昨日は、セキュリティが守っているものについて考えました。

事故や損失を防ぐだけではありません。

人や組織が、安心して新しいことに挑戦できる余白も守っているのではないか。

昔、同僚が話してくれたことから、私はその価値に気づきました。

けれど、ここで難しい問題が残ります。

その価値を、どうすれば確かめられるのでしょうか。

今日は、「何も起きなかった」セキュリティについて考えてみたいと思います。

何かが起きると、セキュリティは見える

情報が漏れました。
システムが止まりました。
不正送金が起きました。
対応が遅れ、被害が広がりました。

何かが起きれば、セキュリティは注目されます。

何が原因だったのか。
なぜ防げなかったのか。
どの対策が足りなかったのか。

多くの人が振り返り、対応を求めます。

けれど、普段のセキュリティが目指しているのは、何も起きないことです。

事故になる前に気づきます。

被害が広がる前に止めます。

目立たないところで確認し、直し、支えます。

うまくいけば、何も起きません。

そして、何も起きなければ、その仕事は見えません。

何も起きなかった理由は、分かりません

一年間、重大な事故が起きなかったとします。

それは、よい結果です。

では、なぜ何も起きなかったのでしょうか。

対策が機能したからでしょうか。
誰かが小さな違和感に気づいたからでしょうか。
早く相談し、事故になる前に止められたからでしょうか。

それとも、たまたま攻撃されなかっただけなのでしょうか。

結果だけを見ても、その違いは分かりません。

何も起きなかったという事実はあります。

けれど、セキュリティがあったから何も起きなかったと証明することは、簡単ではありません。

だからといって、事故が起きるまで価値を示せないというのも、おかしな話です。

事故が起きれば、「なぜ防げなかったのか」と責められます。

何も起きなければ、「それほど対策は必要なのか」と問われます。

セキュリティの価値は、とても見えにくいものです。

「事故件数ゼロ」は、よい数字でしょうか

事故件数ゼロは、分かりやすい数字です。

目標にしやすく、説明もしやすいと思います。

私たちも、事故が起きないことを願っています。

けれど、ゼロという数字だけを見て安心してよいのでしょうか。

小さな異変に、誰も気づいていないのかもしれません。

気づいても、報告していないのかもしれません。

失敗を責められるのが怖くて、隠しているのかもしれません。

報告すると自分や部門の評価が下がるなら、「なかったこと」にしたくなるかもしれません。

そう考えると、事故件数ゼロには、少なくとも二つの可能性があります。

本当に安全だった可能性。

そして、問題が見えていなかった可能性です。

ゼロだけでは、その違いを見分けられません。

報告が増えたら、悪くなったのでしょうか

反対に、報告件数が増えた場合はどうでしょうか。

数字だけを見れば、問題が増えたように見えます。

教育が足りない。
人間の間違いが増えた。
セキュリティが悪化した。

そう評価されるかもしれません。

けれど、別の見方もできると思います。

以前なら見過ごされていた小さな異変に、気づけるようになったのかもしれません。

「少しおかしい」と感じた段階で、相談できるようになったのかもしれません。

間違いを隠さず伝えても、責められないという信頼が生まれたのかもしれません。

もしそうなら、報告件数が増えたことは、問題が増えた証拠ではありません。

今まで見えなかったものが、見えるようになったということです。

悪く見える数字が、組織の成熟を示している場合もあります。

数字の手前で、何が起きていたのでしょうか

事故件数や報告件数は大切です。

けれど、数だけでは意味を判断できません。

その数字が生まれるまでに、人間と組織のなかで何が起きていたのかを見る必要があります。

誰かが違和感に気づきました。

すぐに操作せず、一度立ち止まりました。

自分だけでは判断できないと認め、助けを求めました。

間違いを隠さず、早く報告しました。

組織は、その報告を責めずに受け止めました。

そして、被害が広がる前に動きました。

最終的には、何も起きなかったように見えるかもしれません。

けれど、その手前では、多くの小さな判断と行動があったのです。

「何も起きなかった」は、何もしなかったという意味ではありません。

見えないところで、誰かが気づき、止まり、相談し、支えた結果なのかもしれません。

守ったことだけでなく、戻れたこと

もちろん、すべての事故を防げるわけではありません。

何かが起きることもあります。

そのときに、被害をどこまで小さくできたのでしょうか。

どれくらい早く報告できたのでしょうか。

混乱のなかでも支援を受けられたでしょうか。

そして、どれくらい早く戻ってこられたでしょうか。

セキュリティの価値は、事故を完全になくすことだけではないと思います。

事故になる前に気づけたこと。

小さな段階で共有できたこと。

被害を広げずに済んだこと。

起きたあとにも戻れたこと。

そして、経験を次の判断へ生かせたこと。

そこにも価値があります。

何も起きなかった、その手前を測る

私は、「事故件数ゼロ」に価値がないと言いたいわけではありません。

何も起きなかったことは、大切です。

ただ、その数字だけでは、セキュリティの価値を十分に説明できないと思うのです。

見る必要があるのは、何も起きなかったという最後の結果だけではありません。

その手前にあった、気づき、立ち止まり、相談、対応、回復です。

セキュリティの価値は、事故がなかったことだけではありません。
事故になる前に気づき、被害を小さくし、何かが起きても戻ってこられたことにもあるのではないでしょうか。

では、こうした力を具体的にどう測ればよいのでしょうか。

違和感に気づいたことを、どう確かめるのでしょうか。

立ち止まったことや、助けを求めたことを、どう捉えるのでしょうか。

回復し、学びを次の判断へつなげたことは、数字にできるのでしょうか。

次回は、サイバー判断力とサイバー回復力を、観察できる行動として考えてみたいと思います。

人を採点するためではなく、人と組織の変化を見つけるために、何を測ればよいのでしょうか。

#HumanHardening #人間中心セキュリティ #セキュリティの価値 #サイバー判断力 #サイバー回復力 #効果測定 #組織学習 #レジリエンス #サイバーセキュリティ