Day 47 良い判断を「癖」にする科学 The Science of Making Good Judgment a Habit

サイバー判断力によるヒューマン・ハードニング

» 2025/12/15

第6章：癖にする -習慣化のメカニズムと応用

～判断力を「能力」から「自然な反応」へ～

判断力は、理解した瞬間に身につくものではありません。私たちは何度も同じ壁にぶつかります。

「分かっているのに、できない」
「知っているのに、使えない」

この壁の正体は、意思の弱さではありません。習慣がまだ、そこにないだけなのです。

この第6章では、判断を「身につけるもの」から「考えなくても出てくるもの」へと変えていきます。

判断力を能力としてではなく、癖として、自分の一部にしていく旅の始まりです。

Day 47 良い判断を「癖」にする科学

ここで、少しだけ立ち戻ります。Day 15 で、「Tiny Experiment」 という考え方に触れました。大きな目標を掲げる前に、まず小さく試してみる。正解を決めるのではなく、自分に合うかどうかを確かめるための実験です。

あの時お伝えしたのは、「人生を大きく変えようとしなくていい」ということでした。一度に完璧を目指すと、人は疲れてしまう。でも、小さな実験なら、失敗しても立ち上がれる。むしろ、失敗こそが、次の判断材料になります。

この章で扱っている「判断の習慣化」も、まったく同じです。いきなり「癖」にしなくていい。まずは、試してみる。

判断を癖にする前に、その判断が本当に自分に合っているかを確かめる。

Day 15 で見た Tiny Experiment は、ここで再び、違う形で効いてきます。

いきなり習慣にしない - Tiny Experiment から始める

判断は、いきなり癖にしてはいけません。

• まずは、小さく試す。
• 失敗する。
• 調整する。

習慣化の前には、必ず「実験」があります。分かりやすく言えば、

Tiny Experiment はリハーサル。習慣は、本番です。

「今日から、常に良い判断をしよう」と決めても、うまくいかないのは当然です。

判断とは、常に状況に依存するものだから。経験を通して、少しずつ、身体に染み込ませていく必要があります。

Tiny Experiment から判断の癖へ

判断力を高めたいとき、必要なのは意気込みではありません。必要なのは、小さく設計された行動実験です。

基本の流れは、次の通りです。

1. 身につけたい「判断の型」を一つ決める
2. それを試す Tiny Experiment を設計する
3. 期間を決めて実行する
4. うまくいった点・難しかった点を振り返る
5. 調整し、繰り返す

この繰り返しの中で、判断は徐々に「考えるもの」から自然に出てくる反応へと変わっていきます。

例えば、「信じる前に確認する」を癖にする。「もっとセキュリティ意識を高めよう」と考える代わりに、Tiny Experiment を設計します。

Tiny Experiment の設計例

• Purposeful（意味がある）
  衝動的にリンクをクリックしてしまう癖を止めたい
• Actionable（今すぐできる）
  メールやメッセージでリンクを受け取ったら、必ずURLをホバーして確認する
• Continuous（継続）
  2週間、すべてのリンクで実行する
• Trackable（記録できる）
  その日に確認できたかをチェックする

2週間後、振り返ります。

• 不審なリンクに気づけたか
• 無理なく続けられたか
• どこに引っかかりがあったか

そして、必要なら調整します。例えば、送信元アドレスも確認する。別チャネルで確認する。

完璧を目指さないことが、続く判断の条件です。

判断を癖にするための PACT フレームワーク

Tiny Experiment の設計には、Anne-Laure Le Cunff が提唱する PACT フレームワークが役立ちます。

• Purposeful：自分にとって本当に意味がある
• Actionable：今すぐ始められる
• Continuous：一定期間、繰り返す
• Trackable：できた／できなかったを記録できる

セキュリティ判断の Tiny Experiment 例

• パスワード実験「2週間、パスワードを再利用する前に『これが漏れたら、何が巻き添えになるか』を考える」
• 情報源確認実験「10日間、緊急性の高いセキュリティ通知は必ず公式ルートで確認する」
• 権限意識実験「3週間、アプリが権限を求めたら『本当にこの権限が必要か』を自問する」

どれも小さく、今日から始められ、期限付きです。あくまで「試す」ことが目的です。

なぜ Tiny Experiment はセキュリティ判断に向いているのか

サイバーセキュリティの判断は、Tiny Experiment と非常に相性が良い分野です。

1. 脅威は文脈依存である
   フィッシング、マルウェア、詐欺―状況は毎回違う
2. リスクは個人ごとに異なる
   守るもの、働き方、環境が違う
3. フィードバックが不可欠である
   ヒヤリ・ハットが、最良の学習材料になる

Tiny Experiment は、自分の日常の中で、自分の判断を鍛えるための方法です。

判断を曇らせる 3 つの無意識スクリプト

Le Cunff は、私たちの判断を無意識に縛る3つの思考パターンを指摘しています。

① シークエル・スクリプト

「未来は、過去の延長でなければならない」「この人からのリンクは、今まで大丈夫だった」

対抗実験
「1週間、送信者に関係なくすべてのリンクを確認する」

② クラウドプレーザー・スクリプト

「相手を失望させてはいけない」「上司からの緊急依頼だから、疑えない」

対抗実験
「2週間、緊急性の高い依頼は必ず別チャネルで確認する」

③ エピック・スクリプト

「完璧でなければ意味がない」「完璧な対策ができないなら、何もしない」

対抗実験
「3週間、たった一つのセキュリティ習慣だけを実践する」

セキュリティ先延ばしのための

トリプルチェック・ツール

行動できないとき、原因はだいたい次のどれかです。

• Head（頭）
  「本当に必要だと思えない」→ 自分に近い事例を一つ調べる
• Heart（心）
  「面倒で、楽しくない」→ 発見数を記録し、ゲーム化する
• Hand（手）
  「やり方が分からない」→ チュートリアルを見る、誰かに聞く

先延ばしは、失敗ではありません。改善のヒントが隠れたデータです。

Experiment から Habit へ

• Phase 1：実験期（1〜3週）意識的に試し、記録する
• Phase 2：調整期（4週目）気づきをもとに改善する
• Phase 3：統合期（5〜8週）自然に使える感覚が生まれる
• Phase 4：習慣期（9週以降）追跡不要。判断が自動化される

進む速さは、人それぞれで構いません。判断を導くのは、意思ではなく経験のデータです。

まとめ

• 一つの判断を選び
• 小さく試し
• 短期間で振り返り
• 調整を重ね
• やがて癖になる

量をこなすことが必要な場面も、確かにあります。

けれど、判断力に関して言えば、大切なのは量ではなく、質です。

一生の約束をする前に、まず3週間。小さく試し、確かめ、整える。

サイバーセキュリティでは、この小さな積み重ねが、やがて強固な判断力になります。

ホバーして確認する。信じる前に、確かめる。

Tiny Experiment は、「分かっている」と「できている」をつなぐ橋です。

判断力は、力づくでは育ちません。根性や気合でもない。静かな反復の中で、少しずつ形になっていくものです。

ドレイファスモデルは、もうひとつ大切な事実を示しています。多くの人は、途中で止まる。経験年数は増えていく。肩書きも、役割も変わっていく。けれど、判断の質は、
ある地点から動かなくなる。

なぜか。それは、意図的に振り返られず、記憶が組み替えられず、フィードバックが入らないから。

経験が、ただ「通過」してしまっている。だから、判断も更新されない。

ただ同じ毎日をこなしていても、立ち止まって振り返ることも、やり方を少し工夫することもなく、ただ繰り返しているだけなら、私たちは、「一人前」の先へは進めません。

判断力を育てるとは、経験を増やすことではなく、経験の扱い方を変えることなのです。

そして、ここで一つ、次につながる問いを残しておきたいと思います。

もし、判断力が「努力」ではなく「仕組み」で育つのだとしたら、私たちは、何を、どう設計すればいいのでしょうか。

ーーーーー

Chapter 6: Making It Habit - The Mechanism and Application of Habit Formation

Good judgment doesn't become part of us the moment we understand it. We face this paradox repeatedly: we know what to do, yet we don't do it. The wall blocking us isn't weak willpower, it's the absence of habit.

In Chapter 6, we transform judgment from "ability" into "habit"-making good judgment emerge naturally, without conscious effort.

The Science of Making Good Judgment a Habit

Don't Rush to Habit - Start with Tiny Experiments

In Day 15, we explored the idea of Tiny Experiments. Not as a productivity trick, and not as a way to force change--but as a gentler alternative to rigid goals.

The point then was simple: before committing, we try. Before declaring something "right," we test whether it actually fits us. That same idea becomes essential here.

Before we turn judgment into a habit, we need to be sure it is the right judgment to automate. And the only reliable way to know that is through small, time-bound experiments--run in real life, not in theory.

Tiny Experiments were never about doing more. They were about learning better.

Here, we return to them for the same reason: not to repeat the concept, but to use it--this time, to transform judgment from conscious effort into something that flows naturally.

We shouldn't immediately turn judgment into a habit. Instead, we start small. We experiment. We fail. We adjust.

Think of it this way: A tiny experiment is the rehearsal; a habit is the performance.

From Tiny Experiments to Judgment Habits

When we want to improve our judgment, we can't simply decide "From today, I'll always make better judgments." Instead, we:

1. Identify a specific judgment patternwe want to cultivate
2. Design a tiny experimentto test it in real life
3. Run the experimentfor a defined period
4. Evaluate what worksand adjust
5. Repeatuntil it becomes automatic

Cybersecurity Example: Making "verify before trust" a habit

Instead of telling ourselves "I'll be more security-conscious," we design a tiny experiment:

• Purposeful: I want to stop clicking suspicious links impulsively
• Actionable: When I receive any link via email or message, I'll hover over it to check the URL before clicking
• Continuous: I'll do this for every link for 2 weeks
• Trackable: I'll mark each day I successfully verified links

After 2 weeks, we evaluate: Did this catch any phishing attempts? Did it feel natural? Then we adjust--maybe we add "check sender address" or "verify through another channel."

The key: We're not trying to become perfect immediately. We're testing if this security judgment works for us, and how to make it sustainable.

The PACT Framework for Judgment Habits

Anne-Laure Le Cunff's PACT method designs effective tiny experiments:

• Purposeful-- It genuinely matters to us
• Actionable-- We can start right now without extra resources
• Continuous-- We practice regularly for a set duration
• Trackable-- Simple yes/no tracking (did we do it or not?)

Cybersecurity Judgment Experiments:

• "Password check" experiment:"For 2 weeks, before reusing any password, I'll ask myself: 'If this account is breached, what else gets compromised?'"
• "Source verification" experiment:"For 10 days, before acting on any urgent security alert, I'll verify it through an official channel."
• "Permission audit" experiment:"For 3 weeks, whenever an app requests permissions, I'll ask: 'Does this app genuinely need this access?'"

Each experiment is small enough to start today, specific enough to track, and limited in duration--we're just testing.

Why Tiny Experiments Work for Security Judgment

Cybersecurity judgment is particularly suited to tiny experiments because:

1. Security threats are contextual-- Each situation is different (phishing vs. malware vs. social engineering)
2. Security is personal-- Our risk profiles vary (what we protect, how we work)
3. Security needs feedback-- We must learn from near-misses and mistakes

Tiny experiments let us build security judgment in real contexts (our actual emails, apps, workflows) while discovering our own vulnerabilities through clear, trackable data.

The Three Cognitive Scripts That Sabotage Security Judgment

Le Cunff identifies three subconscious patterns that undermine our judgment:

1. The Sequel Script - "Our future must follow our past"

In cybersecurity: "I've clicked links from this sender before without problems, so this one must be safe too."

Tiny experiment to break free: "For 1 week, I'll treat every link as new, regardless of sender history, and verify each one."

2. The Crowdpleaser Script - "We must please others"

In cybersecurity: "My boss sent this urgent request at midnight asking for credentials--I don't want to look unresponsive by questioning it."

Tiny experiment to break free: "For 2 weeks, whenever I receive urgent security-related requests, I'll verify through a second channel regardless of who's asking."

3. The Epic Script -- "We need ONE grand solution"

In cybersecurity: "I need the perfect security system or it's not worth doing anything."

Tiny experiment to break free: "For 3 weeks, I'll implement one small security practice (like unique passwords for critical accounts) rather than waiting for comprehensive protection."

The Triple Check Tool (For Security Procrastination)

When we procrastinate on security practices, we diagnose which dimension blocks us:

• Head (rational)-- "I don't think this threat is real" → We research one recent breach similar to our situation
• Heart (emotional)-- "Security feels tedious and joyless" → We gamify it: track our "catches" of suspicious activity
• Hand (practical)-- "I don't know how to implement two-factor authentication" → We ask for help or follow one tutorial

Each diagnosis needs a different solution. When we frame security improvement as tiny experiments, procrastination becomes useful data telling us what to adjust.

From Experiment to Habit: The Transformation

Phase 1: Experiment (Weeks 1-3) -- Consciously test a security judgment approach; track when we use it; evaluate improvement

Phase 2: Adjustment (Week 4) -- Refine based on what we learned; commit to improved version

Phase 3: Integration (Weeks 5-8) -- The approach starts feeling natural; we catch ourselves using it automatically

Phase 4: Habit (Weeks 9+) -- No longer need to track; it's part of how we think; good security judgment flows naturally

The key: We only advance when ready. We let data from tiny experiments guide us.

In Summary

We don't revolutionize our judgment overnight. Instead:

1. Identify one specific judgment pattern to improve
2. Design a tiny, testable experiment
3. Run it for a limited time with clear tracking
4. Learn what works for us specifically
5. Refine and repeat until it becomes habit

In cybersecurity: Small experiments compound into robust security judgment. Hover-before-clicking becomes automatic. Verify-before-trusting becomes instinctive. One tiny security habit at a time.

Key takeaway: Before we make something a habit, we make it an experiment. Before we commit for life, we commit for three weeks. Good judgment--including security judgment--becomes a habit not through force of will, but through thoughtful, iterative practice. The tiny experiment is the bridge from knowing what good judgment looks like to naturally exercising it in our daily lives.

References 出典・参照

Ericsson, K. A., Krampe, R. T., & Tesch-Römer, C. (1993). The role of deliberate practice in the acquisition of expert performance. Psychological Review, 100(3), 363-406. https://doi.org/10.1037/0033-295X.100.3.363

Le Cunff, A.-L. (2023). Tiny experiments: How to live freely in a goal-obsessed world. Portfolio.