AI時代のサイバー判断力のお稽古⑦ 行動は、必ず最後
クリックしないことがゴールではない
昨日、私がとても尊敬する元同僚であり、国連時代の師匠でもある方から、こんな言葉をいただきました。
「君の投稿を読んでいると、10年前、国連で一生懸命取り組んでいたセキュリティ啓発活動を思い出すよ」
そうか。
私が今取り組んでいる人間中心のサイバーセキュリティ。その思想のルーツは、あの頃にあるのかもしれない。
当時、私たちが繰り返し伝えていた言葉があります。
Stop. Think. Click.
止まって、考えて、クリックする。
シンプルですが、とても大切なメッセージです。
そして、今の私が考えているサイバー判断力のお稽古にも、この考え方は受け継がれています。
ただ、10年以上の実務経験を重ね、インシデント対応やユーザーへの聞き取り、ワークショップで人の判断を観察してきた今、私はもう一歩先を考えるようになりました。
クリックしないことが、ゴールではない。
今日は、このことについて書いてみたいと思います。
行動は、必ず最後
これまで、私が考えるサイバー判断力の「型」について書いてきました。
感じる。
止まる。
間をとる。
疑う。
確認する。
行動する。
判断は、一直線に進むものではありません。
行ったり来たりすることもある。
確認したあとに、もう一度疑うこともある。
間をとって、最初の違和感に戻ることもある。
でも、最後は必ず行動です。
私は、ここがとても大切だと思っています。
なぜなら、攻撃者が狙っているのは、この判断の型を崩すことだからです。
私は、その崩れ方を大きく3つに分けています。
省略。逆転。圧縮。
特に注意したいのが、逆転です。
本来なら、感じて、止まって、間をとり、疑い、確認してから行動する。
ところが、
「急いでいるから」
「上司からの指示だから」
「いつもの取引先だから」
と思った瞬間に、行動してしまう。
確認する前に送金する。
疑う前に認証情報を渡す。
違和感を感じているのに、指示されたとおりに動いてしまう。
行動が先に来てしまう。
これが逆転です。
そして、実際に行動してしまったあとで、
「あれ？」
と思う。
でも、そのときには、もう情報を渡してしまっているかもしれません。
だから私は、行動を必ず最後に置きたいと思っています。
攻撃者は、私たちに役を与える
以前の投稿でも書きましたが、私がワークショップで繰り返し伝えていることがあります。
攻撃者が書いた台本で、攻撃者が作った舞台の上で、攻撃者が用意した役を演じない。
攻撃者は、ただ偽のメールを送ってくるわけではありません。
私たちが置かれている状況や感情を利用して、行動へと誘導しようとします。
例えば、デジタル版のオレオレ詐欺。
突然、子どもの声にそっくりな音声で電話がかかってくる。
「事故にあった。今すぐお金が必要なんだ」
「お願いだから、誰にも言わないで」
親であれば、どう感じるでしょうか。
怖い。
助けたい。
何とかしなければ。
そう思うのは、ごく自然なことです。
でも、ここで攻撃者が用意した役割を考えてみます。
それは、
「困っている子どもを、今すぐ助けなければならない親」
です。
そして、台本には続きがあります。
「すぐに送金する」
「誰にも相談しない」
「指定された口座に振り込む」
その役を演じ始めると、私たちは攻撃者が描いたストーリーの中で動いてしまいます。
自分で判断しているつもりでも、実際には相手に用意された選択肢の中から選んでいるだけかもしれません。
そこで、
「あれ？」
と感じる。
止まる。
間をとる。
そして考える。
「本当に私の子どもなのか」
「なぜ、いつもの連絡方法ではないのか」
「本人に別の方法で確認できないか」
「家族に相談できないか」
そうやって、別の可能性を見る。
ここで大切なのは、
助けたいという気持ちを捨てることではありません。
その気持ちは、そのままでいい。
ただし、攻撃者が用意した方法で助ける必要はありません。
本人に別の方法で連絡する。
家族に相談する。
必要であれば警察に相談する。
自分で確認し、自分で次の行動を選ぶ。
つまり、
攻撃者の舞台から、静かに降りる。
そして、自分自身の判断に戻る。
私は、ここがサイバー判断力の大切なところだと思っています。
相手の水槽から出て、自分の水槽に戻る
私は、もう一つ、こんなイメージを持っています。これもまた国連時代のセキュリティキャンペーンから来ているのですが。
攻撃者が用意した水槽の中で、攻撃者が与えた魚になって泳いでいる。
水槽の中には、あらかじめ決められた世界があります。
見えるもの。
進む方向。
選べる行動。
そして、その水槽の外には、もっと広い世界があることを忘れてしまう。
例えば、上司を装った人物から、
「急ぎで、このファイルを外部に送ってほしい」
という連絡が来たとします。
その水槽の中では、
「上司の指示に従うか、従わないか」
という選択肢しか見えなくなるかもしれません。
でも、本当にそうでしょうか。
別の経路で本人に確認する。
同僚に相談する。
正規の手続きを確認する。
必要であれば、いったん保留する。
選択肢は、もっとあります。
それなのに、相手が用意した水槽の中にいると、その選択肢が見えなくなってしまう。
だから、そこから一度出る。
自分の水槽に戻る。
自分の考え。
自分の判断。
自分が持っている知識や経験。
そして、自分の意思。
それを取り戻して、もう一度デジタルの世界を泳ぎ始める。
私は、それが大切だと思っています。
クリックしないことが、ゴールではない
セキュリティ教育では、
「怪しいリンクをクリックしない」
「不審なメールは報告する」
「パスワードを変更する」
といった行動を教えることがあります。
もちろん、これらは大切です。
でも、私は、その行動を覚えることだけでは足りないと思っています。
例えば、怪しいメールが届いたとき。
クリックしない。
それは一つの行動です。
でも、クリックしないだけで終わってしまったら、どうでしょう。
本当に必要な業務連絡だったのかもしれません。
アカウントが不正利用されている兆候かもしれません。
同じメールが、他の人にも届いているかもしれません。
だから、状況に応じて、
別の経路で確認する。
相談する。
報告する。
保留する。
必要な手続きを進める。
あるいは、何もしないことを選ぶ。
行動には、いろいろな選択肢があります。
大切なのは、あらかじめ教わった行動を機械的に繰り返すことではありません。
自分が置かれている環境、状況、感情に気づく。
自分の判断のゆがみに気づく。
間をとる。
疑う。
確認する。
そして、自分で次の行動を選ぶ。
だから、私は行動を最後に置いています。
AI時代だからこそ、人間の判断力を鍛えたい
今、AIはさまざまなところで使われています。
私も毎日のように使っています。
そして、これからAIが私たちの仕事や生活の中で担う役割は、さらに広がっていくと思っています。
私はAIを否定しているわけではありません。
むしろ、AIによって新しい可能性が生まれることに、とても期待しています。
でも、一つ気になることがあります。
AIが答えを出してくれるからといって、人間が判断することまで手放してしまってよいのでしょうか。
AIが提案したから。
AIが正しいと言ったから。
AIが作った文章だから。
そうやって、考える前に行動するようになってしまったら。
それもまた、判断の型の逆転につながるのではないでしょうか。
AIが提示した答えにも、
「あれ？」
と感じることがあっていい。
止まっていい。
間をとっていい。
疑っていい。
確認していい。
そして、自分で判断する。
私は、AI時代だからこそ、この力を意識的に鍛える必要があると思っています。
私が育てたいのは、自分で判断できる人
10年前、国連で取り組んでいた、
Stop. Think. Click.
あの頃の私は、セキュリティ啓発活動を通して、まず人々に立ち止まってもらいたいと思っていました。
そして今、私は、その先を考えています。
止まったあとに、何を感じ、何を考え、どう判断するのか。
自分が攻撃者の舞台の上にいることに気づいたら、そこから降りられるか。
与えられた選択肢だけではなく、自分で別の可能性を見つけられるか。
そして、最後に、自分の意思で行動できるか。
私は、そこを育てたい。
攻撃者が用意した役を演じるのではなく、自分自身としてデジタルの世界をしなやかに生きる。
そのためのサイバー判断力です。
クリックしないことが、ゴールではありません。
自分で気づき、自分で考え、自分で判断し、自分で行動を選べること。
私は、その力を育てるためのお稽古を、これからも続けていきたいと思っています。
そして、いつかこのお稽古が、誰かの日常の中に自然に根づいていけばいいなと思っています。
#HumanCenteredCybersecurity #サイバー判断力 #CyberJudgment #HumanFactors #Cybersecurity #SecurityCulture #AI #CyberMindfulness #DecisionMaking