人間中心のサイバーリスク管理を考える 人をスコアせず、組織の判断力をどう育てるか⑧

サイバー判断力によるヒューマン・ハードニング

» 2026/10/13

研修で育てたい「サイバー判断力」とは何か

前回は、インシデント対応、DRP、BCP、危機管理の違いについて書きました。

同じ事故に向き合っていても、守る対象と、判断すること、時間の見方が違う。

そして、実際の事故では、それらが重なりながら動きます。

計画書や手順書は必要です。

けれど、現実は、計画書に書かれた順番どおりには進みません。

情報が足りない。
状況が変わる。
判断する人がいない。
複数の部門から、違う意見が出る。
止めることにも、続けることにもリスクがある。

そのような状況で、私たちは何を頼りに判断すればよいのでしょうか。

ここで必要になるのが、私が「サイバー判断力」と呼んでいるものです。

正解を知っていることが、判断力なのか

セキュリティ研修では、知識を確認するテストがよく使われます。

このメールはフィッシングですか。
パスワードを共有してよいですか。
不審な添付ファイルを開いてよいですか。
問題が起きたら、どこへ報告しますか。

こうした基本的な知識は必要です。

知らなければ、異変に気づくことも、適切な行動を選ぶことも難しくなります。

けれど、実際の仕事で出会う問題は、いつも選択肢が四つ並んだテストではありません。

本物の上司から、本当に緊急の依頼が届くことがあります。

いつもとは違う手順でも、顧客を助けるために急いで対応しなければならないことがあります。

システムを止めれば安全性は高まるけれど、止めることで人や事業に大きな影響が出ることもあります。

その場で確実な正解が分からないこともあります。

だから、サイバー判断力は、「いつでも正解できる力」ではありません。

不確実な状況の中で、何が分かり、何が分からないかを見極め、必要な情報と助けを得ながら、その時点でよりよい判断をしようとする力です。

一通の緊急メールから考えてみる

例えば、経理担当者のもとに、役員を名乗る人物からメールが届いたとします。

急いで支払いをしなければ、重要な契約が失われる。
今は会議中なので電話には出られない。
通常の手順を省略して、すぐに送金してほしい。

メールには、実在する取引先の名前が書かれています。

金額も、その会社ではあり得ないほど大きくはありません。

送信者の名前も、署名も正しい。

けれど、いつもとは少し違います。

このとき必要なのは、メールを見た瞬間に「偽物だ」と見抜く特別な才能なのでしょうか。

私は、そうではないと思います。

必要なのは、まず小さな違和感を無視しないことです。

なぜ、通常の手順を省略する必要があるのか。
なぜ、いつもの口座と違うのか。
なぜ、電話では確認できないのか。
自分は、何を根拠に本物だと思っているのか。
判断するために、何の情報が足りないのか。

すぐに正解を出すのではなく、いったん立ち止まる。

そこから判断が始まります。

サイバー判断力を、行動の流れとして見る

サイバー判断力は、一つの能力ではありません。

いくつかの判断と行動が、つながったものです。

1．違和感に気づく

いつもと違う。
何かが合わない。
急がされている。
必要以上に秘密にするよう求められている。

最初の小さな変化に気づくことです。

ただし、すべての違和感が攻撃を意味するわけではありません。

気づくことと、決めつけることは違います。

2．一度立ち止まる

すぐにクリックしない。
すぐに送金しない。
すぐにシステムを戻さない。
すぐに「問題ない」と結論を出さない。

止まることは、仕事を妨げることではありません。

取り返しのつかない行動をする前に、考えるための短い時間をつくることです。

3．分からないことを認識する

私たちは、分からないことがあると、不安になります。

そのため、限られた情報から早く結論を出したくなることがあります。

けれど、

「今の情報だけでは分からない」
「この点を確認しなければ決められない」

と言えることも、大切な判断力です。

知らないことを隠さず、判断に足りない情報を言葉にする力です。

4．必要な情報を探す

送信元のアドレスを確認する。
過去の取引記録を見る。
通常の手順と比べる。
ログやシステムの状態を確認する。
同じ現象がほかでも起きていないか調べる。

情報を増やせば、必ず正解できるわけではありません。

それでも、何を確認すれば判断を改善できるのかを考えます。

5．別の経路で確認する

届いたメールへそのまま返信するのではなく、以前から登録されている電話番号へ連絡する。

メッセージに書かれた連絡先ではなく、社内の公式な連絡先を使う。

一つの情報を、その情報自身だけで証明しようとしない。

これは、サイバーだけでなく、日常の判断でも使える大切な考え方です。

6．誰かに相談する

自分一人で答えを出そうとしない。

上司、同僚、IT、セキュリティ、法務、事業責任者など、その状況に必要な人へ相談する。

相談は、自分の責任を他人へ渡すことではありません。

自分にはない情報や視点を加え、判断をよりよくする行動です。

7．判断理由を説明する

何を知っていたのか。
何が分からなかったのか。
どのような選択肢を考えたのか。
なぜ、その判断を選んだのか。

後から理由を説明できるようにします。

説明できることは、責任追及のためだけに必要なのではありません。

ほかの人が状況を理解し、判断を引き継ぎ、後から学ぶために必要です。

8．新しい情報で判断を更新する

一度決めたことに固執しない。

安全だと思っていたが、新しい証拠が見つかった。
停止が必要だと思っていたが、安全な代替手段が確認できた。
影響は限定的だと思っていたが、ほかの地域にも広がっていた。

状況が変われば、判断も変えます。

判断を変えることは、最初の判断が無責任だったという意味ではありません。

新しい情報を受け入れ、現在の状況に合わせる力です。

9．後から振り返る

結果がよかったときも、悪かったときも振り返ります。

なぜ気づけたのか。
なぜ立ち止まれなかったのか。
何が判断を助けたのか。
どの情報が不足していたのか。
相談経路は機能したのか。
もう一度行うなら、何を変えるのか。

判断を、次の判断へつなげます。

サイバー判断力は、個人だけの力ではない

ここで大切なのは、これらを個人の能力だけにしないことです。

「立ち止まりなさい」と教えても、業務目標が速さだけを求めていれば、人は立ち止まりにくくなります。

「相談しなさい」と教えても、相談先が分からなければ相談できません。

報告したことで責められた経験があれば、次から報告をためらいます。

二重承認が決められていても、いつも形だけで承認されていれば、確認は機能しません。

システムを止める権限が誰にあるのか分からなければ、異変に気づいても行動できません。

つまり、サイバー判断力は、

• 本人が持つ知識や経験

• 与えられた情報

• 担っている役割

• 利用できる手順

• 相談できる相手

• 与えられた権限

• 技術的な支援

• 時間的な余裕

• 組織の文化

によって支えられます。

同じ人でも、環境が変われば、できる判断も変わります。

だから、「判断できなかった人」を探すだけでは、組織の判断力は育ちません。

ワークショップは、安全に迷う場所

研修というと、正しい答えを教え、その答えを覚えてもらうものだと思われがちです。

けれど、サイバー判断力を育てるワークショップでは、迷うことにも意味があります。

どの情報を信じればよいか分からない。
止めるべきか、続けるべきか迷う。
誰に相談すればよいか分からない。
部門によって優先したいことが違う。

実際の事故で初めてその迷いに出会えば、被害が出るかもしれません。

ワークショップなら、実害を出さずに経験できます。

判断し、結果を見て、戻り、もう一度考えることができます。

だから、ワークショップは「間違えない人を選ぶ試験」ではありません。

安全に迷い、相談し、自分たちの判断と組織の仕組みを見つける場所です。

ワークショップでは、何を観察するのか

見るべきなのは、最終回答だけではありません。

情報の捉え方

• どの情報に気づいたか

• 何を重要だと考えたか

• 何を見落としたか

• 何が不足していると認識したか

• 事実と推測を分けられたか

判断の過程

• どこで立ち止まったか

• どこで迷ったか

• どのような選択肢を考えたか

• 何を根拠に判断したか

• 新しい情報で判断を変えたか

部門間の連携

• 誰に相談したか

• 誰へ情報を伝えたか

• 異なる意見を言えたか

• 技術の情報を、事業や経営の言葉へ変えられたか

• 一人に情報と判断が集中しなかったか

時間的な圧力

• 急がされたとき、確認を省略しなかったか

• 速さを優先したことで、見落としたものはなかったか

• 慎重になりすぎて、必要な判断が遅れなかったか

• 判断に必要な時間を確保できたか

相談経路

• 誰に相談すればよいか分かっていたか

• 相談相手は応答できたか

• 担当者が不在の場合の代行者がいたか

• 現場から経営まで、必要な情報が届いたか

権限と責任

• 誰が何を決めるのか明確だったか

• 決定権と必要な情報が同じ場所にあったか

• 責任だけがあり、権限がない状態になっていなかったか

• 一人に大きな決定が集中していなかったか

組織の支援

• 手順は現実の業務に合っていたか

• 技術的な支援は利用できたか

• 代替手段は機能したか

• 相談や報告をためらわせる要因はなかったか

• 人が疲弊しない役割分担になっていたか

こうして見ると、ワークショップで観察しているのは、参加者だけではないことが分かります。

人の判断を通して、組織の仕組みを見ています。

振り返りは、「誰が間違えたか」を探す時間ではない

ワークショップの後には、振り返りを行います。

そのとき、

「なぜ間違えたのですか」
「正解はこれでした」

だけで終わらせてしまえば、参加者は次から間違いを隠すようになるかもしれません。

代わりに、次のように問いかけます。

その時点で、何が分かっていましたか。
何が分かっていませんでしたか。
最も迷ったのは、どこですか。
なぜ、その選択肢を選びましたか。
判断を助けた情報や人はありましたか。
何があれば、もっと判断しやすかったですか。
もう一度行うなら、何を変えますか。
個人ではなく、組織の側で変えられることはありますか。

結果を裁くのではなく、その時点まで戻って判断を理解する。

それによって、次の判断を少しよくすることができます。

判断力を、固定した点数にしない

ワークショップで観察できるのは、あるシナリオ、ある役割、ある情報、ある時間的条件の中での判断です。

その結果だけから、

「この人はサイバー判断力が高い」
「この人は低い」
「この人は危険だ」

と決めることはできません。

別の役割なら、判断は変わるかもしれません。

必要な情報が与えられていれば、違う行動を取ったかもしれません。

相談経路が機能していれば、一人で迷わずに済んだかもしれません。

観察した行動を、その人の人格や将来の行動へ広げないことが大切です。

見るのは、人の固定的な能力ではありません。

その状況で、どのような判断過程があり、それを組織がどう支えていたのかです。

サイバー判断力とは、迷わない力ではない

サイバー判断力がある人は、迷わない人ではありません。

むしろ、不確実な状況で、自分が迷っていることに気づける人かもしれません。

分からないことを認められる。
一度立ち止まれる。
必要な情報を探せる。
一人で抱えず、相談できる。
自分の判断理由を説明できる。
新しい情報があれば、考えを変えられる。
結果がよくても悪くても、後から振り返ることができる。

そして、その行動を支える組織がある。

それが、私が考えるサイバー判断力です。

サイバー判断力とは、正解を暗記する力ではない。
迷い、確認し、相談し、判断を更新できる力である。

では、人間中心と言いながら、人の判断を観察し、測ろうとすることに問題はないのでしょうか。

知らないうちに、個人の評価や監視へ近づいてしまう危険はないのでしょうか。

次回は、人間中心なのに「人を評価しない」とはどういうことか。そして、人の尊厳を守りながら、何を見るのか、何を見ないのかを考えたいと思います。

#サイバーセキュリティ #サイバー判断力 #セキュリティ教育 #ワークショップ #効果測定 #意思決定 #組織文化 #ヒューマンファクター #人間中心 #サイバーリスク