自のGDScript言語リファレンスとGodotの850以上のクラスAPIドキュメントをあらかじめ用意し、Claudeがコードを生成する際に参照できる仕組みを作っている。

「AIが知らない言語をどう扱うか」という問題を、外部ドキュメントで補う——この発想がうまい。

4. 正直に言う。「3つの現実」

良いことを書いてきたので、現実も伝えておく。

現実①：1回の生成に数時間かかる。Claudeがコードを書き、Godotを動かし、スクリーンショットを撮って分析して修正して——このループを繰り返す作業は、体感的には「AIに丸投げして寝て待つ」ものだ。開発者はクラウドVMでの実行を推奨している。

現実②：macOSでは動作未確認。スクリーンショット取得にX11/xvfb/Vulkanを使う関係で、現時点ではUbuntu・Debian環境でのみテスト済みとのことだ。Macユーザーはそのままでは動かせない可能性が高い。

現実③：できるのは「シンプルなゲーム」まで。プラットフォーマー、パズル、簡単なアーケードクローン——これらは動くものが作れる。ただ、「出荷できるクオリティ」ではない。コードは構造化されていてシーンもきちんと組まれているが、磨き込みは人間の手が必要だ。

これはGodogenへの批判ではない。「数時間でプレイアブルなゲームの雛形が出てくる」という事実の方が、普通に考えて革命的だ。

5. これは何を意味するのか

Godogenが示しているのは、「AIが道具を使う」時代の到来だ。

これまでのAI活用は「AIがテキストを出す→人間がそれを使う」という形だった。だがGodogenではAIがゲームエンジンというソフトウェアを直接操作し、成果物を作り上げる。人間は最初に「作りたいもの」を伝えるだけで、中間の工程に関与しない。

この流れは、僕がセキュリティ規程のドラフトをClaudeに書かせた体験と重なる。用途は全く違うが、「AIに何かを作らせる」設計思想は同じだ。Claudeが持つ「スキル」という仕組みが、特定のドメインで何ができるかを急速に拡張している。

→ Claudeで規程を書かせた話はこちら：セキュリティ規程、AIに書かせてみた——Claudeで半日完成したドラフトと正直な感想

6. 「コードが書けない」は、もう言い訳にならない

Godogenは非エンジニアのためのツールか、と言われると微妙だ。現状はLinux環境のセットアップやClaude APIキーの取得が必要で、ゼロ知識の人がすぐ使えるものではない。

それでも、方向性は明確だ。「コードを書く」という作業がAIに委譲される速度は、誰もが思っているより早い。Hacker Newsでのあの反響は、エンジニアたちが「ついにここまで来たか」と感じた驚きの証拠だ。

ゲームを作りたい人、アイデアはあるけどコードが書けない人——そういう人たちが使える日は、もうすぐそこまで来ている。今のGodogenはその最前線の、荒削りな姿だ。

必要なのはClaude APIキーとGodotと、作りたいものへの想像力だけだ。

関連記事

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
セキュリティ担当者がなぜClaudeを選んだのか。AI選びの視点と企業姿勢の話。

・セキュリティ規程、AIに書かせてみた——Claudeで半日完成したドラフトと正直な感想
Claudeを「文書を作るAI」として使った実体験。Godogenとは別の使い方で「AIに作らせる」感覚が分かる記事。

・AIサービスに「使ってはいけない用途」を設けることの意味——AnthropicのAI倫理と利用制限の全容
Claudeを開発するAnthropicの企業倫理と利用制限の話。Claudeの「できること」の背景を知る記事。

セキュリティ規程、AIに書かせてみた——Claudeで半日完成したドラフトと正直な感想

「規程、作ってください。」——その一言を上司から言われたとき、正直、膝から崩れ落ちそうになった。

情報セキュリティ担当になって数ヶ月。情報資産台帳はなんとか整えた。リスクも棚卸しした。でも「規程を書いてほしい」となると話が違う。何を書けばいいかの前に、何を書く必要があるか自体が分からないという壁が目の前に立ちはだかった。

そこで試したのが、AIへの丸投げだ。結論から言う。半日でドラフトが完成した。驚き・誤算・「これは道具として完成している」という感想まで、正直に書いていく。

目次

1. なぜ「規程をAIで」と思ったか
2. 実際にやってみた：Claudeへの問いかけ方
3. 驚き①：雛形の精度が「想定の3倍」高かった
4. 驚き②：「考える素材」として優秀すぎる
5. 正直に言う。「1つの誤算」
6. 規程は「作ること」より「使うこと」の方が難しい

1. なぜ「規程をAIで」と思ったか

情報セキュリティ規程を一から書いたことがある人は分かると思う。まず「何を書けばいいか」が分からない。JIS Q 27001（ISO27001）には管理策のリストがある。でも「どの管理策が自社に必要か」を判断するにはリスクアセスメントの結果が必要で、そのためには情報資産台帳が必要で……という連鎖に、頭がこんがらがる。

情報資産台帳の整理にAIを使ったときの手応えが、頭に残っていた。「ならば規程のドラフトも、同じ要領でいけるんじゃないか。」試してみたのは、そんな軽い気持ちからだった。

→ 情報資産台帳のAI活用の話はこちら：棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話

2. 実際にやってみた：Claudeへの問いかけ方

まずやったのは「現状を整理して伝える」ことだ。組織の規模（従業員数）、業種、扱っている情報の種類、すでにある社内ルール——これらをざっくりテキストにまとめて、Claudeに渡した。

プロンプトはシンプルにした。「ISO27001に準拠した情報セキュリティ基本方針と運用規程のドラフトを作成してください。対象組織の状況は以下の通りです——」という書き出しで、あとは現状テキストを貼り付けるだけ。

出てきた回答が、想定の3倍くらいの精度だった。

基本方針（目的・適用範囲・責任体制・年次レビューの定め）から、具体的な運用規程（パスワード管理、情報資産の取り扱い、インシデント報告フロー）まで、構造化されたドラフトが2分以内に出力された。

3. 驚き①：雛形の精度が「想定の3倍」高かった

正直、期待していたのは「ゼロから書くよりはマシな出発点」だった。でも出てきたものは、そのまま上司に見せられるレベルの構成になっていた。

特に良かったのが「適用範囲」と「責任体制」の記述だ。担当者が書くと「全従業員が対象」という一文で終わりがちな部分が、「正社員・契約社員・業務委託先を含む」という形で、実務的に漏れのない表現になっていた。

インシデント報告フローも、「発見→即時報告→初動対応→記録→再発防止」というステップが明示され、手順書として使える形に近かった。ISO27001の管理策番号まで参照されていたのは、さすがに驚いた。

「これ、本当に自分で書かなくていいのでは？」と思った瞬間だった。

4. 驚き②：「考える素材」として優秀すぎる

もうひとつの発見は、AIのドラフトが「叩き台として優秀」だということだ。

ドラフトを読んでいると、「あ、うちにはこの項目が抜けてる」「この表現は現場の実態と合わない」という気づきが次々と出てきた。ゼロから考えると何も出てこないのに、叩き台があると問題点が見える。これは情報資産台帳の整理でも感じた感覚と同じだった。

結局、AIが出したドラフトを60〜70%ベースに、自組織の実態に合わせて加筆・修正する形になった。ゼロから書いていたら丸2日かかっていた作業が、半日で形になった。

ISO27001の「仕組みを作る」という観点でいえば、AIはその最初の一歩を劇的に短縮してくれる道具だと思っている。

→ ISO27001の「仕組み重視」の考え方はこちら：ISO27001とは何か？仕組み重視の情報セキュリティ入門【中小組織向け】

5. 正直に言う。「1つの誤算」

良いことばかり書いたので、正直なところも書く。ファクトチェックは必須だ。

AIが出した規程の中に、「個人情報保護法の第○条に基づき〜」という記述があった。確認したら、条番号がずれていた。法改正のタイミングとモデルの学習データの関係もあり、最新の法令への対応が完全ではないことがある。

また、業種特有の規制——医療なら医療法、金融なら金融商品取引法——への言及は薄い。一般的な規程としては機能するが、業種固有のリスクに対応するには人間が補う必要がある。

AIは「下書きを速く作る道具」であって、「法令確認を代替する道具」ではない。この線引きを意識せずにいると、規程に誤りが紛れ込む。最後に人間の目が入ることは省けない。

6. 規程は「作ること」より「使うこと」の方が難しい

半日で規程のドラフトができた。でも、本当の意味でそれが「機能する」かどうかは、作った後の話だ。

規程が机の引き出しにしまわれたまま誰も読まない——これはISO27001の現場では日常的な光景だ。年次レビューで更新し、従業員に周知し、運用されていることを確認するサイクルが回って初めて、規程は意味を持つ。

AIは「作る」スピードを上げてくれる。でも「使い続ける仕組みを作る」部分は、まだ人間の仕事だ。そもそも経営層を巻き込んで規程を組織に定着させることの難しさは、前の記事で書いた通りだ。

→ 「上が動かない」問題の話はこちら：社内セキュリティが進まない本当の理由——上司の知識不足という盲点

次は、完成した規程を従業員に「伝える」ための社内研修の設計について書いていく予定だ。

関連記事

・棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話
本記事の「前段」。情報資産を可視化してからセキュリティ規程に進むという流れを解説している。

・社内セキュリティが進まない本当の理由——上司の知識不足という盲点
規程を作った後に立ちはだかる「運用できない」問題の構造と、担当者の翻訳術を解説した記事。

・ISO27001とは何か？仕組み重視の情報セキュリティ入門【中小組織向け】
セキュリティは「機器」より「仕組み」で決まるという話。本記事を読む前の基礎知識として。

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
セキュリティ担当者がClaudeを選んだ理由。AIツール選定の視点で読める記事。

社内セキュリティが進まない本当の理由——上司の知識不足という盲点【現場報告】

「ウチのセキュリティ、全然進まないんですよね。」——現場担当者からこの言葉を聞くたびに、僕は「原因はどこにありますか？」と聞き返すことにしている。

その答えで一番多いのが、「予算がつかない」「上が動いてくれない」という言葉だ。技術的な問題ではなく、組織の上位層が壁になっているというケースが、思った以上に多い。

情報セキュリティのコンサルティングをしていると、セキュリティが「進まない」組織には共通したパターンがある。今回はその核心——上司・管理職層の知識不足がどう影響するか——を正直に書いていく。

目次

1. 「進まない」には、パターンがある
2. 上司の知識不足が生み出す「3つの壁」
3. なぜ管理職はセキュリティを学びにくいのか
4. 現場担当者に求められる「翻訳」という技術
5. 正直に言う。構造の問題でもある
6. 「上を動かす」のも、セキュリティ業務のうちだ

1. 「進まない」には、パターンがある

セキュリティが停滞している組織に入ると、最初に確認することがある。「誰が止めているか」だ。

技術的な問題で止まっているケースは、実は少ない。ファイアウォールの設定が分からない、ツールの使い方が難しい——そういった問題は、専門家を呼べば解決できる。

もっと根深いのが、「やる必要があるという認識が、上に届いていない」状態だ。担当者はリスクを理解している。でも稟議を上げると「本当に必要なの？」と止められる。予算要求が通らない。対策の優先度が下がり続ける。

このパターン、地方の中小組織では特に顕著だ。IT担当が1〜2名しかおらず、経営層・管理職との距離が近い分、担当者の「言い方」ひとつで承認が左右される。そしてその「言い方」に詰まる理由のひとつが、相手の知識前提を読み誤っているからだ。

2. 上司の知識不足が生み出す「3つの壁」

管理職・経営層のセキュリティ知識が不足しているとき、現場には具体的に3つの壁が生まれる。

壁①：承認が遅い・通らない。リスクの深刻さが伝わらず、「とりあえず様子を見よう」という判断になりやすい。「情報漏洩が起きたら〇〇万円の損失になる可能性がある」という試算が添付されていても、その数字が現実感を持って受け取られない。

壁②：意識が現場に下りてこない。セキュリティは「担当者が勝手にやること」として扱われ、組織全体の課題にならない。トップダウンでの意識醸成がなければ、従業員教育もパスワード管理も「形だけ」で終わる。

壁③：インシデント発生時の判断が遅れる。いざ問題が起きたとき、何を報告すべきかの判断基準が上位層に共有されていないため、初動が鈍くなる。「これは報告案件か？」を判断できる管理職がいないと、現場は動けない。

3つに共通するのは、知識がなければ意思決定できないという当たり前の事実だ。セキュリティの話を「IT担当に任せた専門の話」として切り離している限り、この壁は消えない。

3. なぜ管理職はセキュリティを学びにくいのか

「じゃあ上司が勉強すればいいだけでは？」——そう思う気持ちは分かる。でも現実はそう単純ではない。

管理職にとって、情報セキュリティは優先順位が上がりにくいテーマだ。売上・人事・顧客対応……毎日の業務の中で、「まだ何も起きていない」セキュリティに時間を割く余裕は少ない。「火が出てから消す」文化が根強い職場ほど、未然防止への投資が後回しになる。

加えて、セキュリティの学習コンテンツは技術者向けのものが多い。CVSS、ゼロデイ、エンドポイント検知——こういった用語が飛び交う資料を渡されても、管理職には入口で詰まってしまう。

知識不足は「怠慢」ではなく、学べる環境が整っていないことに起因していることも多い。だとすれば、現場担当者にできることがある。

4. 現場担当者に求められる「翻訳」という技術

ISO27001の運用支援をしていて気づいたことがある。セキュリティが「動いている」組織の担当者は、技術を経営言語に翻訳するのが上手い。

例えば、「パスワードポリシーを強化すべきです」ではなく、「昨年の業界インシデント事例では、弱いパスワードが起因で1社あたり平均〇〇万円の損失が発生しています。当社でも同様のリスクがあります」と伝える。同じ内容でも、受け取られ方がまるで違う。

数字・事例・自社への影響——この3点セットに置き換えるだけで、承認率は変わる。「何が怖いか」ではなく「何が起きたら会社はどうなるか」という視点で話すことが、翻訳の本質だ。

ISMSの構築支援をしているとき、僕はよくこの「翻訳作業」を担当者と一緒にやる。現場が分かっているリスクを、上位層に刺さる言葉に変換する。それだけで、停滞していたプロジェクトが動き始めるケースを何度も見てきた。

→ ISO27001の「仕組み」の話はここに詳しく書いた：ISO27001とは何か？仕組み重視の情報セキュリティ入門

5. 正直に言う。構造の問題でもある

ただ、担当者の「翻訳スキル」だけに責任を押しつけるのは違うとも思っている。

多くの組織では、管理職・経営層向けのセキュリティ教育が体系化されていない。従業員向けの年1回の研修はあっても、意思決定層を対象にした実務的なインプットの機会がない。知らないのは個人の問題ではなく、仕組みとして教育が届いていない構造の問題でもある。

CISO（最高情報セキュリティ責任者）を置く企業が増えているのは、この問題への一つの答えだ。専門知識を持った人間を経営の意思決定の場に置くことで、翻訳の壁を取り除く。中小組織でCISOを置くのは難しくても、「セキュリティの窓口は誰か」を明確にするだけでも状況は変わる。

担当者が孤軍奮闘している状態は、組織のリスクだ。セキュリティを「個人の努力」で支えさせる構造こそ、改めるべき問題だと思っている。

6. 「上を動かす」のも、セキュリティ業務のうちだ

情報セキュリティが進まない理由を、「予算がない」「関心がない」の一言で片づけてしまうのは簡単だ。でも現場に入ってみると、多くの場合は「伝え方」と「仕組み」の問題で解決できる余地がある。

上司の知識不足は、現場担当者が諦める理由にはならない。むしろ、「どうすれば動いてもらえるか」を考えることも、セキュリティ担当者の仕事の一部だと思っている。

翻訳し、巻き込み、仕組みを作る。地味だが、それが組織のセキュリティ水準を本当に上げる道だ。

→ まず「見える化」から始めたい人へ：棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話

関連記事

・ISO27001とは何か？仕組み重視の情報セキュリティ入門【中小組織向け】
セキュリティは「機器」より「仕組み」で決まるという話。ISO27001の本質をPDCAとともに解説した記事。

・棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話
情報資産の可視化がセキュリティの第一歩。AI活用で効率化する具体的な方法をまとめた記事。

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
セキュリティ担当者がAIツール選びで重視するポイントを書いた導入検討記。

「誰かと作業している感」が想定外によかった——Chill with You : Lo-Fi Storyレビュー

「誰かと一緒に作業している」——そう感じた瞬間、これはただのBGMアプリじゃないと気づいた。

Steamで見つけた作業用アプリ「Chill with You : Lo-Fi Story」を使い始めて、しばらく経った。Mac mini・MacBook Airの両方にインストールして、日々の作業のお供にしている。サウンドトラックまで購入した今、正直なレビューを書いておこうと思う。

目次

1. 「Chill with You」とは何か：作業用ADVという新ジャンル
2. 「一緒にいる感」が、思いのほか効く
3. BGMの質が「ちょっと想定外」だった
4. 僕の使い方：BGMありとなしを使い分ける
5. Mac mini・MacBook Air両対応が地味にありがたい
6. 正直なところ：「ゲーム」を期待すると違う
7. スマホ版が来たら、ぜひ試してほしい

1. 「Chill with You」とは何か：作業用ADVという新ジャンル

一言で言うと、「架空のルームメイトと一緒に作業する」アプリだ。

小説を書くのが好きな少女「サトネ」と同じ空間でデスクワークをする、という設定のSteamアプリ。ゲームというよりユーティリティに近い。Lo-Fiミュージック・環境音・背景をカスタマイズして、自分好みの作業環境を作ることができる。

開発はNestopi Inc.。2025年秋にSteamでリリースされ、レビュー評価は「非常に好評」で、9,000件以上のレビューのうち98%がポジティブという異例の高評価を受けている。

2. 「一緒にいる感」が、思いのほか効く

使ってみて一番驚いたのは、「誰かがそこにいる」という感覚の効果だった。

ひとりで作業していると、どうしても集中が途切れやすい。スマホを触ってしまう。ちょっと休憩のつもりが長くなる。そういう経験が誰にでもあると思う。

このアプリを起動すると、なんとなく「席を外しにくい」感覚が生まれる。サトネが同じ画面の中で作業しているという状況が、不思議と自分の集中を引き戻してくれる。理屈ではなく体感の話だが、時間があっという間に経過している感覚は、使い始めてすぐに気づいた。

3. BGMの質が「ちょっと想定外」だった

正直に言う。最初は「作業用BGMなんてYouTubeで十分では？」と思っていた。

その認識は、使い始めて数日で覆された。

このアプリのBGMは、サトネの感情や状況に合わせて作られたオリジナル楽曲だ。Lo-Fi系の心地よさはありつつ、どこか「物語の中にいる」感覚を持たせてくれる音楽になっている。作業のシチュエーションに合わせて楽曲を選べる設計も、使い込むほど気が利いていると感じる。

気に入りすぎて、サウンドトラックを単体で購入した。PCで作業できないときにMP3として流すためだ。「ツールのBGMをCDで買う」なんて経験は初めてだったが、それくらい日常に馴染んでいる。

4. 僕の使い方：BGMありとなしを使い分ける

毎回BGMを流しているわけではない。使い方を整理すると、こんな感じだ。

BGMを流すとき：調査・リサーチ・ブログのアイデア出し・メモの整理など、そこまで気張らなくていい作業のとき。集中はしたいが、ガチモードではない場面。

BGMを流さないとき：セキュリティの規程文書の作成・重要なメールの下書き・ブログ記事の本文執筆など、しっかり考えながら書かなければいけない場面。このときはむしろ無音かホワイトノイズの方が集中できる。

「作業のギアに合わせてアプリを使い分ける」という感覚で、今は自然にそのスイッチができている。

5. Mac mini・MacBook Air両対応が地味にありがたい

自宅ではMac mini、外出時にはMacBook Airで作業するスタイルなので、どちらでも同じ環境が使えるのは単純にありがたい。

Steamのライブラリに入っているので、両デバイスで同じアカウントでログインすれば追加料金なしで使える。「どちらで作業していても、サトネがいる」という状況が維持されるのは、継続的に使う上で地味に重要な点だった。

6. 正直なところ：「ゲーム」を期待すると違う

誤算を正直に書いておく。

Steamで「ゲーム」として購入したため、最初は「何かストーリーを進めるのか？」という期待を持っていた。作業を続けることでサトネとの関係が深まっていく要素はあるが、アクションもバトルも選択肢もない。ゲームらしい達成感を求めるなら、明らかにジャンルが違う。

あくまで「作業のお供」として割り切って使う——その前提で評価するなら、完成度は高い。最初からそのつもりで買った人には刺さると思う。

スマホ版が来たら、ぜひ試してほしい

PCで作業できないときにサウンドトラックのMP3を代わりに流している、という話を書いたが、これはつまり「スマホ版が欲しい」ということでもある。スマホ版のリリースが近いというアナウンスがあるので、今はそれを待っている状態だ。

「一人で作業しているのに、なんとなくひとりじゃない感じ」——この感覚に価値を感じる人には、間違いなく刺さる。スマホ版がリリースされたら、まず試してみてほしい。

AIを活用した作業環境づくりに興味がある方は、こちらもあわせて読んでほしい。

→ AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話

関連記事

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
作業環境にAIを取り入れた筆者が、Claudeを選んだ理由を書いた導入検討記。

Samsung一択が崩れる？OPPO Find N6の「折り目ゼロ」技術と2つの懸念を正直に評価

「折り目が気になるから折りたたみは買わない」——その理由が通用しなくなるかもしれない。

2026年3月17日、OPPOが新しい折りたたみスマホ「Find N6」をグローバル発表した。最大の売りは「Zero-Feel Crease」と名付けられた技術——内側ディスプレイの折り目を、視覚的にも触覚的にも感じさせないという、フォルダブル最大の弱点への直接的な回答だ。

本当に折り目が消えたのか。スペックは旗艦級か。そして、日本のユーザーには関係のある話なのか——正直に書いていく。

目次

1. 「折り目がない」——その技術の中身
2. スペックシートは「文句なし」の一言
3. Samsung一択が崩れる日
4. 正直に言う。「2つの懸念」
5. そもそも折りたたみって必要か問題
6. フォルダブルが「普通の選択肢」になる日

1. 「折り目がない」——その技術の中身

フォルダブルスマホが普及しない最大の理由は、折り目だ。開いたとき、画面の中央に走る線状のシワ。Samsung Galaxy Z Foldシリーズでも改善は続いているが、「気にならない」レベルにはまだ届いていないというのが正直なところだった。

OPPO Find N6が投入したのが「Auto-Smoothing Flex Glass」という新素材だ。従来のUltra-Thin Glass（UTG）と比べてガラスの厚みを50%増やしながら、形状回復率をほぼ100%改善し、変形耐性を338%向上させた。畳んで開いたとき、ガラスが元の平坦な状態に自力で戻る——という動作を可能にしたのが最大の革新だ。

ヒンジも第2世代チタン合金「Titanium Flexion Hinge」に進化。60万回の開閉テストをクリアしており、数年間の日常使用に相当する耐久性が確認されている。

触れてもない、見てもない状態で「折り目がない」と断言するのは無責任だ。ただ、技術の設計思想は本物だと思う。

2. スペックシートは「文句なし」の一言

折り目問題だけではない。Find N6のスペック全体が、旗艦レベルに仕上がっている。

SoCはSnapdragon 8 Elite Gen 5、RAMは16GB、ストレージは512GB。ディスプレイは外側6.62インチ FHD+ AMOLED、内側8.12インチ QXGA+ OLED で、どちらも1〜120Hzのアダプティブリフレッシュレートに対応する。

カメラはHasselblad監修で、メイン200MP・超広角50MP・望遠50MP（70mm相当）の3眼構成。バッテリーは6,000mAhの大容量に、80W有線急速充電と50Wワイヤレス充電を備える。防水はIP56/58/59と3規格取得。重量225g、折りたたみ時の厚さ8.93mmというサイズ感は、この世代のフォルダブルとしては十分に薄い。

スタイラスペンにも対応しており、OSはAndroid 16ベースのColorOS 16。「スペックで妥協した部分がない」という印象を率直に受ける。

3. Samsung一択が崩れる日

フォルダブル市場はここ数年、Samsung Galaxy Z Foldシリーズの独壇場だった。Googleが「Pixel Fold」で参入したが、存在感はまだ薄い。OPPOは中国市場ではFind Nシリーズで実績を積んでいたが、グローバル展開での本格勝負はFind N6が最大の山場になる。

比較すると、Find N6の優位点は3つある。折り目の少なさ・カメラ性能（特に200MPという数値的インパクト）・バッテリー容量だ。Samsungが「折りたたみスマホの標準」を作ったとすれば、OPPOは「その標準を超えようとしている」と言える。

ただし「Samsung一択が崩れる」かどうかは、実機レビューと市場投入後の評判を見なければ言えない。スペックと実体験は必ずしも一致しない——それはフォルダブルに限らない話だ。

4. 正直に言う。「2つの懸念」

良い点ばかり書いてきたので、現実も書く。

懸念①：欧州向け発売なし、日本展開は未確定。OPPOは今回、欧州での販売計画はないと明言した。主な展開地域はアジア市場だ。日本での発売については現時点で公式発表がなく、「グローバル発表」という言葉が必ずしも日本発売を意味しないことに注意が必要だ。期待して待っていたら国内未発売、という展開は十分ありうる。

懸念②：価格が明示されていない。発表時点でグローバル向けの価格が公開されていない。フォルダブルスマホの価格帯は一般的に20〜25万円前後であることが多く、Find N6もその水準に収まると予想されるが、「良いスペック＝買いやすい価格」ではないのがハイエンド端末の現実だ。

「革新的な技術発表」と「自分が買える一台」の間には、常に距離がある。

5. そもそも折りたたみって必要か問題

Find N6の話から少し引いて、「折りたたみスマホって本当に必要か」を考えてみたい。

正直に言うと、普通のスマホで足りている人には今でも不要だと思う。折りたたみの最大の価値は「大画面タブレットを、ポケットに入れられる形で持ち歩ける」という点に集約される。動画・文書作業・マルチタスク——これらを移動中にも快適にこなしたい人には、間違いなく刺さる。

一方で、スマホを「電話と検索とSNS」に使っている人には、折りたたみのコストパフォーマンスは悪い。折り目・耐久性への不安・価格の3点を飲み込めるかどうかが購入判断の分かれ目だ。

Find N6は「折り目」という最大の不安に技術で答えようとした。それは評価できる。「折りたたみのデメリットが一つ消えた」のは確かだ。

6. フォルダブルが「普通の選択肢」になる日

Find N6が示すのは、フォルダブルスマホが「物好きが買うもの」から「真剣に検討する選択肢」になりつつあるという事実だ。

折り目が消え、スペックが旗艦と並び、防水・耐久性も整う。残る壁は価格と日本展開だけになってきた。その2点が解決したとき、フォルダブルは「普通のスマホ選び」の中に入ってくる。

Find N6は3月20日からグローバル発売開始。日本展開の続報を待ちたい一台だ。

関連記事

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
道具選びの視点で書いたAI活用記事。スマホ選びと同じく「何を重視するか」の話でもある。

棚卸しから始めるISO27001——情報資産台帳をAIで効率化した話

「うちの情報資産って、何がありましたっけ？」——この質問に即答できる担当者は、実はほとんどいない。

ISO27001の運用支援に入ると、最初にやることがある。情報資産の棚卸しだ。どんなデータが、どこに、誰の管理のもとで存在しているかを一覧にする作業——これが意外なほど手が止まる。

前回の記事でISO27001の「仕組み重視」の考え方を書いた。今回はその第一歩となる情報資産台帳の作り方と、AIを使った効率化の具体的な方法を紹介していく。

→ 前回記事：セキュリティは「機器」より「仕組み」で決まる——ISO27001を現場目線で解説

目次

1. 情報資産台帳とは何か：作る目的から理解する
2. 台帳に記載する項目：最低限これだけあればいい
3. 棚卸しの進め方：現場で使える3ステップ
4. AIで効率化できる部分：Claudeを実際に使った話
5. AIでは補えない部分：現場確認の重要性は変わらない
6. 中小組織向け：完璧を目指さない運用のコツ
7. 台帳は「育てるもの」と割り切る

1. 情報資産台帳とは何か：作る目的から理解する

情報資産台帳とは、組織が保有する情報資産を一覧化した管理文書だ。「資産」というと設備や機器を思い浮かべがちだが、ISO27001における情報資産はもっと広い概念だ。

顧客データ・契約書・設計図・社内規程・メールのやり取り——業務に関わるあらゆる情報が対象になりうる。それをどこに保管し、誰がアクセスでき、どう管理しているかを整理するのが台帳の役割だ。

作る目的は「記録すること」ではなく、「見えていないリスクを可視化すること」だ。台帳を作る過程で「このデータ、誰も管理していなかった」「退職した人のアカウントがまだ残っている」といった問題が必ず出てくる。それを発見することに価値がある。

2. 台帳に記載する項目：最低限これだけあればいい

情報資産台帳の項目は、組織の規模や目的によって変わる。ただ、最初から完璧な台帳を作ろうとすると手が止まる。まずは以下の6項目から始めることをすすめている。

① 資産名：何の情報か（例：顧客管理データ、給与台帳、契約書ファイル）
② 保管場所：どこにあるか（例：社内サーバー、クラウドストレージ、紙・キャビネット）
③ 管理責任者：誰が管理しているか（部署・氏名）
④ アクセス権限：誰がアクセスできるか（全社員・特定部署・個人）
⑤ 重要度：漏えい・紛失した場合の影響度（高・中・低の3段階で十分）
⑥ 廃棄ルール：いつ、どう廃棄するか

この6項目を埋めるだけで、組織のセキュリティ上の「盲点」がかなりの確率で見えてくる。

3. 棚卸しの進め方：現場で使える3ステップ

実際の棚卸しは、以下の3ステップで進めると整理しやすい。

ステップ1：業務フローを部署ごとに書き出す
各部署が日常的に扱う情報を洗い出す。「どんな書類を使うか」「どんなデータをやり取りするか」を担当者にヒアリングしながら進める。この段階ではExcelの一覧で十分だ。

ステップ2：保管場所と管理者を紐づける
洗い出した情報資産に対して、どこに保管されているか・誰が管理しているかを確認する。「なんとなく共有フォルダに入っている」「担当者が個人のPCに持っている」という状態が必ず出てくる。それを記録することが重要だ。

ステップ3：重要度を評価してリスクに優先順位をつける
すべての情報資産に同じレベルの対策をする必要はない。漏えいした場合の影響が大きいものから優先的に対策を検討する。重要度の評価は「高・中・低」の3段階で十分で、最初から細かく点数化しようとしなくていい。

4. AIで効率化できる部分：Claudeを実際に使った話

この棚卸し作業、実はAIが得意な部分がある。僕が実際にClaudeを使って効率化している場面を3つ紹介する。

① 台帳テンプレートの生成
「医療系中小企業の情報資産台帳テンプレートをExcel向けに作って」と投げると、業種に合わせた項目を提案してくれる。ゼロから設計する手間が大幅に省ける。

② リスク評価の観点出し
「顧客の個人情報をクラウドに保管している場合のリスクを洗い出して」と指示すると、見落としがちなリスク観点を複数提示してくれる。担当者一人では気づかない盲点を補うのに使える。

③ 規程文書のドラフト作成
棚卸しが終わったあと、情報セキュリティポリシーや取扱手順書のドラフトを作る場面でも活躍する。「ISO27001準拠の情報資産管理規程のドラフトを作って、中小企業向けにシンプルにして」という指示で、実用的な叩き台が出てくる。

AIを使い始めたことで、文書作成にかかる時間が体感で半分以下になった。その分、現場確認やヒアリングに時間を使えるようになった。

5. AIでは補えない部分：現場確認の重要性は変わらない

ただし、AIに任せきりにできない部分がある。前回の記事でも書いたが、現場に足を運ぶことで初めて見えるものが必ずある。

台帳上では「サーバー室に保管」となっているデータが、実際には担当者の手元のUSBメモリにもコピーされていた——というケースは珍しくない。書類の廃棄ルールが規程に書いてあっても、倉庫に何年分もの紙書類が積み上がっている現場も見てきた。

AIは文書を整理し、観点を広げ、ドラフトを作ることが得意だ。でも「実態と台帳のズレ」を見つけるのは、現場を歩いた人間にしかできない。この役割分担を意識して使うことが、AI活用の正しい姿だと思っている。

6. 中小組織向け：完璧を目指さない運用のコツ

情報資産台帳を作ったあと、多くの組織で起きるのが「作って終わり」になることだ。更新されず、現実と乖離した台帳が放置される——これでは意味がない。

中小組織での運用を長く見てきた経験から、続けるためのコツを3つ挙げる。

更新タイミングを決める：年1回の内部監査前・人事異動のタイミング・新システム導入時、など「このときに必ず見直す」という契機を決めておく。

担当者を一人に絞らない：台帳管理が特定の担当者に依存すると、その人が異動・退職したときに止まる。部署ごとに更新担当を置く仕組みにすると継続しやすい。

細かすぎる項目を減らす：最初は6項目で十分と書いたが、運用しながら「この項目は実態に合わない」と感じたら削っていい。埋まらない項目だらけの台帳より、シンプルでも更新されている台帳の方がずっと価値がある。

台帳は「育てるもの」と割り切る

情報資産台帳は、完成させるものではなく育てるものだ。最初から完璧を目指すと必ず止まる。まず6項目・主要な資産だけで作り、あとは運用しながら精度を上げていく——その姿勢が長続きする。

AIはその作業を大幅に効率化してくれる。テンプレート生成・リスク観点の補完・文書ドラフト、どれも実用的だ。でも最後に台帳を「生きた文書」にするのは、現場を歩いて確認を続ける人間の仕事だ。

次回は、「なぜ組織のセキュリティ対策は進まないのか」——担当者だけの問題ではなく、組織構造とリテラシーの話を書いていく。

関連記事

・セキュリティは「機器」より「仕組み」で決まる——ISO27001を現場目線で解説
本記事の前編。ISO27001の基本的な考え方と、人が行うべきコンサルティングの話。

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
セキュリティ業務でAIを活用し始めた筆者が、Claudeを選んだ理由を書いた導入検討記。

セキュリティは「機器」より「仕組み」で決まる——ISO27001を現場目線で解説

「セキュリティって、結局ルールを作って守ることだよね？」——そう言い切れるようになるまでに、僕はずいぶん遠回りした。

情報セキュリティというと、ファイアウォールやウイルス対策ソフトを思い浮かべる人が多い。でも現場でISO27001のコンサルティングをしていると、本当のセキュリティは「機器」より「仕組み」で決まると痛感する場面に何度も出くわす。

今回は、ISO27001をこれから知りたい人・導入を検討している担当者に向けて、仕組みの話を中心に書いていく。特に地方・中小規模の組織の担当者に刺さる内容を意識した。

目次

1. ISO27001とは何か：一言で言うと「仕組みの規格」
2. なぜ「仕組み」なのか：PDCAで回す情報セキュリティ
3. AIにできること、人にしかできないこと
4. 現地サンプリング：紙とExcelの現場で起きていること
5. 担当者ヒアリング：「やっているつもり」を掘り起こす作業
6. 地方・中小規模の組織こそ、仕組みが効く
7. まず「棚卸し」から始めればいい

1. ISO27001とは何か：一言で言うと「仕組みの規格」

ISO27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格だ。「情報資産をどう守るか」を組織全体で仕組みとして管理・運用するための枠組みを定めている。

よく誤解されるのが、「ISO27001を取得すれば安全になる」という考え方だ。認証はあくまでも「仕組みが整っている」という証明であって、セキュリティの完成を意味しない。どんな立派な錠前も、鍵の管理がずさんでは意味がない——ISO27001が問うのは、まさにその「鍵の管理」の部分だ。

規格の構成は大きく3つに分かれる。組織の状況を把握するフェーズ、リスクを評価して対策を決めるフェーズ、そして実施・監視・改善を繰り返すフェーズだ。特定のシステムや機器を導入することより、この3つのサイクルを組織に根付かせることが本質になる。

2. なぜ「仕組み」なのか：PDCAで回す情報セキュリティ

セキュリティ対策の多くは「一度やって終わり」になりがちだ。ウイルス対策ソフトを入れた、パスワードポリシーを決めた——それ自体は正しい。ただ、脅威は日々変化するし、組織の状況も変わる。一度決めたルールが、半年後には現実と乖離していることは珍しくない。

ISO27001が重視するのはPDCAサイクルだ。Plan（計画）→Do（実施）→Check（監視・評価）→Act（改善）を継続的に回す。年に一度の内部監査や経営者レビューが義務付けられているのも、この「回し続ける」仕組みを機能させるためだ。

機器は買えば動く。でも仕組みは、意図的に維持しなければ劣化する。そのことを、現場に入るたびに実感している。

3. AIにできること、人にしかできないこと

最近は、ISO27001の運用にAIを活用する場面が増えてきた。リスクアセスメントの雛形作成、規程文書のドラフト生成、法令改正の影響チェック——こういった作業はAIが大幅に効率化してくれる。

ただ、現場に入って初めて分かることは、まだまだAIには代替できない。

具体的には2つある。現地でのサンプリングと、担当者へのヒアリングだ。この2つは、文書やデータを読むだけでは絶対に見えてこない「現実」を掘り起こす作業だからだ。

4. 現地サンプリング：紙とExcelの現場で起きていること

内部監査や審査の場面で、実際の記録を抜き取って確認する「サンプリング」という作業がある。規程通りに運用されているかを、書類・システム・現物で突き合わせる。

ここで出てくるのが、「書いてあることと、やっていることが違う」という現実だ。

例えば、情報資産台帳には「廃棄済み」と書かれているのに、倉庫に古いHDDがそのまま積まれていた——という光景は、地方の中小組織では珍しくない。規程には「施錠管理」と書いてあるが、実際にその部屋の鍵が誰の手元にあるかを誰も把握していない、というケースもある。

こうした「ズレ」は、AIがデータを解析しても見つけられない。現場に足を運び、目で確認し、手で触れることで初めて見えてくる。地味な作業だが、これがISO27001の運用品質を決める核心部分だと思っている。

5. 担当者ヒアリング：「やっているつもり」を掘り起こす作業

もうひとつ、人が行うべき作業がヒアリングだ。現場の担当者に、実際の業務フローや判断基準を直接聞く。

ヒアリングで一番難しいのは、「やっているつもり」の状態を引き出すことだ。担当者本人は正しく運用していると思っている。でも話を深掘りしていくと、実は手順の一部が抜けていたり、判断基準が属人化していたりする。

「インシデントが起きたらどうしますか？」という問いに対して、「上司に報告します」と答える。では「その上司が不在だったら？」「報告のタイミングは？」「どこまでが報告すべきインシデントですか？」——こうした問いを積み重ねることで、文書化されていない「暗黙のルール」や「穴」が浮かび上がってくる。

AIは質問の雛形を作ることはできる。でも、相手の表情や言葉の詰まり方を読みながら次の問いを変える——この対話のプロセスは、まだ人間の領域だと感じている。

6. 地方・中小規模の組織こそ、仕組みが効く

ISO27001というと「大企業が取るもの」というイメージを持つ人が多い。実際、認証取得のコストや工数を考えると、中小組織には敷居が高い面もある。

ただ、仕組みの考え方そのものは、規模に関係なく機能する。

むしろ地方・中小規模の組織の方が、担当者が少なく属人化しやすい分、仕組みを整えることの効果が大きい。「あの人しか分からない」「退職したら終わり」という状況を防ぐのに、ISO27001の考え方は直接役立つ。

認証取得を目指さなくても、情報資産の棚卸し・リスクの可視化・ルールの文書化という3ステップだけ踏めば、組織のセキュリティ水準は確実に上がる。

まず「棚卸し」から始めればいい

ISO27001は難しい規格に見える。でも、本質は「自分たちが何を持っていて、何を守る必要があるかを把握し、仕組みとして管理する」ということだ。

まず手をつけるべきは情報資産の棚卸しだ。どんなデータが、どこに、誰の管理のもとで存在しているかを一覧にする。それだけで、これまで見えていなかったリスクが浮かび上がってくる。

AIはその作業を効率化してくれる。でも、現場を歩いて目で確認する時間だけは、削れない。そこが面白いところでもある、と思っている。

次回は、情報資産台帳の作り方と、AIを使った効率化の具体例を書いていく予定だ。

→ セキュリティ業務でAIを使い始めた話はこちら：ChatGPTからClaudeに乗り換えた理由

関連記事

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
セキュリティ担当の筆者が、なぜAIツールの「企業姿勢」を重視するようになったかを書いた導入検討記。

・AIサービスに「使ってはいけない用途」を設けることの意味——AnthropicのAI倫理と利用制限の全容
AIの利用制限と企業倫理の話。セキュリティの観点からも読める解説記事。

AIサービスに「使ってはいけない用途」を設けることの意味——AnthropicのAI倫理と利用制限の全容

「このAIを、その目的には使わせない」——企業がそう言い切れるとしたら、どういう意味を持つか。

AIサービスを選ぶとき、性能や価格を比べるのは当然だ。でも最近、もうひとつ気になるようになったことがある。「その会社は、自分のAIの使われ方にどこまで責任を持とうとしているのか」という問いだ。

2026年初頭、Anthropicが起こした一連の行動は、その問いに対するひとつの答えだったと思っている。何が起き、何を意味するのか——整理しておく。

なお、この出来事がClaude導入を検討するきっかけになった経緯は、以下の記事にまとめている。

→ AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話

目次

1. Anthropicが定める「レッドライン」とは何か
2. 大口契約より「原則」を選んだ判断
3. 競合OpenAIとの対応の違い
4. Anthropicが起こした法的行動
5. 業界内部からの支持という異例の動き
6. 「使われ方に責任を持つ」ことの意味

1. Anthropicが定める「レッドライン」とは何か

Anthropicは、Claudeの利用について明確な「禁止用途」を設けている。多くのAIサービスが利用規約で曖昧に「悪用禁止」と書くのとは異なり、Anthropicは2つの具体的なレッドラインを契約レベルで明文化している。

ひとつは、完全自律型兵器システムへの転用禁止——人間の判断を介さずに標的を攻撃・破壊するシステムにClaudeを組み込むことは、いかなる契約形態でも認めない。もうひとつは、大規模な市民監視への利用禁止——政府機関であっても、国民を広範囲に監視する目的でClaudeを使うことはできない。

この2点は、2025年7月に締結した米国防総省との大規模契約（AWS・Palantir経由、最大2億ドル規模）にも適用されていた。軍事・防衛分野での利用自体は認める。しかし、この2点だけは交渉の余地なし、というのがAnthropicの立場だった。

2. 大口契約より「原則」を選んだ判断

2026年2月、米国防総省はAnthropicに対し「あらゆる合法的用途での無制限利用を認めよ」と要求した。言い換えれば、上記2つの禁止条項の撤廃だ。

要求を拒んだ場合のリスクは明確だった。「国防生産法」の発動による強制利用、「サプライチェーンリスク」への指定、そして政府との全契約解除——2026年の公共部門売上見込みのうち、約1億5,000万ドル（約240億円）が消える試算だった。

それでも、2月26日にアモデイCEOが出した声明は明快だった。「良心のとがめを感じずに、この要求に応じることはできない」——禁止条項の撤廃を正式に拒否した。

その後、トランプ大統領は全連邦機関にClaude利用停止を命令。国防総省はAnthropicをサプライチェーンリスクとして正式指定し、3月4日に書簡を送付した。

3. 競合OpenAIとの対応の違い

Anthropicの交渉が決裂した数時間後、OpenAIが国防総省との契約合意を発表した。

OpenAIも「自律兵器や大規模監視を防ぐ保護措置を盛り込んだ」と説明した。ただ、その内容を精査すると、「政府は既存の法律を遵守する」という前提に依拠したもので、契約書に具体的な禁止条項を独自に明記したAnthropicのアプローチとは異なる構造だった。

どちらが「正しい」かは、ここでは判断しない。ただ、同じ問題に対してAI企業がどう線を引くかは、明らかに異なるということは記録しておきたい。

4. Anthropicが起こした法的行動

3月9日、Anthropicはトランプ政権を相手取り、2つの連邦裁判所に訴訟を起こした。

サンフランシスコの連邦地裁には「言論・表現の自由の侵害」として提訴。ワシントンD.C.の連邦控訴裁判所には「不当な差別的措置と報復」を訴えた。

AI企業が政府を相手に訴訟を起こすのは極めて異例だ。利用制限の撤廃拒否→政府による報復的措置→AI企業による提訴、という構図は、AIガバナンスの新しい局面を示している。

5. 業界内部からの支持という異例の動き

この一連の騒動で注目すべきは、AI業界の従業員たちの反応だ。

Amazon・Alphabet・Microsoft・OpenAIの従業員を含む2つの労働者連合が、「Anthropicと足並みをそろえるよう」それぞれの会社に求める声明を出した。競合企業の社員が、競合の判断を支持する——それほど、今回の問題は業界内部でも重く受け止められていた。

6. 「使われ方に責任を持つ」ことの意味

AIはもはやツールの話ではなく、「誰が、何のために使うか」が問われるインフラになっている。

Anthropicが今回とったアプローチは、ひとことで言えば「禁止条項を契約に明記し、それを守るために経済的リスクを引き受ける」というものだ。言葉やポリシーではなく、法的・財務的なコミットメントとして倫理基準を担保しようとした。

この姿勢が正解かどうか、まだ答えは出ていない。法廷の結果も、業界への波及効果も、これから決まる。ただ、AIサービスを選ぶとき「その企業は自分のプロダクトの使われ方にどう向き合っているか」を考える習慣は、これからますます重要になると思っている。

関連記事

・AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話
Anthropicの姿勢を知って、実際にClaudeを使い始めた筆者の導入検討記。

AIツールの「企業姿勢」で選ぶ時代——僕がClaudeを使い始めた話

「AIを兵器に使わせない」——その一言が、僕の乗り換えを決めた。

ChatGPT、Gemini、そしてClaude。複数のAIを行き来しながらも、どれかひとつに腰を落ち着ける気になれなかった。そんな僕がClaudeを本格的に使い始めたきっかけは、ツールの性能じゃなく、企業の「態度」だった。

目次

1. 乗り換えを決めた本当の理由：AnthropicとアメリカのDoD
2. そもそも、なぜ「乗り換え」を考えていたのか
3. 「賢さ」より「一緒に考えてくれる感」が決め手だった
4. 良い意味での「誤算」：ここまでやってくれるとは
5. 正直なところ：まだ全部Claudeで完結はしていない
6. 「自律兵器に使わせない」企業のAIを、僕は使う

0. 乗り換えを決めた本当の理由：AnthropicとアメリカのDoD

2026年2月、AIの世界でひとつの事件が起きた。

Claudeを開発するAnthropic社が、米国防総省（DoD）の要求を拒否した。国防総省は「すべての合法的な目的においてClaudeを無制限に使えるようにせよ」と要求した。その要求には、完全自律型兵器——つまり人間の判断なしに標的を攻撃するシステム——への転用も含まれていた。

Anthropicの回答は明確だった。軍との協力自体は継続する。しかし、「自律型の致死兵器システム」と「市民への大規模監視」への利用は、たとえ政府相手でも断る——その2点だけは譲らなかった。

国防総省はAnthropicを「サプライチェーンリスク」に指定し、トランプ大統領も全連邦機関にClaude利用停止を命じた。Anthropicは最大2億ドル規模の政府契約を失うリスクを承知で、逆に国防総省を提訴している。

こうした動きが各地で続く紛争を背景にしていることは、誰の目にも明らかだった。世界のどこかで戦争が起きている。そのAIに自分が使っているツールが使われているとしたら——そう考えたとき、Anthropicの「断る」という選択は、僕には刺さった。

この一連の経緯の詳細は、別記事でまとめている。興味がある方はあわせて読んでほしい。

→ AIサービスに「使ってはいけない用途」を設けることの意味——AnthropicのAI倫理と利用制限の全容

1. そもそも、なぜ「乗り換え」を考えていたのか

仕事柄、調査やリサーチにAIを使うことが多い。セキュリティ関連の情報収集、制度や規制の確認、資料の下調べ……毎日のようにAIに問いを投げかけている。

ChatGPTは優秀だ。ただ、やり取りを重ねるうちに、どこか「きれいすぎる答え」ばかり返ってくる感覚があった。こちらの問いに答えてくれるけど、一緒に考えてくれている感じがしない。壁打ち相手というより、高性能な検索エンジン、みたいな。

Geminiはというと、Google Workspaceとの連携は便利だが、日本語の文章生成がどうしても「固い」。ブログの下書きに使うと、毎回大幅な書き直しが必要になる。

2. 「賢さ」より「一緒に考えてくれる感」が決め手だった

最初に試したのは、仕事のリサーチタスクだ。ざっくりした問いを投げると、返ってきたのは答えだけじゃなかった。「この方向で考えるなら、こういう観点も必要では？」という問い返しがあった。

これが、地味に効いた。

リサーチって、最初から「何を調べるべきか」が明確なわけじゃない。調べながら問いが精緻化されていく。そのプロセスに付き合ってくれるかどうか——そこがツール選びの本質だと、使ってみて気づいた。

ブログ執筆でも同じだ。「こういう記事を書きたい」と伝えると、構成案を出しつつ「こういう切り口もあります」と提案してくる。自分の考えを引き出してくれる感覚があって、これは他のツールにはなかった体験だった。

3. 良い意味での「誤算」：ここまでやってくれるとは

正直に言う。Claudeに対して、最初は「ChatGPTの廉価版」くらいの印象を持っていた。知名度も低いし、日本語対応は後回しにされているのかと思っていた。

その認識は、完全に間違いだった。

日本語の文章品質が高い。ニュアンスを拾う精度が高い。セキュリティの制度的な話や、地方の行政・ビジネス文脈でも、的外れな回答が少ない。そして、長い会話の文脈を維持する能力が高く、「さっきの話の続きで」という使い方が自然にできる。

4. 正直なところ：まだ全部Claudeで完結はしていない

絶賛ばかりもフェアじゃないので、現状も書いておく。

画像生成はできない。最新情報の取得はウェブ検索ツールを使えば補えるが、デフォルトではリアルタイム性に限界がある。料金面も、使い込むとそれなりにかかる。

「万能ツール」としてではなく、「思考パートナー」として使う——そう割り切ったとき、Claudeは本領を発揮すると思っている。

「自律兵器に使わせない」企業のAIを、僕は使う

検索の代わりならGoogle。資料作成の補助ならGemini。でも、「考え抜きたい」「言語化したい」なら、今のところClaudeが僕の一番手だ。

ツールを選ぶとき、性能だけじゃなく「どういう会社が作っているか」も気になる時代になったと思う。政府相手に2億ドルの契約を捨ててでも、倫理的なセーフガードを貫こうとした企業が作るAI——それを使うという選択は、なんとなく自分の価値観にも合っている気がしている。

関連記事

・AIサービスに「使ってはいけない用途」を設けることの意味——AnthropicのAI倫理と利用制限の全容
今回の乗り換えのきっかけになった、AnthropicのAI倫理ポリシーと利用制限の背景を深掘りした解説記事。

【答え合わせ】MacBook Air M5、数日使って正直に言う。「据え置きの快適さ」を外に持ち出した代償と恩恵

「届いたぞ。」

3月12日、玄関に現れた薄い箱を開けた瞬間、僕はすでにこの選択が正しかったと確信していた。——いや、確信したかった、というのが正直なところだ。

前回の記事でAirを選んだ理由を書いた。今日はその「答え合わせ」をする。数日間、ブラウジング、ライティング、そしてAI系ツールの検証まで詰め込んで使い倒した。購入したのはメモリ24GB / ストレージ512GBモデル。さあ、忖度なしでいこう。

1. 「Mac mini M4の環境が、そのまま外に出た」という感覚

まず前提として、僕の前機はMac mini M4だ。つまり、これまでのMacライフは完全に据え置きだった。机の前に座らなければ、Macは使えない。そういう人生だった。

それがどう変わったか。

一言で言えば、「デスクがどこにでも生えてきた」という感覚だ。カフェでも、移動中の隙間でも、Mac mini M4で構築した自分の作業環境が、そのままついてくる。これは想像以上に気持ちがいい。生産性の向上とかそういう話ではなく、精神的な解放感に近い。

Mac mini M4と同じ24GBのメモリ構成で、CPUは最新のM5に刷新されている。体感的にも速い。「Airだから多少もたつくかな」という先入観は、数日で消えた。

2. バッテリー、お前は「反則」だ

ラップトップを使う上で、最大の不安がバッテリーだった。Mac miniにはバッテリーという概念がないので、比較対象がそもそもない。

結論から言う。普通に使っている限り、バッテリーが気にならない。

これは「持つな」という話ではなく、「気にする必要がない」という話だ。ブラウジング、テキスト作業、LM StudioでローカルLLMを動かしながらの検証……それなりの負荷をかけても、「あ、そろそろ電源探さないと」という焦りが来ない。

据え置きのMac miniから乗り換えた人間に、「充電を気にしなくていい自由」を与えてしまったAppleは、正直ちょっとずるいと思う。

3. キーボードとトラックパッド：「道具」として完成している

実はかつて、MacBook Air（Intelモデル）を使っていたことがある。あの頃のキーボードは、お世辞にも打鍵感が良いとは言えなかった。薄さと引き換えに、どこか「叩いてる感」が希薄で、長文を書くのが少し億劫だった記憶がある。

M5 Airのキーボードは、別物だ。

ストロークの深さ、跳ね返りの心地よさ、キーとキーの間の絶妙な余白。ライティング用途がメインの僕にとって、これは想定外の嬉しい誤算だった。外でブログを書く気になれるキーボード、というのはそれだけで価値がある。

トラックパッドも広い。マウスを別途持ち歩く必要性を、今のところまったく感じない。「マウスないと不安」という感覚が、数日で消えた。外出時の荷物がひとつ減った、これも地味に大きい。

4. ディスプレイ問題、2つの「答え」で解決した

13インチという画面サイズ、正直なところ購入前は少し不安だった。Mac miniでは大きな外部モニターを使っていたからだ。

ところが、この不安は外と自宅で、それぞれ別の方法で解消された。

まず自宅では、Mac miniで使っていた外部ディスプレイをそのまま流用している。MacBook Air M5を接続すれば、これまでと変わらない大画面環境がそのまま手元に戻ってくる。据え置きの快適さを手放したわけではなく、「必要なときだけ大画面、持ち出すときは13インチ」といういいとこ取りの運用が実現した。外部モニターだけ残したのは結果的に正解だった。

外出先では、手持ちのiPad miniとの連携が予想以上にスムーズで、13インチの制約をうまくカバーできている。サブディスプレイ的に使ったり、作業を分散させたりすることで、「画面が狭い」というストレスをほぼ感じない。AppleデバイスのエコシステムがM5 Airの画面サイズの小ささを補ってくれる——これは想定外の恩恵だった。

5. 正直に言う。「2つの誤算」

良いことばかりではない。数日使って、正直に感じたことも書いておく。

誤算①：思ったより「重い」

スペック上は約1.24kg。数字で見れば軽い。でも、Mac miniを持ち歩いたことがない僕にとって、この重さは想定より体に響いた。「え、ラップトップってこんなに重いの？」というのが、最初にリュックに入れたときの正直な感想だ。慣れの問題だとは思うが、「1kg超え」を甘く見ていた自分を少し反省している。

誤算②：インカメラ（ノッチ）の存在感

Mac miniにはディスプレイすらないので、ノッチのあるディスプレイは初体験だった。画面上部のカメラ部分の「主張」が、思いのほか目に入る。

慣れれば気にならなくなるとは聞くが、今のところまだ視線が吸い寄せられる。「気になり始めると止まらない」案件かもしれない。

6. LM Studioで「ローカルAI」を動かしてみた

少しニッチな話をする。

最近、AIをAPIではなくローカルで動かすことへの興味が高まっている。そこでインストールしたのがLM Studio。ローカルLLMを手元で動かすためのアプリだ。

24GBのユニファイドメモリを積んだM5 Airで動かすと、「これ、本当にラップトップか？」と思う場面が何度かあった。外出先でインターネット接続なしに、AIと作業できる——この体験は、正直もう手放せない気がしている。詳細は別記事に譲るが、M5 AirとローカルLLMの組み合わせは、ガジェット好きなら一度試す価値がある。

7. まとめ：「据え置き難民」にこそ、この解放感は刺さる

Mac miniユーザーに特に伝えたい。

あなたが今、机の前でしか使えないMacの環境を、「まあ仕方ないか」と受け入れているなら——一度、外に持ち出す自由を体験してほしい。

重さの誤算も、ノッチの主張も、バッテリーの安心感と機動力の前では些細な話だ。キーボードは予想を超えてきたし、iPad miniと組み合わせれば画面サイズの不満も出てこない。数日使って、「これが正解だったな」という気持ちは揺らいでいない。

次は、もう少し長く使い込んだ上でのレポートをお届けする予定だ。LM Studioの詳細検証も含めて。

【決断】MacBook Air M5をポチった。値上げとProとの「決定的な差」を前に僕が出した答え

「またやったな、Apple」。

3月3日のプレスリリースでの電撃発表（そしてM5 Pro/Maxの追加）から数日。僕の指は迷わずApple Storeの「注文」ボタンを叩いていた。今回購入したのは、機動力重視のMacBook Air M5（13インチモデル）だ。届くのは3月12日、レビューは14日の予定。

でも、ちょっと待ってほしい。なぜ、値上げという向かい風のなか、そしてクリエイターなら「Pro」一択と言われるこの時代に、あえて僕は「Air」を選んだのか？

今日は、最新のM5チップを搭載したMacBook Airと、先行して発売されているMacBook Pro M5を徹底比較し、ガジェット好きとしての「本音」をぶっちゃけたい。

---

1. 「値上げ」という名の試練、それでもAirは「正気」か？

今回のM5 MacBook Air、最大のトピックはスペックアップ……と同時にやってきた「価格改定」だろう。ベースモデルが16GBメモリ / 512GBストレージになったのは嬉しいが、13インチモデルのスタート価格もしっかり底上げされた。

「安くて軽いAir」という幻想はもう捨てたほうがいいのかもしれない。それでも、僕が「Appleは正気に戻った」と言いたいのは、ようやく「道具として使い物になるベーススペック」を標準にしてきたからだ。

かつて、外付けSSDをジャラジャラとぶら下げて「ミニマリズム」を気取っていた自分に、「ようやくその苦行から解放されるぞ。ただし、財布には厳しいけどな」と教えてやりたい。

M5チップ: CPU/GPUともにM4比で15〜30%の向上。もはや「Airだから遅い」という言い訳は通用しない。

通信: ついにWi-Fi 7対応。カフェの爆速回線を、ようやくフルに活かせる時代が来た。

13インチの機動力: 15インチの迫力もいいが、リュックにスッと収まるこのサイズ感こそがAirの真髄だ。

---

2. Air vs Pro：その「価格差」に価値はあるか？

もちろん、Proが劣っているわけではない。むしろ、M5 Pro / Maxチップを積んだProモデルは、もはや「ラップトップの形をしたモンスター」だ。

【MacBook Air M5 (13")】

• ディスプレイ：Liquid Retina (60Hz)
• 冷却性能：ファンレス（静寂）
• 外部出力：最大2枚 (クラムシェル) 
• 接続性：USB-C x2

【MacBook Pro M5 (14")】

• ディスプレイ：Liquid Retina XDR (120Hz)
• 冷却性能：アクティブ冷却（フルパワー）
• 外部出力：最大4枚 (Pro/Max)
• 接続性：HDMI, SDスロット, TB5

あえて言おう。「120HzのProMotionを知ってしまうと、60Hzには戻れない」。

あの吸い付くようなスクロール、XDRディスプレイの圧倒的な黒。これを一度体験すると、Airの画面が「少し前のテレビ」に見えてしまう呪いにかかる。それでも僕が13インチのAirを選んだのは、2.7ポンド（約1.2kg）という軽さが、僕のフットワークを物理的にも心理的にも軽くしてくれるからだ。

---

3. 専門家の私見：結局、どっちが「買い」？

ここで読者に問いかけたい。

「あなたは本当に、毎日4K動画を書き出しますか？」

値上げされたとはいえ、13インチAirの可搬性と新世代M5のパワーのバランスは絶妙だ。もし、主な用途がブラウジング、テキスト入力、そして時々の写真編集なら、Proを買うのは「F1カーでコンビニに行くようなもの」だ。オーバースペックを重い思いをして持ち運ぶより、薄いAirを小脇に抱えて旅に出るほうが、クリエイティビティは刺激されるはず。

逆に、SDカードを直接差したい、HDMIでモニターに繋ぎまくりたいという実利重視なら、迷わずProに行くべきだ。TB5（Thunderbolt 5）の爆速転送は、プロの現場では「価格差」以上のリターンがある。

---

4. 最後に：12日、僕の手元に「新しい相棒」が届く

3月12日。最新の13インチAirが届いた瞬間、僕はこのブログにまた戻ってくる。

「最強を手に入れるか、軽やかさを手に入れるか」。

その答え合わせ、数日後にまたここでやろう。

またライカ？いや、今度の「Leitzphone」はXiaomiと組んで本気を出してきたらしい

※本記事は一部リーク情報を元にしているため、不正確な情報もございます。

また出た。ライカの名前を冠したスマートフォンの噂……と思いきや、今回は噂どころかMWC 2026で堂々の公式発表だ。その名も「Xiaomi Leica Leitzphone」。

これまでの「Leitz Phone」シリーズ（ソフトバンクから出ていたアレだ）を知っている身からすると、「中身はSharpのAQUOS Rシリーズでしょ？」とタカをくくってしまいそうになるが、今回はちょっと話が違う。ベースとなるのは、あの飛ぶ鳥を落とす勢いのXiaomiだ。

正直、ライカのバッジが付いているだけで数万円高くなる商売には、僕らガジェット好きも少し食傷気味だった。だが、この「Leitzphone」を詳しく見ていくと、単なるバッジエンジニアリングではない、ライカの「執念」のようなものが透けて見える。

果たしてこれは、数年後も語り継がれる名機になるのか、それとも単なる贅沢なコレクターズアイテムに終わるのか？ カメラとスマホが好きな著者の視点から、その正体に切り込んでみたい。

---

1. 「道具」としての質感。Xiaomiベースがもたらした恩恵

今回のLeitzphone最大の変化は、開発パートナーがSharpからXiaomiに変わったことだ。これは、F1カーのシャシーを新しく新調したようなもの。Xiaomiのフラッグシップモデルが持つ「世界トップクラスのハードウェア構成」と、ライカの「デザイン哲学」が融合した。

デザイン：赤バッジ以上に「ライカ」を感じさせる仕上がり

まず目に飛び込んでくるのは、その佇まいだ。背面の円形カメラユニットは、もはやスマートフォンのそれというより、ライカの交換レンズそのもの。アルミ削り出しのフレームと、手になじむレザー調の背面仕上げは、持った瞬間に「これは単なる電子機器じゃない、道具だ」と直感させる。

ハードウェア：Xiaomiのパワーをどう手懐けたか

中身はXiaomiの最新フラッグシップがベースとなっているため、処理性能については疑う余地がない。Snapdragon 8 Genシリーズ（最新世代）を搭載し、ディスプレイも最高峰の120Hz記録のLTPO AMOLEDだ。

しかし、読者の皆さんが知りたいのはそこじゃないだろう。「ライカはどう関わったのか？」だ。

スペック (推測含む) 

メインセンサー：1インチ (IMX989系/推測) 

レンズ：ライカ ズミルックス光学レンズ

ソフトウェア：Leitz Looks (独自UI)

防水・防塵：IP68

---

2. カメラ機能：1インチセンサーに「ライカの魂」を宿す

ライカが監修したのは、レンズだけではない。画像処理エンジン、そして「色」そのものだ。

「Leitz Looks」が進化。モノクロームに震える

ライカといえばモノクローム。今回のLeitzphoneには、専用の「モノクローム・モード」がさらにブラッシュアップされて搭載されている。

「ぶっちゃけ、フィルターなんて後からLightroomでかければいいじゃん」

そう思う人もいるかもしれない。だが、待ってほしい。プレビューの段階からあの「ライカの黒」が見えている状態でシャッターを切る体験は、全くの別物だ。コントラストの付け方、シャドウに宿る空気感……これは後処理では得られない「撮る喜び」に直結している。

 1インチセンサーの暴力的な描写力

センサーサイズについては公式には「非公開」だが、前モデルの傾向と本体の厚みからして1インチセンサーを採用していることは間違いない（推測）。

スマートフォンにおける1インチセンサーは、もはや「高級コンデジ殺し」だ。自然で見事なボケ味、そして夜景におけるノイズの少なさは、一度体験するともう小さなセンサーには戻れない。

10年前、スマホのカメラは「記録」のためのものだった。しかし、このLeitzphoneは「表現」のための道具だ。センサーサイズを大きくすれば画質は上がるが、それをどう「ライカらしい写真」に仕上げるかという調律において、Xiaomiの技術力は大きな武器になっている。

ちなみに、私の失敗談を一つ。昔のスマホで無理やり背景をぼかそうとして、被写体の輪郭が不自然に削れてしまった悲しい思い出があるが、この1インチセンサーなら物理的なボケが得られるため、そんな心配は無用だ。

ここで読者の皆さんに問いかけたい。

「あなたがスマホのカメラに求めているのは、SNSで映える『作られた鮮やかさ』ですか？ それとも、その場の空気を切り取る『真実味』ですか？」

---

3. ツッコミ：この「ライカ価格」をどう受容するか

さて、良いことばかりではない。避けて通れないのが「価格」と「販路」の問題だ。

正直、価格設定はどうなのよ？

現時点での正確な日本価格は発表されていないが、Xiaomiのベースモデル＋ライカのブランド料＋特注パーツを考えれば、20万円を優に超えることは想像に難くない。

「iPhoneが2台買えるんじゃないか？」という価格設定に対して、僕らはどう向き合うべきか。

欠点は「重さ」と「特定層への偏り」

実際に触れた人の感想（海外メディア：Engadget等）を総合すると、カメラユニットの巨大さゆえに、重心がやや上に偏っているという指摘がある。ポケットに入れた時の存在感もかなりのものだ。

これは、「万人に受ける使いやすさ」を捨てて「最高の撮影体験」に全振りした結果だろう。

【良い点】

• 世界最強クラスのカメラ性能（1インチ＋ライカ監修）
• 所有欲を極限まで高めるデザイン
• Xiaomiベースによる安定した基礎体力

【残念な点】

• おそらく高額すぎる価格
• カメラの出っ張りが大きく、持ち運びには工夫が必要
• 「ライカ」という名前に興味がない人にはオーバースペック

---

結局、これは「誰のためのもの」か？

結論から言おう。

この「Xiaomi Leica Leitzphone」は、「カメラを持ち歩きたいけれど、身軽でいたい。でも妥協はしたくない」という極めてわがままなクリエイターのためのデバイスだ。

もしあなたが、単に「良い写真が撮れるスマホ」が欲しいだけなら、普通のXiaomi 14 UltraやiPhone 15/16 Proを選んだほうが幸せになれるだろう。おサイフケータイの使い勝手や、修理のしやすさを考えてもそちらの方が「合理的」だ。

しかし。

「シャッターを切る瞬間、心が躍るかどうか」

「机の上に置いたその姿を見て、ニヤリとできるか」

そんな情緒的な価値に20万円を払える人にとって、これ以上の選択肢は存在しない。

「あなたは、単なる『高性能なスマホ』が欲しいですか？ それとも、人生を刻む『相棒』が欲しいですか？」

編集後記（独自の結論）

正直なところ、MWC 2026でのこの発表を聞いたとき、私は「またコラボか」と冷笑的な気分だった。しかし、公開された作例とスペック（特に部分積層型センサーの噂などが絡み合う現在のカメラ市場の動向を鑑みて）を見ると、その考えは変わらざるを得ない。

ライカは本気で「スマホをカメラに変える」つもりだ。

今回のXiaomiとのタッグは、ソフト面での弱点を完璧に補い、ライカの理想を具現化するためのラストピースだったのかもしれない。

価格が発表されたとき、私たちは再び絶望するかもしれない。けれど、その絶望を上回るほどの「光」が、この1インチセンサーの奥には宿っている……気がしてならないのだ。

買いか、待ちか。

私は、貯金との相談を始めてしまった。