RSS
Human Hardeningとサイバー判断力

攻撃に対して「ハックされにくい人間」に

Day 115 ２層目（レベル２）：システムデザインを変えるLevel 2: System Design Transformation

»

[シリーズ構造] 柱D｜脅威の現実

AI時代の防御は、人の注意力に頼るものではない。攻撃が自動化される世界では、教育よりも設計が防御を支える。予測可能性を消し、偵察を前提とし、フィッシングを無意味化し、放置資産を残さない。結論はひとつ。強い人を育てるのではなく、壊れない仕組みをつくること。

▶ シリーズ概要： シリーズ全体マップ：人間のしなやかさ ― サイバー判断力のために

▶ 柱E｜脅威の現実 関連記事：

２層目（レベル２）：システムデザインを変える

― 人間の努力ではなく、設計が防御を担う ―

AI時代において、人間はスケールでAIに勝てない。だから、防御の重心を「人の注意力」から「システム設計」に移す。これは"強くなる"話ではない。崩れない構造に変える話だ。

u5292553157_AI_and_paper_plane_--v_7_ab41a851-0ab2-4764-ba82-2b6e6975ba3d_0.png

設計理念 1 予測可能性を消す

AIはパターンを食べる。人間の癖、再利用、思い込み。そこに学習が走る。

従来型：「強いパスワードを教育する」

AI前提設計：人間にパスワードを作らせない。

実装

  • 自動生成クレデンシャル
  • FIDO2 / ハードウェアキー
  • パスワードレス認証
  • セキュリティ質問の廃止（AIは答えられる）

人を強くするより、人の弱点を設計から消す。

設計理念 2 AIによる偵察は前提

「隠しているつもり」は、隠れていない。AIは静かに、広く、速く収集する。もはや"情報制限"だけでは守れない。

従来型：「機密情報へのアクセスを制限する」

AI前提設計：文脈は既に漏れている前提で守る。

実装

  • ゼロトラスト（毎回検証）
  • ネットワーク分離
  • AI異常検知
  • AI偵察対策ハニーポット

見つからないことを願うのではなく、見られても壊れない構造にする。

デザイン理念 3 フィッシングを"無意味"にする

ユーザーの完璧さに依存する設計は、壊れている。

従来型：「フィッシングを見抜く訓練」

AI前提設計：騙されても致命傷にならない構造。

実装

  • 既知番号のみのアウトオブバンド確認
  • ディープフェイク耐性音声プロトコル
  • デジタル署名通信
  • 受信メールのAI行動分析

防ぐのではなく、成立しない環境を作る。

デザイン理念4 切断ではなく"消去"

AIは、あなたが忘れたものを見つける。

従来型：「使っていないシステムを止める」

AI前提設計：存在そのものを消す。

実装

  • インベントリ → 廃止 → ワイプ → 記録
  • レガシーは"技術的負債"ではなく"現役リスク"

忘却は防御ではない。消去だけが終わりを作る。

結び

レベル 1 は「人の判断を守る」だった。
レベル2 は「判断を不要にする構造を作る」。

AI時代の防御とは、人に期待することを減らし、構造に期待することを増やすことだ。強い人間を作るのではない。崩れない設計を作る。

――――

[Series Structure] Pillar D | Threat Reality

In the AI era, defense cannot rely on human vigilance. As attacks scale through automation, design not training must carry the load. Remove predictability, assume reconnaissance, neutralize phishing, and eliminate dormant assets. The core message is simple: don't build stronger humans; build systems that don't break.

▶ Series overview: Series Map - Human Flexibility for Cyber Judgment

▶ Other posts in Pillar E (Pillar D | Threat Reality):

Level 2: System Design Transformation

-- When Humans Can't Outscale AI, Systems Must Carry the Load --

u5292553157_AI_and_paper_plane_--v_7_ab41a851-0ab2-4764-ba82-2b6e6975ba3d_0.png

In the AI era, humans cannot outthink AI at scale. So defense must shift -- from human vigilance to structural design.

This is not about making people stronger. It is about building systems that do not collapse.

Design Principle 1 Eliminate Predictability

AI feeds on patterns --human habits, reuse, predictability.

Traditional: "Teach users to create stronger passwords."

AI-aware: Remove human password creation entirely.

Implementation

  • Auto-generated credentials
  • FIDO2 / hardware keys
  • Passwordless authentication
  • No security questions (AI can answer them)

Don't harden the human. Remove the weakness from the design.

Design Principle 2 Assume AI Reconnaissance

What you think is hidden is likely already mapped.

AI collects quietly, broadly, and continuously. Information restriction alone is no longer sufficient.

Traditional: "Limit access to sensitive data."

AI-aware: Assume context is already compromised.

Implementation

  • Zero trust (verify every request)
  • Network segmentation
  • AI-driven anomaly detection
  • Honeypots targeting AI reconnaissance

Do not rely on invisibility. Design systems that survive exposure.

Design Principle 3 Make Phishing Irrelevant

If security depends on users being perfect, the system is flawed.

Traditional: "Train people to detect phishing."

AI-aware: Design systems where phishing cannot cause catastrophic harm.

Implementation

  • Out-of-band verification (known numbers only)
  • Deepfake-resistant voice protocols
  • Digitally signed communications
  • AI behavioral analysis on inbound mail

Don't try to stop deception. Make it ineffective.

Design Principle 4 Decommission, Not Disconnect

AI will rediscover what you forgot.

Traditional: "Shut down unused systems."

AI-aware: Erase them from existence.

Implementation

  • Inventory → decommission → wipe → document
  • Treat legacy systems as active risk, not technical debt

Forgotten is not gone. Only removal ends exposure.

Closing

Level 1 was about protecting human judgment. Level 2 is about designing systems that reduce the need for fragile judgment.

AI-era defense means expecting less from individuals and more from architecture.

Do not build stronger humans. Build systems that do not break.

References 出典・参照文献

Bhave, D. P., Dalal, R. S., Coovert, M. D., & Dorsey, D. W. (2021). Organizational science and cybersecurity: Abundant opportunities for research at the interface. Journal of Business and Psychology, 36(6), 917-941. https://pmc.ncbi.nlm.nih.gov/articles/PMC7861585/

Berkeley Risk and Decision-making Initiative. (n.d.). Frontier AI's impact on the cybersecurity landscape. https://rdi.berkeley.edu/frontier-ai-impact-on-cybersecurity/

Cyberhaven. (2023, June 18). 4.2% of workers have pasted company data into ChatGPT. https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt

Dalgaard, J. C., Janssen, N. A., Kulyk, O., & Schürmann, C. (2023). Security awareness training through experiencing the adversarial mindset. Symposium on Usable Security and Privacy (USEC). https://doi.org/10.14722/usec.2023.237300

Federal Bureau of Investigation. (2024, May 8). FBI warns of increasing threat of cyber criminals utilizing artificial intelligence. https://www.fbi.gov/contact-us/field-offices/sanfrancisco/news/fbi-warns-of-increasing-threat-of-cyber-criminals-utilizing-artificial-intelligence

Financial Crimes Enforcement Network. (2024, November 13). FinCEN alert on fraud schemes involving deepfake media targeting financial institutions (FIN-2024-Alert004). https://www.fincen.gov/system/files/shared/FinCEN-Alert-DeepFakes-Alert508FINAL.pdf

Grassi, P. A., Fenton, J. L., Newton, E. M., Perlner, R. A., Regenscheid, A. R., Burr, W. E., Richer, J. P., Lefkovitz, N. B., Danker, J. M., Choong, Y.-Y., Greene, K. K., & Theofanos, M. F. (2017). Digital identity guidelines: Authentication and lifecycle management (NIST Special Publication 800-63B). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-63b

Herath, T., & Rao, H. R. (2009). Protection motivation and deterrence: A framework for security policy compliance in organisations. European Journal of Information Systems, 18(2), 106-125. https://doi.org/10.1057/ejis.2009.6

Huang, K., & Pearlson, K. (2019). Building a model of organizational cybersecurity culture: Identifying factors contributing to a cyber-secure workplace (2019 survey results). MIT Sloan School of Management. https://mitsloan.mit.edu/shared/ods/documents?PublicationDocumentID=7507

Mumford, E. (2011). Socio-technical systems: From design methods to systems engineering. International Journal of Human-Computer Studies, 23(1), 4-17. https://academic.oup.com/iwc/article/23/1/4/693091

Internet Crime Complaint Center. (2024, December 3). Criminals use generative artificial intelligence to facilitate financial fraud (PSA241203). https://www.ic3.gov/PSA/2024/PSA241203

Rogers, R. W. (1975). A protection motivation theory of fear appeals and attitude change. The Journal of Psychology, 91(1), 93-114. https://doi.org/10.1080/00223980.1975.9915803

Schmitt, M., & Flechais, I. (2023). Digital deception: Generative artificial intelligence in social engineering and phishing (arXiv:2310.13715). arXiv. https://arxiv.org/pdf/2310.13715

Zhang-Kennedy, L., & Chiasson, S. (2021). A systematic review of multimedia tools for cybersecurity awareness and education. ACM Computing Surveys, 54(1), Article 18. https://doi.org/10.1145/3427920

蓮見祥子 2026/02/20 06:26:57 Comment(0)

コメント

コメントを投稿する