知識ではなく、戻るための「型」を身につける
昨日は、攻撃の手口や攻撃者だけに焦点を当てるのではなく、「攻撃されている自分」にも目を向けてみました。
今、自分は急かされていないでしょうか。
不安や恐怖に動かされていないでしょうか。
誰かを助けたいという気持ちを利用されていないでしょうか。
疲れや慣れによって、違和感を見落としていないでしょうか。
攻撃について知るだけではなく、そのときの自分の状態に気づく。
それが大切なのではないかと考えました。
では、どうすれば気づけるようになるのでしょうか。
今日は、Human Hardeningとは何かという「What」から一歩進み、どのように育てるのかという「How」を探ってみたいと思います。
技術には、繰り返されるプロセスがあります
技術的な脆弱性管理には、繰り返されるプロセスがあります。
脆弱性を見つけます。
影響を確認します。
優先順位を決めます。
パッチを当てます。
正しく修正できたかを確かめます。
そして、また監視します。
一度パッチを当てたら、すべて終わるわけではありません。
新しい脆弱性が見つかれば、もう一度、同じプロセスを回します。
技術屋の私には、この考え方はとても分かりやすいものです。
では、人間の側には、どのようなプロセスがあるのでしょうか。
これまでのHuman Hardeningは、知識を与えることが中心だったように思います。
攻撃の手口を教えます。
不審なメールの特徴を覚えます。
ルールを確認します。
最後にテストをします。
けれど、知っていることと、実際の場面で行動できることは同じではありません。
知っていても、できないことがあります
不審なメールの特徴を知っていても、忙しいときにはリンクを押してしまうかもしれません。
送信前に宛先を確認するルールを知っていても、急いでいれば見落とすことがあります。
「困ったら報告してください」と教えられていても、失敗を責められるのが怖ければ、報告できないかもしれません。
これは、知識が足りないからだけではありません。
知識を使う前に、焦りや恐怖、疲れに判断を動かされてしまうからです。
だから必要なのは、知識を増やすことだけではないと思います。
混乱したときにも、考える場所へ戻るための「型」を、身体に覚えさせることです。
判断の型
私は、Human Hardeningの型を、今のところ次のように考えています。
気づく
↓
止まる
↓
間を取る
↓
確かめる
↓
分からなければ助けを求める
↓
行動する
↓
振り返る
最初は、「気づく」です。
目の前のメールだけを見るのではありません。
今の環境はどうでしょうか。
今の自分は、どのような状態でしょうか。
急かされていないでしょうか。
いつもとは違う何かを感じていないでしょうか。
小さな違和感に気づいたら、いったん止まります。
すぐに進むことだけが、行動ではありません。
止まることも、判断のための行動です。
そして、少し間を取ります。
焦りや恐怖と、自分の判断とのあいだに、小さな空間をつくります。
そのうえで確かめます。
送り主は本物でしょうか。
別の方法で確認できるでしょうか。
自分だけで判断してよいことでしょうか。
分からなければ、助けを求めます。
そして決断し、行動します。
最後に振り返ります。
何に気づけたのでしょうか。
どこで止まれたのでしょうか。
何があれば、もう少し早く相談できたでしょうか。
次に同じような状況が起きたら、どの型へ戻ればよいでしょうか。
振り返るところまで含めて、一つの型です。
型は、正解を教えるものではありません
型というと、決められた手順に従うことのように聞こえるかもしれません。
けれど、この型は、すべての場面に同じ答えを与えるものではありません。
現実の状況では、最初から正解が分からないことがあります。
情報が足りないこともあります。すぐに決断しなければならないこともあります。
だから型は、正解へ自動的に連れていくものではありません。
迷ったときに、考える場所へ戻るためのものです。
焦ったら、止まります。
分からなくなったら、確かめます。
自分だけでは判断できなければ、助けを求めます。
失敗したら、振り返ります。
型があれば、混乱のなかでも戻る場所を思い出せるかもしれません。
人にパッチを当てるのではなく、稽古をする
人間には、パッチを当てることができません。
一度教育したから完成、というわけにもいきません。
昨日は気づけたことに、今日は気づけないかもしれません。
疲れている日もあります。焦っている日もあります。置かれている状況も変わります。
だからHuman Hardeningには、一度きりの教育ではなく、繰り返されるプロセスが必要なのだと思います。
知ります。
試します。
迷います。
失敗します。
振り返ります。
そして、もう一度試します。
私は、それを「訓練」よりも「お稽古」と呼びたいと思っています。
訓練には、正解できるようになるという響きがあります。
お稽古には、型へ戻り、何度も繰り返しながら、少しずつ身につけていく感覚があります。
Human Hardeningとは、人間を硬くしたり、弱さを修正したりすることではありません。
人間が自分の弱さに気づき、攻撃や混乱のなかで一度立ち止まり、判断の型へ戻り、必要な支援を受け、経験から学べるようにする継続的なお稽古です。
ただ、型を知るだけでは、まだ十分ではありません。
混乱したときにも型へ戻れるようにするには、安全な場所で、実際に迷い、失敗してみる必要があるのかもしれません。
次回は、「失敗するためのお稽古」について考えてみたいと思います。
正解を覚えるのではなく、迷ったときに戻れる型を、人間のなかにつくることはできるのでしょうか。
#HumanHardening #人間中心セキュリティ #サイバー判断力 #サイバー回復力 #判断の型 #セキュリティ教育 #サイバーセキュリティ #レジリエンス#HCC#Human Centered Cybersecurity