LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

機器を買うときの検査項目は、たいてい機器そのものの性能で決まります。米国の連邦調達では、ドローンについて別の見方が明文化されました。

行政管理予算局（OMB）は2025年11月21日、覚書M-26-02「政府による安全な無人航空機システムの利用の確保と米国の生産者の支援」を発出しました*1。根拠は2023年米国安全ドローン法（ASDA、公法118-31 第1821条から第1832条）の第1829条です*1。

調達と実装の立場から確かめたい点は4つあります。何が新しい見方か、どう評価するのか、何を満たすのか、満たせないときはどうするのか。原文から順に見ていきます。

「航空機であり、かつITシステム」という扱い

まず、この覚書の中心にある一文を確認します*1。

附属A第1節はこう書きます*1。この覚書の発出から180日以内に、機関は、UASのいかなる調達についても、当該システムを航空機であり、かつ情報技術（IT）システムでもあるものとして適切に認識し、この覚書の附属Bに特定される情報セキュリティのリスクの手順を統合することを確保しなければならない*1。

続く一句が重要です*1。当該UASがどこで製造され、または組み立てられたかを問わない*1。製造国による禁止とは別の層として、情報セキュリティの手順が全機体に掛かる構造です*1。

禁止の側は別にあります*1。覚書は上記の要件は既存の調達の法令に追加されるものであり、UASの取得に適用されうる他のすべての法的な要件（特定の外国事業体により製造または組み立てられたUASの調達および運用を禁じる連邦調達規則の第40.2款を含む）を機関が遵守する必要をなくすものではないと述べます*1。

調達の各段階への当てはめも示されました*1。市場調査の段階では、各製品の能力が附属B第2節とどう整合するかについての情報を収集する、取得の計画と勧誘の作成の段階では、附属B第1節に基づいて実施した影響度評価をもとに、機関の情報セキュリティの要件に応える提案をベンダーが行えるよう、十分な詳細さで要件を記述する、契約の授与にあたっては、適切な場合、附属B第2節に特定される成果の達成に関連する基準で応札者を評価する、製品の納入後、またはUASの運用を伴う役務契約の履行中は、セキュリティのリスクを緩和する関連する技術的措置を実効的に実施する仕組みを備えていることを確保するです*1。

国内生産への配慮も条文になっています*1。取得と勧誘の作成にあたり、各機関は、UASの生産について求められる国内の能力を創出しまたは維持するために、特定の国内の供給源へ契約を授与することが必要かどうかを検討すべきであるとし、必要な場合は連邦調達規則第6.302-3および競争契約法を含む適用ある法的要件に整合する形で、非競争の取得手続の利用を検討することができるとされました*1。

評価はFIPS 199で、位置情報と映像から

附属B第1節が、出発点となる評価を定めます*1。

実施者が指定されている点が特徴です*1。契約を通じてUASを調達する前、または連邦情報を処理、保存もしくは伝送するUASの調達に資金を提供する補助金もしくは協力協定を発行する前に、情報セキュリティのリスクの管理に責任を負う機関の職員と、当該UASの運用またはその監督に責任を負う機関の職員は、共同で、連邦情報処理標準（FIPS）199またはその後継の刊行物を用いた影響度評価を完了しなければならない*1。

プライバシー側との整合も求められます*1。これらの職員は、プライバシーのリスクの分析に責任を負う機関の職員と調整し、この指針が求める影響度評価と、プライバシー影響評価との一貫性を確保すべきである*1。

評価の対象も明示されました*1。機関は、UASに保存され、UASによって処理され、またはUASへ、もしくはUASから転送されうる情報の種類を特定し文書化すべきであるとし、最低限、これにはUASの位置に関するデータと、当該UASが対応する音声または映像のデータが含まれるとされます*1。

そのうえで各情報の種類について、機密性、完全性または可用性の喪失が、機関の運用、機関の資産または個人に対して、低、中または高のいずれの潜在的な影響をもたらすと予想されるかを判定すべきであるとされ、その判定により、機関は、当該UASについて適切なセキュリティの区分と、システム全体の影響度の水準を特定できるようになると述べます*1。

ここから先の要件は、この影響度の水準で分岐します*1。機体の性能ではなく、載る情報の性質が要件を決める、という順序です*1。

満たすべき能力は、3分野に分かれる

附属B第2節が、最低限のセキュリティ能力を挙げます*1。

データ保護には、さらに4つの条件が続きます*1。機関は、法令が求めないUASのデータのアップロード、ダウンロードまたは伝送を拒否できる能力を保持すべきであるとされ、法令が求める場合でも実行可能な限り広い範囲で、誰と情報を共有し、どこに保存するかを選ぶ能力を保つべきであるとされました*1。

次にUASが機微なデータを保存または処理する場合、機関は、遠隔でのセキュリティの能力（例：遠隔での消去または施錠）を備えたUASの取得を検討すべきであるとされ、理想的には、運用者が、製造者の関与なしにこれらの遠隔のセキュリティの能力を発動できるべきであると述べます*1。

さらにUASが機微なデータを保存または処理する場合、運用者は、適用ある法に整合する形で、当該UASが収集した機密性の指定が中または高の連邦情報を、各任務の完了後に消去すべきであるとされ、機密性についてのシステム全体の影響度が高の場合、承認されていないシステムへのデータの保存と伝送を無効化する技術的な統制を用いるべきであると続きます*1。

「製造者の関与なしに」という一句が、この覚書の性格を示しています*1。機能があるかどうかだけでなく、誰が発動できるかまで見る書き方です*1。同じ発想はIoT製品のセキュリティ適合で扱う支援期間や更新の主体の議論とも重なります。

満たせないときは、書面で免除を作る

附属Cが、例外の作り方を定めます*1。

要件はこうです*1。機関の長が、特定の調達または一連の調達に関して、この覚書の附属Bに示す要件を満たすことと、任務上不可欠な性能の要件を果たしうるUASを取得することの双方を、当該機関が達成できないと書面で判断する場合、当該調達は附属Bの要件から免除される*1。

ただし、成立の条件が付きます*1。そうした免除は、機関の長が、前記の判断に加えて、その判断の事実上および論理上の根拠と、次の情報を書面で文書化した場合にのみ有効であるとされ、3項目が挙げられました*1。判断の日付、対象となる製品の説明（数量と価額を含む）、免除が有効である期間。ただし発効日から3年を超えてはならないです*1。

権限の下限も決まっています*1。機関の長は、免除に必要な判断を行う権限を副長官または同等の者へ委任することができるが、それより下位の職員へ委任することはできない*1。そして機関は、免除の文書をOMBの求めに応じて提出できるようにし、また当該文書が関連するシステムセキュリティ計画に存在すること、および関連する契約のファイルへ含めるために調達の担当者と共有されることを確保しなければならないとされました*1。

外国事業体の禁止に関する免除とウェーバーは、別立てです*1。法の第1823条、第1824条および第1825条は、それぞれウェーバーの規定を含み、行政機関の長が、OMB長官の承認を得て、連邦調達セキュリティ評議会との協議の後に、個別の事案ごとに各条の禁止を免れさせることを認めているとされます*1。

手続の順序も明記されました*1。長官の承認を得ることに加えて、機関は、法の禁止を免れさせる前に議会へ通知しなければならないとされ、宛先として上院の国土安全保障・政府問題委員会、下院の監督・説明責任委員会、その他の管轄する適切な議会の委員会が挙げられます*1。そして機関は、長官がウェーバーを承認した後にのみ、免れさせる意図についての議会への通知を行うものとするとされました*1。

補助金の側には、2025年12月22日からの禁止

この覚書は、機関が自ら買う場合だけを扱っていません*1。

附属A第2節は、補助金と協力協定の側を定めます*1。連邦情報を処理、保存または伝送するUASの調達のために非連邦主体へ資金を提供する機関は、発出から180日以内に4つを行います*1。資金提供の機会の通知（NOFO）へ附属Bの適切な情報セキュリティの要件を含め、応募において非連邦主体がこれらの要件に応えることを求める、NOFOに含めた要件への非連邦主体の応答を適切に考慮して、リスク評価と提案の評価を行う、NOFOの具体的な情報セキュリティの要件を、補助金と協力協定の条件へ含める、非連邦主体が条件の情報セキュリティの要件を守っているかを監視するです*1。

NOFOに書かせる内容も指定されています*1。NOFOには、非連邦主体が、結果として得られる交付の下でのベンダーへの調達の勧誘に、これらの要件をどのように適用するリスクベースの手法を策定するかを記述するための要件を含めるものとする*1。孫請けの側まで要件が流れる設計です*1。

そして附属Dが、期日の入った禁止を置きました*1。2023年米国安全ドローン法第1825条に基づき、2025年12月22日以後、連邦の補助金、協力協定その他の交付を通じて提供される資金の使用について、次の禁止が適用されるとされ、受給者または再受給者は、FASCが禁止する無人航空機システムを調達することとFASCが禁止する無人航空機システムの運用に関連して、連邦の資金を用いてはならないとされます*1。用語の定義は48 C.F.R. § 40.201またはその後継の規則によります*1。

例外も列挙されています*1。国土安全保障省、国防総省、国務省、司法省は、米国の国益上必要であり、かつ電子戦、情報戦の運用、サイバーセキュリティ、またはUASもしくは対UASの技術の開発のための研究、評価、訓練、試験または分析のみを目的とする場合などに免除されます*1。運輸省とFAAは国家空域システムの安全で、セキュアで、効率的な運用または公共の安全の維持を支えると認められる場合、海洋大気庁は科学もしくは管理の目的または運用上の任務を満たすために必要な場合に免除されます*1。

対ドローンの側の規則は対ドローン権限の州・地方への開放で、輸出の側はドローン輸出管理の合理化で扱っています。買う、飛ばす、落とす、売るの4方向で、それぞれ別の規則が動いています*1。

機器をITシステムとして買うということ

最後に、設計の言葉に置き換えます*1。

第一に、要件の起点が機器ではなく情報になりました*1。FIPS 199の影響度評価が先に来て、その結果で暗号化、消去、遠隔ワイプの要否が決まります*1。仕様書に「暗号化対応」と書くのではなく、どの情報がどの水準かを先に決める順番です*1。

第二に、更新の経路が統制の対象です*1。更新は製造者か信頼できる第三者からのみ、導入に使う機器は組織の情報システムから隔離、という要求は、機器の運用というより社内のネットワーク設計の話です*1。納品後の運用まで含めて提案する必要が出ます*1。

第三に、消去が任務単位で書かれています*1。機密性が中または高の連邦情報は、各任務の完了後に消去すべきとされました*1。撮ったデータをいつ、誰が、どこで消すかを手順として持たないと満たせません*1。

第四に、免除に期限と様式があります*1。3年を超えられず、数量と価額まで書き、契約ファイルにも入ります*1。要件を満たせない製品を売り続ける前提は立てにくい構造です*1。

日本の事業者にとって直接の義務ではありませんが、考え方は移植できます。カメラやセンサーを積んだ機器を納めるとき、それを情報システムとして扱い、載る情報の区分から要件を引く。同じOMBがソフトウェアの保証をリスクベースへ寄せたのと、発想は一貫しています*1。

まとめ：M-26-02で押さえる3つの視点

米国の行政管理予算局（OMB）は2025年11月21日、覚書M-26-02「政府による安全な無人航空機システムの利用の確保と米国の生産者の支援」を発出しました。2023年米国安全ドローン法（公法118-31）第1829条に基づく政府全体の方針です。押さえたい視点は三つあります。第一に、扱いの転換。附属A第1節は、発出から180日以内に、UASの調達について当該システムを航空機であり、かつITシステムでもあるものとして認識し、附属Bの情報セキュリティのリスク手順を統合することを求めます。これは製造や組立の場所を問いません。特定の外国事業体が製造・組立したUASの調達と運用を禁じる連邦調達規則第40.2款の遵守は、これとは別に必要です。第二に、評価と要件。附属B第1節は、情報セキュリティのリスク管理に責任を負う職員と、UASの運用またはその監督に責任を負う職員が共同で、FIPS 199を用いた影響度評価を完了することを求めます。対象には最低限、UASの位置に関するデータと、対応する音声または映像のデータが含まれます。附属B第2節は、アクセス制御（遠隔での地上管制局へのアクセスにNIST SP 800-63に従う多要素認証、可用性が中・高ならIT資産の枠組みの検討）、更新（製造者または信頼できる第三者からのみ、導入用機器の隔離、完全性が中・高なら事前の完全性検査と試験）、データ保護（保存時と収集・伝送時の暗号化、承認・検証済みの暗号方式、法令が求めない送受信の拒否、遠隔での消去や施錠、任務完了後の消去、機密性が高なら非承認システムへの保存と伝送の無効化）の3分野を挙げます。第三に、免除と補助金。附属Bの要件と任務上不可欠な性能の双方を満たせないと機関の長が書面で判断した場合、当該調達は免除されますが、判断の日付、対象製品の説明（数量と価額を含む）、3年を超えない有効期間の記載が要り、委任は副長官級までです。補助金と協力協定については、NOFOへの要件の組み込み、リスク評価、条件への反映、監視が求められ、附属Dにより2025年12月22日以後、連邦の交付資金でFASCが禁止するUASを調達し、またはその運用に関連して用いることが禁じられます。

よくある質問

出典

1. *1　参考：米国行政管理予算局（OMB）覚書 M-26-02「Ensuring Government Use of Secure Unmanned Aircraft Systems and Supporting United States Producers」（2025年11月21日）（https://www.whitehouse.gov/wp-content/uploads/2025/11/M-26-02-Ensuring-Government-Use-of-Secure-Unmanned-Aircraft-Systems-and-Supporting-United-States-Producers.pdf）。本文の一次情報として。発出日と発出者、2023年米国安全ドローン法（公法118-31 第1821条から第1832条）第1829条に基づくこと、適用範囲（国防総省と情報コミュニティ以外の運用のための調達、および非連邦主体との補助金・協力協定）、情報の生涯を通じた保護と連邦情報・プライバシーデータの扱い、OMB通達A-130への適合、附属A第1節（180日以内、航空機かつITシステムとしての認識、製造・組立の場所を問わない旨、市場調査から納品後までの各段階、国内供給源と非競争手続、連邦調達規則第40.2款との関係）、附属A第2節（NOFO、リスク評価、条件への反映、監視、リスクベースの手法の記述）、附属B第1節（FIPS 199による共同の影響度評価、プライバシー影響評価との整合、位置情報と音声・映像を最低限の対象とすること、低・中・高の判定）、附属B第2節（アクセス制御・更新・データ保護の3分野の具体的要求）、附属C（免除の要件と3項目・3年の上限・副長官級までの委任・文書の共有、第1823条から第1825条の免除とウェーバー、OMB長官の承認とFASCとの協議、議会への通知の順序）、ならびに附属D（2025年12月22日以後の交付資金による禁止、48 C.F.R. § 40.201の定義、各省庁の免除とウェーバー）を確認した。確認日は2026年9月9日。（2026年9月確認）

Tweet