LASSIC Media らしくメディア
特定アプリの利用禁止、なぜ委託先の端末まで及ぶのか
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 範囲は定義で決まっていた：請負業者の使うITも含みます*1。
- 契約にも期限があった：90日と120日で条項へ及びます*1。
- 例外は文書と期限で縛る：5項目を書き、最長1年です*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
特定のアプリを組織で使わせない、という決定は珍しくありません。難しいのは、その決定をどこまで届かせるかです。米国連邦政府の事例が、3年半で1周しました。
行政管理予算局（OMB）は2026年8月10日、覚書M-26-17を発出し、政府端末での特定アプリの利用を禁じた覚書M-23-13（2023年2月27日）を廃止しました*2。
運用と契約の立場から確かめたい点は4つあります。どこまで及んだのか、いつまでに何をしたのか、例外はどう作ったのか、解除で何が残るのか。条文から順に見ていきます。
目次
3年半で1周した仕組み
まず、始まりと終わりを確認します*1*2。
出発点は法律です*1。2023年統合歳出法がNo TikTok on Government Devices Actを制定し、OMB長官に対して、一般調達局長官、サイバーセキュリティ・インフラセキュリティ庁長官、国家情報長官および国防長官と協議のうえ、連邦の情報技術から当該アプリケーションの削除を機関へ求める基準と指針を策定するよう指示しました*1。M-23-13は、その求めに応えた文書です*1。
終わりは短い1通です*2。M-26-17は2026年7月17日に発出された法務顧問室の意見に従い、TikTokは、No TikTok on Government Devices Actの目的における「対象アプリケーション」ではなくなったとし、したがって、OMB覚書M-23-13（「政府端末でのTikTokの禁止」実施指針）は廃止されると述べます*2。本文はこれだけです*2。
個別のアプリの是非は、ここでは扱いません。実務として持ち帰る値があるのは、1つのアプリを組織とその取引先から締め出すために、どんな条文が必要だったかという構造のほうです*1。
M-23-13が示した仕組みは、大きく4つに分かれます*1。及ぶ範囲の定義、期限を切った行動、例外の作り方、報告の経路です*1。順に見ていきます*1。
範囲を決めていたのは「情報技術」の定義
この覚書のもっとも効いた部分は、対象の定義です*1。
アプリの側は素直です*1。この覚書は、ソーシャルネットワーキングサービスであるTikTok、またはByteDance Limitedもしくは同社が所有する主体が開発しもしくは提供する、TikTokの後継のアプリケーションもしくはサービス（「対象アプリケーション」）に適用されるとされ、対象の機関は41 U.S.C. 第133条にいう「行政機関」です*1。
問題は、どの機器に及ぶかでした*1。覚書はこの覚書は、40 U.S.C. 第11101条(6)に定義される「情報技術」のすべてに適用されるとしたうえで、その定義をこう説明します*1。
当該定義は、機関が所有しまたは運用するITだけでなく、当該ITの使用を要する行政機関との契約のもとで請負業者が使用するITにも及ぶ*1。さらに明示的に求められる場合のほか、役務の提供または製品の供給の履行において相当程度に用いられる場合も含むとされました*1。
ただし、外側の線も引かれています*1。もっとも、当該定義には、連邦の請負業者が連邦の契約に付随して取得した機器は含まれない*1。契約の履行に必要だから使っている機器と、たまたま持っている機器を分ける書き方です*1。
この定義があったために、禁止は自組織の端末で止まりませんでした*1。契約の履行のために請負業者が使う端末も、範囲に入ります*1。委託を含む体制で同じことをやろうとすれば、同じ線引きの作業が要ります。ベンダーマネジメントで扱う責任分界を、端末の単位まで下ろす話です。
期限は30日・90日・120日の3段階
行動には、それぞれ日数が付いていました*1。
| 期限 | 行動 |
|---|---|
| 30日以内 | 情報技術における対象アプリケーションの利用または存在を特定する。法が定め本覚書が示す限定的な例外を裁定する内部の手続を確立する。承認された例外の場合を除き、機関が所有または運用するITから削除し、導入を認めない。承認された例外の場合を除き、機関が所有するITから当該アプリケーションへのインターネット通信を禁じる |
| 90日以内 | 承認された例外の場合を除き、新たに発する契約が、履行において対象アプリケーションの利用を含みうる要件を含まないようにする。履行において利用を含みうる要件を含む契約の利用をやめ、または禁止に適合するよう当該契約を修正する |
| 120日以内 | 履行に請負業者によるITの利用が伴いうる契約について、オプションの行使を含め履行期間を延長する変更に、禁止への適合を求める要件を含める。120日を経過した日以後に発する勧誘のうち、それに基づく契約が請負業者による情報技術の利用を伴いうるものについて、適合を求める |
30日の項目に、通信の遮断が入っている点は見落とせません*1。端末から消すだけでなく、ネットワークの側でも止める、という二段構えです*1。
特定の作業にも順番があります*1。30日の項目の2つ目は例外を裁定する内部の手続を確立することでした*1。削除より先に、例外を判断する仕組みを用意させる並びです*1。判断の場がないまま一律に消すと、業務が止まる部署から個別の相談が上がり、記録の残らない黙認が生まれます*1。
間に合わない場合の扱いも書かれていました*1。その任務または運用上の態勢により第III節Aの期限の遵守が妨げられる機関は、期限の前に連邦最高情報責任者へ通知しなければならないとされます*1。黙って遅れるのではなく、期限前に申し出る形です*1。
90日と120日の違いも実務的です*1。90日は新規と既存の契約そのもの、120日は期間を延長する変更とそれ以後に出す勧誘に向いています*1。既存の関係を一度に切らず、更新の節目で条項を足していく設計になっています*1。同じ考え方は、後年のLLM調達の開示要件でも使われました。
例外は3類型、文書に5項目、最長1年
禁止と同じくらい、例外の作り方が細かく決められていました*1。
まず限定です*1。法は、法執行の活動、国家の安全に関わる利益と活動、およびセキュリティの研究について、この覚書に示す制限の限定的な例外を認めるとされ、機関は、対象アプリケーションの利用が任務にとって決定的に重要であり、代替の手法が実行可能でない場合に、この節に示す例外の利用を限るべきであると続きます*1。
付与する主体も決まっています*1。例外は、機関の長または機関の長の被指名者によって付与されなければならないとされ、機関全体に適用される包括的な例外は認められないと明記されました*1。例外は、下記の類型が対象とする特定の機関のプログラムまたは運用上の行為に限られなければならないとも書かれます*1。
文書に残す項目は5つです*1。承認の日付、例外の類型、例外が適用される状況の説明、例外の期間、対象アプリケーションが機微なデータへアクセスすることを防ぐために取るリスクの緩和の行為*1。
期限も付きました*1。例外は最長で1年とし、その後、機関は更新または終了について再評価しなければならないとされ、機関の長は現行の例外の一覧を維持しなければならず、求めに応じてOMBへ提供するともされます*1。
契約との接続も忘れられていません*1。政府の契約における特定の活動に関して承認された例外の文書の写しは、関連する契約のファイルへ含めるため、適切に調達の担当者と共有しなければならない*1。例外が契約書の側にも残る作りです*1。
類型の中身も具体的でした*1。国家の安全に関わる利益と活動は、合衆国法典第6編・第10編・第50編の権限に基づく活動や、大統領が宣言した大規模災害や緊急事態で生じる深刻な損害や途絶を緩和するための活動が例に挙がります*1。法執行の活動は、連邦の法執行の共同体に属する機関が行うもの、法執行上の緊急事態への対応、連邦の法令の違反の可能性の調査などです*1。セキュリティの研究の活動は、脆弱性、セキュリティ上の弱点、対処可能な脅威の特定を通じて、個人・公共・民間・国家の物理的またはデジタルの基盤への害を抑える調査、および悪意ある外国の影響が疑われる事案の調査が挙げられました*1。
報告と、対象外のアプリの扱い
第V節が報告です*1。
2つの期限がありました*1。機関は、この覚書の日付から90日以内に、第III節Aに示すすべての行為を完了した旨をOMBへ通知しなければならないとされ、これらの通知の文書は、機関の最高情報責任者が署名し、電子メールで送付しなければならないとされます*1。
もう1つは件数の報告です*1。この覚書の日付から120日を超えない時期に、機関は、第IV節Bに示す各類型のもとでその時点までに承認した例外の件数を提出することが求められるとされ、提出先としてCyberScopeのアプリケーションと、その中の該当するタブが指定されました*1。
例外もあります*1。合衆国法典第50編のもとで行われる活動は、この節の報告の要件から除外されるとされました*1。また第IV節に基づき機関が承認した例外の一覧とすべての関連する文書は、求めに応じてOMBへ提供できるようにしなければならないとされます*1。
最後の第VI節が、この覚書のもっとも応用の利く部分かもしれません*1。機関は、法の対象でないアプリケーションに関して、相当のサプライチェーンのリスクが存在すると結論づける合理的な根拠があると判断した場合、当該リスクに関する情報を、41 C.F.R. 第201-1.201条に整合する形で連邦調達セキュリティ評議会（FASC）へ提出しなければならない*1。
個別の名指しで終わらせず、同種のリスクを見つけたら上げる経路を用意した、という書き方です*1。禁止の対象を1つずつ列挙する方式の限界を、この節が補っています*1。
解除された後に、何が残るのか
M-26-17は、仕組みを畳む手順を書いていません*2。TikTokは政府端末で使用してよいという一文で終わります*2。
それでも、作った仕組みは組織に残ります*1。企業に移すなら、次の4つが骨格になります。
第一に、範囲の定義です*1。どの端末までを対象とするのか。自社の資産だけか、委託先が業務のために使う端末を含むのか*1。M-23-13は「契約の履行に必要な範囲」と「付随して取得した機器」を分けました*1。この線を先に引かないと、後の指示が届きません。
第二に、二段構えの遮断です*1。端末からの削除と導入の禁止に加えて、ネットワーク側で宛先への通信を止める*1。MDMによるアプリの配布と管理だけでは、私物や管理外の経路が残ります。
第三に、契約への織り込み方です*1。新規と既存を分け、既存は更新や期間延長の節目で条項を足す*1。一斉に切り替えるより現実的で、後から漏れを追いやすくなります*1。
加えて、報告の形も移植できます*1。M-23-13は、完了の通知に最高情報責任者の署名を求め、例外の件数を類型別に集めました*1。件数を数える単位を先に決めておくと、対応の進み具合が言葉ではなく数で共有できます*1。
第四に、例外の型です*1。誰が承認するか、包括的な例外を認めないこと、書き残す5項目、期限を切って再評価すること*1。例外を認めること自体は避けられません。避けたいのは、誰がいつ何を認めたのか分からなくなることのほうです。
そして、解除のときに何をするかも決めておく値があります*2。今回の廃止は、禁止を解く指示であって、例外の文書や契約条項をどう扱うかには触れていません*2。入れた条項をいつ外すのか、残した記録をいつまで保つのかは、入れる側が決めておく必要があります。
まとめ：アプリ禁止の仕組みで押さえる3つの視点
米国の行政管理予算局（OMB）は2026年8月10日、覚書M-26-17により、政府端末での特定アプリの利用を禁じた覚書M-23-13（2023年2月27日）を廃止しました。2026年7月17日の法務顧問室の意見により、当該アプリが法にいう対象アプリケーションに当たらなくなったという整理です。押さえたい視点は三つあります。第一に、及んだ範囲。M-23-13は40 U.S.C. 第11101条(6)の「情報技術」の定義に依拠し、機関が所有・運用するITだけでなく、その使用を要する契約のもとで請負業者が使用するITにも及ぶとしました。明示的に求められる場合のほか、役務の提供や製品の供給の履行において相当程度に用いられる場合も含む一方、連邦の請負業者が契約に付随して取得した機器は含まれません。第二に、期限と行動。30日以内に利用と存在の特定、例外を裁定する内部手続の確立、削除と導入の禁止、当該アプリケーション宛の通信の禁止を行います。90日以内に、新規契約へ利用を含みうる要件を入れないこと、該当する既存契約の利用の停止または修正を行います。120日以内に、期間を延長する変更（オプションの行使を含む）へ適合の要件を含め、120日経過後に発する勧誘のうち請負業者がITを使いうるものへ適合を求めます。期限に間に合わない機関は、期限前に連邦最高情報責任者へ通知します。第三に、例外と報告。例外は国家の安全に関わる利益と活動、法執行の活動、セキュリティの研究の活動の3類型で、機関の長または被指名者が付与し、機関全体への包括的な例外は認められません。承認の日付、類型、適用される状況の説明、期間、機微データへのアクセスを防ぐ緩和の行為の5項目を文書に残し、最長1年で更新か終了かを再評価します。報告は、90日以内に最高情報責任者の署名による完了通知、120日以内にCyberScopeで類型別の件数の提出です。第50編の活動は報告の対象外とされました。
よくある質問
委託先が使う端末も対象だったのですか。
対象でした。M-23-13は40 U.S.C. 第11101条(6)の「情報技術」の定義に依拠し、その定義が機関の所有・運用するITだけでなく、当該ITの使用を要する行政機関との契約のもとで請負業者が使用するITにも及ぶと説明しています。明示的に求められる場合に加えて、役務の提供または製品の供給の履行において相当程度に用いられる場合も含みます。ただし、連邦の請負業者が連邦の契約に付随して取得した機器は含まれないとされていました。
例外はどこまで認められましたか。
3類型に限られました。国家の安全に関わる利益と活動、法執行の活動、セキュリティの研究の活動です。付与できるのは機関の長または機関の長の被指名者で、機関全体に適用される包括的な例外は認められません。承認の日付、例外の類型、適用される状況の説明、期間、対象アプリケーションが機微なデータへアクセスすることを防ぐための緩和の行為の5項目を文書に残し、期間は最長1年で、その後は更新か終了かを再評価します。契約に関わる例外の文書の写しは、契約のファイルへ含めるため調達の担当者と共有します。
法の対象でないアプリに懸念がある場合はどうしたのですか。
第VI節に経路が置かれていました。機関は、法の対象でないアプリケーションに関して、相当のサプライチェーンのリスクが存在すると結論づける合理的な根拠があると判断した場合、当該リスクに関する情報を、41 C.F.R. 第201-1.201条に整合する形で連邦調達セキュリティ評議会（FASC）へ提出しなければならないとされていました。個別に名指しされたアプリだけで完結させず、同種のリスクを見つけたときに上げる先を用意する構成です。
廃止によって何が変わりましたか。
M-26-17は、2026年7月17日の法務顧問室の意見に従い、当該アプリがNo TikTok on Government Devices Actの目的における対象アプリケーションではなくなったとし、M-23-13を廃止して、政府端末での使用を認めました。本文はこれだけで、例外の文書や契約条項をどう扱うかには触れていません。禁止のために入れた条項をいつ外すのか、残した記録をいつまで保つのかは、運用する側で決める必要があります。
出典
- *1 参考：米国行政管理予算局（OMB）覚書 M-23-13「”No TikTok on Government Devices” Implementation Guidance」（2023年2月27日）（https://bidenwhitehouse.archives.gov/wp-content/uploads/2023/02/M-23-13-No-TikTok-on-Government-Devices-Implementation-Guidance_final.pdf）。廃止前の仕組みの一次情報として。第I節の背景（2023年統合歳出法によるNo TikTok on Government Devices Actの制定とOMB長官への指示、協議先）、第II節の範囲（対象アプリケーションの定義、41 U.S.C. 第133条の行政機関、40 U.S.C. 第11101条(6)の情報技術の定義と請負業者が使用するITへの拡張、付随して取得した機器の除外）、第III節の行動（30日・90日・120日の各項目と連邦最高情報責任者への事前通知）、第IV節の例外（限定の趣旨、機関の長または被指名者による付与、包括的な例外の禁止、文書に残す5項目、最長1年と再評価、一覧の維持、契約ファイルへの共有、3類型それぞれの具体例）、第V節の報告（90日以内の完了通知とCIOの署名、120日以内のCyberScopeによる類型別件数の提出、第50編の活動の除外、求めに応じたOMBへの提供）、ならびに第VI節（法の対象外のアプリに関するFASCへの情報提出と41 C.F.R. 第201-1.201条）を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：米国行政管理予算局（OMB）覚書 M-26-17「Rescission of M-23-13」（2026年8月10日）（https://www.whitehouse.gov/wp-content/uploads/2026/08/M-26-17-Rescission-of-M-23-13.pdf）。廃止の一次情報として。発出日と発出者、2026年7月17日に発出された法務顧問室の意見に従い当該アプリが法の目的における対象アプリケーションではなくなったこと、M-23-13が廃止されること、および政府端末での使用が認められることを確認した。本文はこの範囲にとどまり、既存の例外の文書や契約条項の取扱いには触れていない。確認日は2026年9月9日。（2026年9月確認）
