第23回：「焦り」がミスを誘う・情報セキュリティ【澤円の連載コラム】

こんにちは、澤です。

前回に引き続き、セキュリティの話をしましょう。

つい先日、とある銀行の新人さんが、オフィス内の写真をSNSにアップして大騒ぎになりましたね。
この時に使われたアプリが「BeReal」と呼ばれるものです。
BeRealは1日に1回、ランダムなタイミングで通知が来ます。
通知が来ると
「2分以内に撮影して投稿してください」
と促されます。
しかもインカメラ（自分）とアウトカメラ（周囲の風景）を同時に撮影します。
つまり、「今この瞬間をそのまま見せる」ことに価値があるSNSです。

さて、この通知を受け取った人は、何を最重要パラメータとして認識するでしょうか？
社会人としての行動規範意識？職場のセキュリティルール？
残念ながら、最も大きな影響を与えるのは「2分以内」という時間制限だとボクは確信してます。
人間は「時間制限がかかると、慎重な思考から直感的な思考に切り替わる」という特徴があります。
これは、さまざまなレポートで実証されています。
例えばこれ。
https://pmc.ncbi.nlm.nih.gov/articles/PMC12380712/
※米国国立医学図書館のウェブサイト（National Library of Medicine）へリンクします

このレポートでは、「時間制限があると人はミスをするか？」を調べるために、バスケットボールの判断テストを使った実験について書かれています。
被験者はバスケットボールの試合映像を視聴し、パスやドリブルなどの状況を判断する課題に取り組みました。
「一定の秒数以内に判断せよ」という時間制限によるプレッシャー下では、熟練者は視線を重要な場面に集中させ、高い正確性を維持できましたが、初心者は視線が分散し、判断精度が大きく低下しました。

ここから読み取れるのは、「経験値が低い人」は特に時間的プレッシャーの影響を受けやすく、そして判断のミスにつながりやすいということです。
そして、大抵の人は「時間的プレッシャーの中でITガジェットを操作する」というトレーニングは受けていません。
普段使っているツールであったとしても、時間的プレッシャーがかかると全く別物になってしまいます。
前述のBeRealについても、「時間的プレッシャー」を与えることによって、他のSNSとは全く違う展開が待っているわけですね。
普通のSNSならゆっくり考えて投稿するところを、「2分以内」という条件によって生まれる焦りによって、「社会人の常識」「企業人としての規範」が脳内から追い出されちゃうのです。

実は、この「時間制限によって冷静な判断を奪う」という仕組みは、サイバー犯罪者も昔から巧みに利用しています。
サイバー犯罪の世界において、このような「時間的条件」で相手を焦らせて何かを引き出そうとするのは常套手段です。

添付した画像は、2017年に猛威を振るったランサムウェア「WannaCry」です。
ランサムウェア、つまりファイルを暗号化して身代金を要求するタイプの攻撃です。
そして、画像の左側には二つのデジタル時計の表示があります。
両方ともカウントダウンしていき、上のカウントがゼロになると、身代金が倍に。
そして、下のカウントがゼロになると暗号化が解けなくなるという仕組みになっています。
これもまた「時間制限を加えて焦らせる」という仕組みを巧妙に入れていますね。

IPA（独立行政法人 情報処理推進機構 / Information-technology Promotion Agency, Japan）のレポートによれば、組織に対するセキュリティ脅威のランキングで、ランサムウェアは11年連続でトップの座に君臨しています。
この攻撃が、サイバー犯罪者にとって非常に優れたツールとして重宝されているのが分かります。
組織が持っているデータを暗号化してしまえば、組織側は「通常状態に戻すまでの時間」という呪いにかかります。
そして、元に戻そうと焦ることで、つい身代金を支払ってしまったり、初動を間違えてさらに攻撃者側に有利な状態を作ってしまったりします。

ということで、本来なら攻撃を受けたことが明らかになった段階で、迅速に対応をスタートさせなければなりません。
しかし、緊急事態に直面した時、組織で働いている人たちは別のプレッシャーも同時に受けることになります。
それは「会社に損害を与えた」という事実と「そのせいで評価が下がるかもしれない」という恐怖です。
これが更なる焦りを生んで、ことをややこしくしてしまうリスクがあるのです。
日本の職場では、「怒る・怒られる」がビジネスの判断になりやすい傾向があるようです。
PwC Strategy& が実施した『グローバル組織文化調査（Global Culture Survey）』などのレポートを見ても、日本企業は他国に比べて「リスク回避（不確実性の回避）」の傾向が突出して高いことが示されています。
「セキュリティインシデントの当事者になった」というのは、キャリアにおいては恐ろしいまでのリスクになり得ます。
そうなると、人は「隠す」という行動を選択しやすくなります。

「怒られるのは嫌だし、それによって評価が下がるのも嫌。
放っておいたら会社としてはまずいことになるかもだけど、原因が自分だとバレなければ、最悪の事態にはならないかも…」

そう考えて、ウイルス感染している事実などから目を背けたら、組織そのものの存続に関わりかねません。
では、攻撃を受けた人がすぐに対応するためにはどうすればいいでしょうか？
ここで最も大事なことは、経営者とマネージャーの普段の言動です。
普段から怒りによるコントロールが常態化している組織は、トラブルの隠蔽が常態化します。
そのような組織は、「問題がでかくなるまで分からない」という状態になっています。
つまり、普段のコミュニケーションの在り方が、そのままリスクの大きさに反映されるわけです。
もしあなたが経営者やマネージャーなら、普段のコミュニケーションのあり方を思い出してみてください。
「ミスを厳しく指摘することが仕事だ」と思っているのだとしたら、危険信号です。
人間はミスをする生き物です。
ミスをしない人間はいないという原理原則を受け入れない限り、組織のセキュリティリスクを軽減させることはできません。
何かのインシデントが発生した時、その矛先を人に向けるのではなく、問題解決にすぐ向けられるかどうか。
ここに組織のセキュリティ対策の根本があります。
次回は、実際にどのように対応すればいいかについて考えてみましょう。

▽最新情報をメールでお届け！メールマガジン（無料）にぜひご登録ください！
メルマガに登録して新着コラムを読む

最新のオフィス構築事例集です

オフィスに新しい価値を持たせるため、さまざまな工夫によってオフィスに進化させた5社の取組み事例を掲載しております。

ダウンロードはこちら