サイバー判断力のお稽古③ 型
私は、判断には「型」があると思っています。
判断は、点ではありません。
プロセスです。
そして、そのプロセスは、きれいな一直線ではありません。
私が最初にこの型を考えたとき、頭の中では、判断はもう少し順番どおりに進むものだと思っていました。
でも、実際の人の判断を見続けているうちに、どうも違うぞ、と思うようになりました。
ワークショップで、人がどう迷い、どう判断するのかを見る。
実務の現場で、急いだり、戸惑ったり、違和感を持ちながら行動する人を見る。
そして、インシデントのあとにユーザーへ話を聞く。
「そのとき、何を見ていましたか」
「何を感じていましたか」
「何かおかしいとは思いませんでしたか」
「なぜ、そこで確認しなかったのでしょう」
「いつ、急がなければと思ったのでしょう」
そうやって、一つひとつ判断を巻き戻してみる。
すると、人の判断は、教科書のように一直線には進んでいないことが分かってきました。
感じて、止まって、疑うこともある。
確認したあとに、また違和感に戻ることもある。
一度行動しようとして、やっぱり止まることもある。
逆に、
「あれ？」
と思っていたのに、そのまま行動してしまうこともある。
判断は、行ったり来たりする。
だから私は、6つの「ステップ」と呼んではいますが、これは一直線のフローではないと考えています。
この型は、机の上だけで考えたものではありません。
実務。
インシデント対応。
ユーザーへの聞き取り。
ワークショップ。
そうやって人の判断を見続ける中で、少しずつ形になってきたものです。
私が考えるサイバー判断力には、6つのステップがあります。
感じる。
止まる。
間をとる。
疑う。
確認する。
行動する。
これが、私の考える「型」です。
もちろん、途中は行ったり来たりします。
でも、始まりと終わりには意味があります。
始まりは、
感じること。
最後は、
行動すること。
何かを感じなければ、止まれません。
止まれなければ、間もとれません。
間がなければ、疑ったり、確認したりする余裕も生まれません。
だから、
感じる。気づく。
ここが判断の入口です。
一方で、行動は最後です。
私はここがとても大切だと思っています。
なぜなら、インシデントでは、この順番が崩れるからです。
私は大きく、
逆転。
省略。
圧縮。
が起きると考えています。
たとえば、
「社長から、今すぐ送金してほしい」
というメッセージが来たとします。
本来なら、
「あれ？」と感じる。
止まる。
間をとる。
本当に本人なのか疑う。
別の経路で確認する。
そして、最後に行動する。
ところが、
「社長からだ。急ぎだ」
と思った瞬間に送金してしまう。
行動が確認より先に来る。
これは逆転です。
「いつもの相手だから大丈夫」
と、疑うことも確認することも飛ばしてしまう。
これは省略。
そして、
「今すぐ」
「5分以内」
「誰にも言わずに」
と時間圧をかけられ、
止まる、間をとる、疑う、確認する、というプロセスが一気に押しつぶされる。
これは圧縮です。
だから私は、
判断にはプロセスが必要だ
と思っています。
でも、ここで疑問が出ます。
毎回毎回、
「はい、今感じました。次は止まります。次は間です」
なんてやるのでしょうか。
そんなことをしていたら、疲れます。
仕事も進みません。
だから、私は特に注意する場面を三つに絞っています。
一つ目。認証。
パスワード、MFA、本人確認。
人であれ、システムであれ、
「本当に相手は正しいのか」
が関わるとき。
二つ目。データ。
いつもと違う相手に送る。
いつもと違う場所に置く。
いつもと違う目的で使う。
「なぜ今回は違うのか」
を考える。
三つ目。いつもと違う行動を求められたとき。
急な送金。
例外的なアクセス。
秘密にしてほしいという依頼。
いつもとは違う連絡経路。
上司、顧客、家族など、断りにくい相手からの依頼。
この三つが来たら、
少し気をつける。
一度、判断の型を思い出す。
それだけでもかなり違うと思っています。
そして最終的には、この型を毎回頭の中で唱える必要もなくしたい。
つまり、
癖にする。
私はこれを「お稽古」と呼んでいます。
繰り返して、
「あれ？」
が自然に出るようになる。
自然に一度止まる。
自然に別経路で確認する。
判断の型を、少しずつ身体化していく。
たとえば、デジタル版のオレオレ詐欺。
AIで作られた、子どもの声にそっくりな音声で、
「事故にあった」
「今すぐお金が必要」
と言われたとします。
親なら、
怖い。
助けたい。
守らなくては。
そう思うのは当然です。
そこを攻撃者は使います。
でも、お稽古をしていれば、その感情の中に、
「待って。何かおかしい」
という小さな声が入ってくるかもしれない。
私は、ここがとても重要だと思っています。
本能や感情をなくすのではありません。
感じていい。
怖くていい。
心配していい。
でも、
感じたまま、一直線に行動まで走らない。
そこに少しだけ間を入れる。
経験によって育った直感と、考える力を使う。
ただし、直感もいつも正しいわけではありません。
経験の偏りや思い込みによって、直感そのものが間違うこともあります。
だからこそ、
感じる。止まる。間をとる。疑う。確認する。
ここまでが必要なのです。
直感を信じ切るのではなく、
直感を入口にして、確認までつなげる。
System 1かSystem 2か、とよく言われます。
私は勝手に、
「System 1.5くらいがちょうどいい」
と思っています。
もちろん、これは学術的な正式分類ではありません。
私なりの言い方です。
反射的に動くのでもない。
毎回、長時間考え込むのでもない。
お稽古によって、
「あれ？」
で少し止まれる。
そして必要なときだけ、きちんと考える。
そんな判断です。
サイバー判断力は、一度学んで終わるものではありません。
最初は意識して。 そのうち、自然に。
繰り返して、癖にしていくものです。
では、その判断の入口にある、
「感じる」
とは何なのでしょう。
どうすれば、
「あれ？」
に気づけるようになるのでしょう。
明日は、
「判断の入口。まず、気づけるか」
について探っていきたいと思います。
#HumanCenteredCybersecurity #サイバー判断力 #CyberJudgment #HumanFactors #Cybersecurity #SecurityCulture #AI #CyberMindfulness #DecisionMaking