サイバー判断力のお稽古⑤ 歪みに気づく
私たちは、見えているものをそのまま見ているわけではない
昨日は、サイバー判断力のお稽古で最初に必要なのは、
「気づくこと」
だと書きました。
そして、実際にワークショップをしてきて、私は「気づくこと」が一番大切であり、一番難しいのではないかと感じています。
これは、私が頭の中で考えたことではありません。
ワークショップをして、参加した人たちの反応や感想を聞く中で、少しずつ実感してきたことです。
でも、気づけばそれで終わりではありません。
次に必要なのは、
自分の「ゆがみ」に気づくこと。
です。
私たちは、見えているものを、そのまま見ているわけではありません。
「上司から来たから」
「急ぎだから」
「有名企業だから」
「いつもの取引先だから」
「ここまでやったから」
「自分なら騙されない」
そういう前提を通して、物事を見ています。
だから、このワークショップでは、
「人間には認知バイアスがあります」
と講義して終わりにはしたくありません。
大切なのは、
「人にはゆがみがある」ではなく、
「私にもゆがみがある」と気づくこと。
そこが、従来のセキュリティ研修との大きな違いだと思っています。
型は、迷ったときに戻ってくる場所
私は、サイバー判断力には「型」があると考えています。
感じる。
止まる。
間をとる。
疑う。
確認する。
行動する。
この型が大切なのは、順番を暗記するためではありません。
迷ったときに、戻ってこられるからです。
お手本がある。
まず、お手本を知る。
それを繰り返す。
そして、そのうち応用できるようになる。
これは、お稽古と同じです。
でも、型をただ暗記しても、あまり意味はありません。
その型を、
今の状況。
今の環境。
今の自分の状態。
今の感情。
に当てはめて考える必要があります。
昨日書いた、
環境、状況、感情に気づく
という話と、ここでつながります。
つまり、
自分の判断の型が、
どこで、どのようにゆがみ始めているのか
に気づく。
そして、
「あ、今ちょっと型が崩れているな」
と思ったら、
型に戻る。
私は、これがとても大切だと思っています。
どこで型が崩れたのかを見る
ワークショップでは、実際の事例を使うことがあります。
例えば、香港で起きたDeepfakeを使った詐欺の事例。
参加者には、
「これは怖い事例でしたね」
で終わってほしくありません。
見るのは、
どこで判断の型が崩れたのか。
です。
どこで違和感があったのか。
どこで止まれた可能性があったのか。
どこで疑うことができたのか。
どこで確認が省略されたのか。
そして、どこで行動が先に来たのか。
まず一人で考える。
そして、誰かと話す。
あるワークショップでは、ペアで話してもらいました。
同じ事例を見ても、
「あそこが気になった」
という人もいれば、
「私はそこは全然気にならなかった」
という人もいます。
そこが面白い。
正解を当てることが目的ではありません。
自分が何を見て、何を見落としたのかを知る。
そして、他の人の見方を知る。
それによって、
自分の判断を少し外から見ることができる。
大切なのは、
自分を責めることではありません。
「なぜこんなことも分からなかったのか」
ではない。
「自分は、こういう条件ではこう判断しやすいのかもしれない」
と知ることです。
私は、こうした事例を既存研究や他の事例とも照らし合わせながら考えてきました。
そこで見えてくるのは、
人が単に「不注意だから」引っかかるわけではないということです。
そこには、
時間圧。
権威。
感情。
期待。
思い込み。
それまでの経験。
いろいろなものが重なっています。
カードで遊んでもいい
もっと単純なやり方もあります。
6枚のカードを用意する。
感じる。
止まる。
間をとる。
疑う。
確認する。
行動する。
それを並べてみる。
順番を変えてみる。
一枚抜いてみる。
二枚を一気に飛ばしてみる。
そうすると、
「あ、ここで行動が先に来ると危ない」
「確認がなくなると、こうなる」
「急がされると、この部分が圧縮される」
ということが、頭ではなく体で見えてきます。
ここでの目的は、
体感すること。
です。
いくら頭で覚えていても、
本番になると体が先に動いてしまうことがあります。
だから私は、
型を頭に入れるだけではなく、
体に納得させたい。
腹落ちさせたい。
そして、そこから少し遊んでもらう。
型を崩してみる。
戻してみる。
比べてみる。
そうやって、
少しずつ自分のものにしていく。
それが、お稽古だと思っています。
行動は、必ず最後
そして、判断がゆがんでいることに気づいたとき、
戻ってきてほしい場所があります。
行動は最後。
です。
感じる。
止まる。
間をとる。
疑う。
確認する。
そのあとに、
行動する。
行動が先に来ると、
相手の意図したとおりに動いてしまうことがあります。
クリックする。
送金する。
パスワードを渡す。
秘密情報を送る。
指示されたとおりに動く。
そして、ここで私がワークショップで繰り返し言っていることがあります。
攻撃者が書いた台本で、
攻撃者が作った舞台の上で、
攻撃者が用意した役を演じない。
攻撃者は、舞台を作ります。
「急いでください」
「あなたしかできません」
「秘密にしてください」
「上司からの指示です」
「家族が困っています」
そして私たちに、役を渡します。
急いでいる社員。
責任感の強い部下。
困っている家族を助ける親。
断れない担当者。
その役に入り込むと、
相手のシナリオの中で動き始めます。
だから、
気づく。
「あれ、私は今、誰かが作った舞台の上にいないか」
と。
そして、
静かに舞台から降りる。
私は、この感覚がとても大切だと思っています。
網にかかって、
相手が用意した水槽の中を、
相手の思うように泳がされる必要はありません。
一度、外に出る。
少し離れて見る。
自分はいま何を感じているのか。
何を前提にしているのか。
誰のシナリオの中にいるのか。
そこに気づく。
そして、型に戻る。
サイバー判断力のお稽古で大切なのは、
バイアスの名前をたくさん覚えることではありません。
自分の判断がゆがんでいるかもしれない、と気づけること。
そして、
気づいたら、戻れること。
私は、そこを鍛えたいと思っています。
明日は、この型の中でも特に大切な、
「止まる。そして、間をとる」
について書いてみたいと思います。
#HumanCenteredCybersecurity #サイバー判断力 #CyberJudgment #HumanFactors #Cybersecurity #SecurityCulture #DecisionMaking #CognitiveBias #CyberMindfulness #AI