情報セキュリティーは、実のところ「総合実学」とも言うべきかもしれません。多方面にわたる学問や実践知、さらには集合知が参照されたり、練り合わされたりしながら、今なお日々進化しています。新しいリスクは日常的に生まれていますし、理屈は分かっていても制約要因の壁が高過ぎて、対応策を実践できないので、試行錯誤を重ねているといった面もあるのでしょう。
今回は、情報セキュリティーとヒトの関係に思いを巡らせることにしましょう。ビジネスがヒト・モノ・カネの組み合わせの話だとすれば、ビジネスの後見人である情報セキュリティーもまた、ヒト・モノ（テクノロジーやデータ）・カネの話に尽きます。ヒトだけであれば新しい問題とは言えないかもしれませんが、新しいテクノロジーやデータと出会ったヒトの反応が新しいリスクを招くのです。
情報セキュリティーやサイバーセキュリティーについては、テクノロジーやデータなどに関するシステム工学や情報科学分野からだけでなく、地政学あるいは政治学・経済学・法学・倫理学などのさまざまな専門家からのアプローチがあります。しかし、意外と少ないのが心理学からの視点でした。ISFでは、30年間の総合実学の積み重ねを通じて、ヒト中心のセキュリティーを体系化しています。
ISFがTHE EUROPEAN誌と共同出版した、30周年特別レポート、Safe Guarding Businessの中にある、「Putting The People First」（人あっての物種）の章を斜め読みして、それを概観してみたいと思います。
安全第一
ビジネス防衛の本質は従業員保護がイの一番。本稿では、ヒト中心のセキュリティー行動様式を育むためのヒントをご紹介します。
データ漏洩（ろうえい）その他のセキュリティー事故も、元をたどってみると、多くの場合、技術的な脆弱（ぜいじゃく）性よりも、人為的ミスに行き着きます。サイバー犯罪者などの常習犯は、犯行に当たり人の心理を操ってミスを犯すように仕向けることが多いのです。そうした点で、セキュリティー上で問題となる大きなミスを誘発するのにも、防ぐのにも心理学的な根拠があることも多いのです。
自宅で仕事をする人が増えてきて、働く環境の不確実性が高くなってきました。あらゆることが一筋縄ではいかなくなっています。こうしたときは、つい厳格なルールを適用したくなりますが、むしろ従業員に情報セキュリティーの価値を理解させて本質を捉える批判的思考を促した方が、長期的に見るとはるかに効果的でしょう。
ヒト中心のセキュリティーへのアプローチでは、単純な失敗も、巧妙に仕組まれた詐術も受け入れます。このような弱みを受け入れてこそ、効果的な情報セキュリティー体系を設計することができるからです。また、脅威を理解してこそ、被害に遭わずに済むような十分な知識を従業員に身に付けさせることもできるのです。
情報セキュリティーを見直す
まず手始めに、自社のセキュリティーに対する姿勢を評価するため、情報が組織をまたがってどのように扱われているかを調べます。
異なる部門において、情報セキュリティーの評価がどのように違うのか。会社全体に共通する行動様式があるか。第三者となるパートナー企業は、それらの行動様式をどのように受け入れているのか。こうした初期評価を通じて、ヒトの弱点が潜む所を見つけ出し、対処方針を見極められるでしょう。ヒトが間違う認知バイアスを探して、どこで問題が起きているのか推定します。
一般的にリスク行動の原因とされる楽観バイアスについても、もしかしたら、目に見える見返りがない時に働く「過剰正当性効果」によってセキュリティー行動の意欲が削がれていたことを見いだすかもしれません。
従業員の認識を検査する
セキュリティー行動様式を強化するためには、従業員の自覚が不可欠なため、時間をかけて従業員の認識の程度を把握するようにします。
従業員は、認知バイアスを理解しているのか、また自分自身、さらには同僚の認知バイアスを認識しているか。あるいは、特定の部門や作業グループに特異な偏見が生まれていないだろうか。基礎的な演習や対話をいくつか行えば、さらに焦点を当てたトレーニングや必要な施策のイメージもつかめるでしょう。
脅威を特定して、精査する
ビジネスに対する脅威のリストを作ってランク付けをしたら、主なリスクについていくつかのシナリオを描きます。ネットワークへの侵入テストにとどまらず、ソーシャルエンジニアリング技術を組み込んだ、自社ビジネスへの攻撃テストを第三者に作成してもらいます。フィッシング攻撃のレベルを変えながら、従業員が餌食になるかどうかも確かめてみます。
またストレスが、従業員の反応に与える影響も理解します。最悪の事態を想定することで、訓練は一層効果的になりますし、リジリエンスを実際に組み上げていくことができるのです。
批判的思考を奨励する
シナリオを作って特定の事項への対処法をつぶさに説明したり、個々のリスクを分析してみたりするよりも、批判的思考を持つことを奨励した方が効果的です。自社の従業員に、疑いをもつ感性やしっかりした自覚を育み、分析スキルや明快なコミュニケーション能力を備えさせることができれば、あらゆるセキュリティー事故に対処できるスキルを身に付けさせることができるでしょう。
先入観に囚われないこと、問題解決に当たっては創造的であることの重要性を徹底的にたたき込んでください。安全な行動様式を定着させて、全ての従業員が複雑な状況に陥っても対処できるような力をつけることが最終目標です。
人とテクノロジーおよびデータの相互作用を見積もる
日常的にストレスを抱えている従業員が、その限界を超えてしまい、操られる前に小さな仕掛けを講じておきましょう。こうした方がいいですよと、ちょっとした注意喚起やナッジ（合図）をタイミングよく自動的に伝えられれば、大きく状況を改善できます。
自社の従業員が仕事を楽にこなせるよう、イライラや不安を取り除き、そして、さまざまな認知バイアスに陥りかねないシステム上の明らかなトリガーも根絶しておくことを目指します。
犯行の成功事例に学ぶ
一番身近な学習教材は、過去の犯行（attack）です。今までに遭遇したセキュリティー事故の事例研究をしましょう。自社および業務関係者の弱点やミスを探します。それらを教訓として研修プログラムに盛り込み、同じ問題を起きにくくしていくのです。
ただし、過去の失敗が非難される思考パターンに陥らないよう留意します。
プロセスやポリシーを構成し直す
以上の通り、従業員とテクノロジーやデータとの相互作用や、危険なストレスの臨界点、そしてミスを起こす引き金を頭に入れた上で、過去のセキュリティー侵害の原因から学んだことと調合していきます。こうして得た情報を使ってプロセスを再構成することで、無理なく、理に適った道筋を通って望ましい行動様式を導くことができるのです。
ポリシーについては、過去の失敗に真正面から取り組み、その時には抜け道となってしまった部分をしっかりと修正しておきます。
なるべく自動化する
テクノロジーへの過度な依存は危険にもなり得ますが、人的ミスのリスクを減らすために自動化できる領域もあるでしょう。人工知能を採り入れてネットワークにおける異常処理を監視し、正常処理のノイズは除去しつつ、潜在的な問題にはフラッグを立ててセキュリティー専門家による詳細分析を促します。
ヒト中心のアプローチ
明快なプロシージャ（procedure）を定めて変更不可としておくのは、誘導操作リスクを減らすのには有効な方法ですが、ルールと推論を両立させておく必要があります。
一方、人々に批判的思考を教え込み、弱点となり得るいくつかの課題を取り除いてしまえば、力強く回復力のあるヒト中心のセキュリティー文化（security culture）を育んでいくことができるでしょう。
ここまでの整理は、予算に限りのあるセキュリティーチームにとっては、首肯できるだけでなく、魅力的なアプローチと映るのではないでしょうか。しかし一方では、例えば、全米ベストセラーの「TALKING TO STRANGERS」 （Malcom Gladwell）などを読むと、相当訓練された人間でも簡単に誤解したりだまされたりしてしまう数々の実例が示されています。本当に、自分の仲間にセキュリティーマインドを涵養（かんよう）させることができ、結果として、強固なビジネス防衛ラインを築くことはできるのでしょうか。
この問題については、ISFではメンバーとの知恵の交換を長年にわたって続けており、一定の方法論を築き上げています。この心理学的アプローチを2つのレポートにまとめ上げた若き俊才、DanことDanielの最近のブログを読んでみることにします。
セキュリティー意識が欠落するのはなぜか？
その成果や実効性はさまざまではありますが、少なからぬ多くの企業において何らかの形で「セキュリティー意識向上」キャンペーンが行われています。規制や基準に従ってセキュリティー意識の向上を図り、全社員に対する詐欺メール模擬試験や、年に一度のeラーニングを必須としています。それにもかかわらず、人の行動、とりわけ過失やエラーを原因とするセキュリティー事故やデータ侵害の統計データは、一貫して増加傾向にあります。ここで湧いてくるのは、なぜセキュリティー意識は著しく欠落するのか、という疑問です。
この疑問に答えるには、逆方向から考えてみる必要があります。つまり、ヒトがセキュリティー行動様式に駆り立てられない原因は何かを問い、セキュリティー意識の向上だけでは適切な行動がとれない理由をしっかりと見つめる必要があるのです。
その核心は、セキュリティー行動様式が、何よりも動作自体が極めて複雑であり、他人の話や行動に感化されやすい点にあります。数多くの混乱「要因」が、個々人や従業員全体のセキュリティー行動に深刻な影響を及ぼす恐れがあるのです。生物学的あるいは生理学的要因が行動に影響を与えることもありますが、ISFの調査によれば、企業として、観察可能で、コントロールもできて、影響を与えることができる主要因は、6つあることが見いだされました。
そのうち3つは、個々人の心理過程や能力にかかる内的要因であり、具体的には、態度、動機付け、および総合的な熟練度です。外的要因の3つは、従業員と企業のコミュニケーションの在り方、従業員に与えられた役割、そして経営層が発揮する影響力と関係します。それぞれの要因が、企業全体や個々のチーム、あるいは特定の職務に与える影響は、一連の取り組みを始めることによって、子細に観察し、コントロールして、強化できます。諸要因に対して一つずつ、あるいは並行して取り組む行動変容プログラムは多様かつ複雑で、セキュリティー意識というのは、小さな一つのコンポーネントに過ぎないのです。
これらから考えると、原則によらない任意のセキュリティー意識向上キャンペーンでは、従業員に対して、今あるセキュリティーや脅威モデルあるいは職種に付き物のリスクを「意識」させるだけであり、その行動を変化させて長期に持続させるには不十分でしょう。産業界としては、従業員の行動や行動様式に影響を与える最も重要な内部要因や外部要因に照準を合わせ、投資対象を定め直していくことが必要なのです。
行動や行動様式を変えるプログラムの目標は何か。それは突き詰めれば、ヒトの行動に関連したセキュリティー事故の数を減らし、その報告の精度を向上させることでなければなりません。コンプライアンスのための〇✕式のキャンペーンではないのです。
さて、Danの筆も滑らかになってきて、このブログ投稿の数日後にステップ1として「How to establish a behavioural baseline」という題で、また2日後に「Four key steps to transform security awareness, training and education」をアップしています。
2020年は、全世界の人々にとって特別な年となりました。目に見えないウイルスという特異なモノに、ヒトの常識も行動も大きく揺さぶられました。情報セキュリティーの世界にも、ヒトを揺さぶりだまし運命づけるモノがあります。日本語化はまだ途中なので英語ですが、ヒト中心のアプローチの詳細は、上記文中にもあるISFの調査報告書、さらには、一連の公開資料集を参照していただければ幸いです（登録すればメンバー以外の方でもダウンロードできます）。
1989年創設の情報セキュリティーフォーラム（ISF）は、会員にフォーチュン500やフォーブス2000に挙げられる世界の一流企業の多くを擁する、独立した非営利組織（NPO）です。ISFは、情報セキュリティーとリスク管理における重要課題の調査、明確化、解決に専念し、最適な実践モデルの方法論、プロセス、ソリューションを開発することで、会員のビジネスニーズに応えています。
またISFは、会員同士が、お互いの深い知識と実践的な経験を共有できる安心で安全な環境を提供しています。この取組みは、会員の総合的な洞察力と知識をISFにもたらし、包括的で実用的かつ効果的な最先端の解決策を会員に還元することを可能にしています。会員各社においては、互いに協力することで、同じ目標を達成するのに必要かつ多額の支出を節約できます。
さらに、ISFのコンサルティングサービスは、独立した立場からの客観的なガイダンス、サポート、トレーニングを提供しており、グローバルビジネスのリーダーや情報セキュリティーの専門家が、自社の組織構造、計画プロセス、情報リスク管理、情報セキュリティーの取り組みの中にサイバーレジリエンスを構築し、組み込むことに寄与します。
