人間は、弱いからハッキングされるのではない
技術の復旧から、人間の回復を考えるサイバーセキュリティへ
昨日、「サイバーハーム」について発表する機会がありました。
サイバーハームとは、サイバー攻撃を「侵入された」「データが漏えいした」「システムが停止した」といった技術的な出来事だけで捉えるのではなく、その結果として人や組織、社会に生じる負の影響まで含めて考える概念です。
一言で表すなら、私が提唱したいのは次のことです。
技術の復旧だけでなく、人間が受けたハームと、その回復までを視野に入れて、セキュリティとインシデント対応を考えよう。
サイバーインシデントの先には、必ず人間がいる
サイバーセキュリティの世界には、必ず人間がいます。
攻撃する人も、守る人も、攻撃を受けた人も人間です。そして、人間が集まって組織をつくり、組織が集まって社会をつくっています。
それにもかかわらず、私たちは長い間、セキュリティのための時間、労力、予算の多くを、技術とプロセスに費やしてきました。
もちろん、それらは必要です。攻撃を予防し、検知し、封じ込め、システムを復旧させることは、これからもセキュリティの重要な役割であり続けます。
しかし、システムが復旧したとき、そこでインシデント対応は本当に終わったと言えるのでしょうか。
アカウントは取り戻せても、本人の安心感は戻っていないかもしれません。金銭的な補償を受けられても、自分を責める気持ちは残るかもしれません。漏えいした情報を削除できても、「また悪用されるのではないか」という不安は続くかもしれません。
技術が元に戻ることと、人間の生活が元に戻ることは、同じではありません。
被害は、技術の中だけにとどまらない
サイバー攻撃による被害は、金銭やデータだけではありません。
不安、恐怖、怒り、羞恥、罪悪感。自分では状況を制御できないという感覚。家族や同僚との関係の悪化。仕事や学業への影響。評判の毀損。サービスや制度への不信。
一つの出来事から、複数の被害が連鎖的に生まれます。
たとえば、アカウントを乗っ取られた場合、最初に起きるのはログイン不能や投稿の改ざんです。しかし、その後には、知人への詐欺メッセージの拡散、周囲からの誤解、評判への影響、自己統制感の喪失といった被害が続く可能性があります。
オンライン詐欺でも同じです。送金という金銭的被害だけでなく、羞恥や自責感、家族関係の緊張、金融サービスへの不信、さらには再び詐欺の標的にされることへの恐怖が残ります。
被害は一つの時点で終わるものではありません。時間とともに姿を変え、生活や社会関係の中へ広がっていく動的な過程なのです。
「人間は弱い」という言葉への違和感
セキュリティの世界では、しばしば「人間は最も弱いリンクだ」と言われます。
確かに、人間は間違えます。焦ります。信じます。疲れていれば判断を誤ることもあります。親切心や恐怖心につけ込まれることもあります。
しかし、だからといって、人間を修正すべきシステムや、取り除くべき脆弱性のように扱ってよいのでしょうか。
私は、そうは思いません。
人間は、弱いからハッキングされるのではありません。人間は、人間だからハッキングされるのです。
人を信じること、助けたいと思うこと、急いでいるときに間違えること、恥ずかしくて相談できないこと。そうした性質は、単純に除去できる「欠陥」ではありません。人間らしさの一部です。
必要なのは、人間の脆弱性をなくそうとすることではなく、その脆弱性を包み込むようなセキュリティです。
間違えても被害が広がりにくい仕組み。被害に遭っても責められない相談窓口。何をすればよいか迷わせない回復導線。そして、技術、金融、法律、心理、生活の支援が分断されず、一つの案件としてつながる仕組みです。
「復旧」と「回復」を分けて考える
ここで区別したいのが、技術的な「復旧」と、人間の「回復」です。
復旧とは、停止した機能やシステムを元に戻すことです。一方、回復とは、被害によって生じた生活上の負担を軽減し、安心感や信頼、自己統制感を取り戻していくことです。
インシデント対応には、この両方が必要です。
相談の入口では、「迷わせない」「責めない」を原則とする。まず金銭やアカウントの被害拡大を止める。そのうえで技術的復旧、証拠保全、法的対応、心理・生活支援をつなぎ、最後に再発防止と学びへ結びつける。
こうした回復の導線を、発生後に慌てて探すのではなく、最初からセキュリティの設計に組み込む必要があります。
成果を測る指標も、警報件数や復旧時間だけでは不十分です。相談窓口にたどり着けた人の割合、解決までに本人が費やした時間、生活への影響がどれだけ縮小したか、二次被害を防げたかといった、人間の回復を示す指標が必要です。
人間を中心に置くセキュリティへ
人工知能の進展によって、サイバー攻撃はさらに高速化し、巧妙化し、広範囲に及ぶようになります。すべての攻撃を完全に防ぐことは、ますます難しくなるでしょう。
だからこそ、予防や検知に加えて、被害が起きた後に人がどう回復できるかを、あらかじめ設計しておくことが重要になります。
目指したいのは、脅威中心のセキュリティを捨てることではありません。脅威への対応と、ハームからの回復を両輪にすることです。
セキュリティとは、システムを守ることだけではありません。
攻撃を受けた人が孤立しないこと。間違えた人が責められないこと。守る側の人も疲弊しないこと。そして、人間らしさを失わずに安心して生活できる状態を取り戻すこと。
技術を中心にして人間を適応させるのではなく、人間を中心にして技術と制度を設計する。
それが、これから必要になる「サイバーハーム中心」のセキュリティだと、私は考えています。