人間中心のサイバーリスク管理を考える 人をスコアせず、組織の判断力をどう育てるか⑨
人間中心なのに、人を評価しないとはどういうことか
前回は、研修で育てたい「サイバー判断力」について書きました。
違和感に気づく。
一度立ち止まる。
分からないことを認識する。
必要な情報を探す。
別の経路で確認する。
誰かに相談する。
判断理由を説明する。
新しい情報で判断を更新する。
そして、後から振り返る。
ワークショップでは、こうした判断の過程を観察します。
けれど、ここで私は立ち止まります。
人間中心と言いながら、人の判断を観察し、測ろうとする。
それは、結局、人を評価することにならないのでしょうか。
「この人は安全」
「この人は危険」
「この人は判断力が高い」
「この人は信用できない」
そんな格付けにつながってしまわないでしょうか。
私は、この危険を軽く考えたくありません。
人間中心は、「人間を管理する」という意味ではない
「人間中心のサイバーリスク管理」と聞くと、人間そのものを詳しく調べ、管理することだと受け取られるかもしれません。
誰が間違えやすいのか。
誰が不審なメールを開いたのか。
誰の報告が遅かったのか。
誰がセキュリティ上の弱点なのか。
そのような情報を集めれば、効率よくリスクを管理できるように見えるかもしれません。
けれど、私が考える人間中心は、その反対に近いものです。
人は、常に合理的に動けるわけではありません。
疲れます。
迷います。
急がされれば、確認を省略することがあります。
必要な情報がなければ、適切に判断できません。
相談したことで責められれば、次から相談しなくなるかもしれません。
人間中心とは、こうした人間の現実を前提に、仕事、権限、手順、技術、相談経路を設計することです。
人を監視し、間違えないように管理することではありません。
人が間違える可能性を認めたうえで、一つの間違いが重大な被害へ直結しない仕組みをつくることです。
「経理担当者は高リスク」なのか
例えば、経理担当者がいるとします。
その人は、取引先の銀行口座を変更できます。
さらに、変更した口座への送金も、一人で承認できます。
通常とは違う依頼が届いたとき、別の経路で確認する手順はありません。
相談先も明確ではありません。
月末で業務が集中し、早く処理することが高く評価されています。
この状況を見て、
この経理担当者は高リスクである。
と表現するのは適切でしょうか。
私は、そうは思いません。
見るべきなのは、その人の性格や危険度ではなく、
一人で取引先口座を変更し、送金まで承認できる。
別経路での確認がなく、相談先も不明確で、速さを強く求められている。
という業務の設計です。
問題は、その人が不注意かどうかではありません。
一つの判断が、大きな送金へ直接つながる構造になっていることです。
人を入れ替えても、仕組みが同じなら、同じリスクが残ります。
同じ人でも、リスクは変わる
人を固定的に「高リスク」「低リスク」と分類できない理由は、もう一つあります。
同じ人でも、役割や状況が変われば、リスクは変わるからです。
閲覧できる情報が変わる。
操作できるシステムが変わる。
承認できる金額が変わる。
判断に使える時間が変わる。
相談できる相手が変わる。
技術的な支援が変わる。
普段は慎重に判断できる人でも、緊急時に大量の問い合わせと複数の判断が集中すれば、見落としが起きるかもしれません。
経験の浅い人でも、分かりやすい手順、適切な権限、相談しやすい環境があれば、被害を防げるかもしれません。
リスクは、人の内側に固定されているものではありません。
人と、仕事と、環境との関係の中で変わります。
見るのは、人ではなく組み合わせ
人間中心のサイバーリスク管理で見るのは、次の組み合わせです。
役割・職務
× アクセスできるデータ
× 操作できるシステム
× 承認・変更・送金などの権限
× 判断する状況
× 組織の支援と統制
× 起こり得る影響
例えば、同じ「メールを開いた」という行動でも、意味は一つではありません。
その人は、どのような役割だったのか。
どのような情報を与えられていたのか。
添付ファイルを開くことが、通常業務の一部だったのか。
警告は分かりやすかったのか。
時間的な圧力があったのか。
相談できる相手がいたのか。
開いた後に、すぐ報告できたのか。
技術的な防御は機能したのか。
その行動から、どこまで影響が広がる構造だったのか。
行動だけを切り取り、その人の性格や注意力を推測してはいけません。
見るべきなのは、その判断が行われた状況と、組織側の条件です。
行動を観察することと、人を評価することは違う
ワークショップでは、参加者の行動を観察します。
しかし、その目的は、人に点数をつけることではありません。
例えば、
-
不足している情報を認識できたか
-
別経路で確認しようとしたか
-
相談先を見つけられたか
-
判断理由を説明できたか
-
新しい情報で判断を更新したか
を見ることはできます。
けれど、そこから、
-
注意力がない人
-
信頼できない人
-
将来事故を起こす人
-
セキュリティ意識が低い人
という人物像を作ってはいけません。
観察できたのは、特定のシナリオ、役割、情報、時間制限の中での行動です。
その限られた観察から、その人全体を説明することはできません。
私たちが言えるのは、
このシナリオでは、必要な確認経路が使われなかった。
ということです。
そこから、
この人は確認しない人である。
と広げてはいけません。
名前を消せば、安全とは限らない
個人名を書かなければ問題はない、というわけでもありません。
小さなチームで、
「経理部で、昨日の演習で送金を選んだ人」
と書けば、名前がなくても誰のことか分かるかもしれません。
役職、所属、経験年数、発言内容などを組み合わせると、本人が推測できることもあります。
匿名化とは、名前を削除することだけではありません。
誰が結果を見るのか。
どこまで細かく分けて示すのか。
ほかの情報と組み合わせられないか。
どのくらいの期間保存するのか。
何のために使うのか。
そこまで考える必要があります。
特に、研修のために集めた情報を、後から別の目的へ使うことには慎重であるべきです。
本人には学習のためだと説明しながら、実際には人事評価や懲戒へ使われる。
そのようなことが起きれば、次から参加者は本当の迷いや失敗を見せなくなります。
ワークショップは学びの場ではなく、「正しく見せる場」になってしまいます。
AIで「危険な人」を見つけてよいのか
AIを使えば、大量の情報を分析できます。
研修結果。
メールへの反応。
報告の回数。
ログインの時間。
システム上の操作。
文章の書き方。
これらを組み合わせれば、「事故を起こしそうな人」を予測できるように感じるかもしれません。
けれど、そこには大きな危険があります。
AIが見ているのは、人そのものではありません。
過去に収集された限られたデータと、設計者が選んだ指標です。
なぜその行動を取ったのか。
どのような情報が与えられていたのか。
業務がどれだけ集中していたのか。
組織の仕組みに何が欠けていたのか。
そうした背景が十分に含まれていない可能性があります。
それでも「高リスク人物」という結果だけが残れば、その人の配置、昇進、信頼に影響するかもしれません。
一度付いたラベルが、長く残ることもあります。
だから私は、AIを使って人の危険度や将来の行動を決めようとすることには、非常に慎重でありたいと思います。
測定の前に、境界を決める
何を測るかを決める前に、何のために測るのかを決めます。
研修を改善するためなのか。
相談経路の問題を見つけるためなのか。
役割や権限の集中を見直すためなのか。
組織としての対応力を確認するためなのか。
目的が曖昧なまま情報を集めると、後からさまざまな用途に使われる可能性があります。
そこで、最初に境界を決めておく必要があります。
個人別の危険度ランキングを作らない
人を上から下まで並べても、組織の仕組みは改善されません。
数字は分かりやすく見えますが、その人が置かれた状況や、組織側の問題を隠すことがあります。
研修結果を、人事評価や懲戒へ安易に転用しない
学習のための場と、雇用上の判断を行う場を混ぜないことが重要です。
参加者が失敗を見せられなければ、ワークショップから本当の問題を学べなくなります。
必要以上の情報を集めない
集められる情報を、すべて集める必要はありません。
目的に必要な範囲を考え、それを超える情報は持たないという判断も必要です。
本人に知らせず監視しない
何を見ているのか。
なぜ見るのか。
誰が結果を使うのか。
どのくらい保存するのか。
可能な限り、参加者が理解できる形で説明する必要があります。
AIだけで、人に不利益な判断をしない
AIの出力を、客観的な事実や人物の本質のように扱わない。
人が背景を確認し、本人が説明でき、判断に異議を示せる仕組みが必要です。
研修データと実際の監視データを安易に結びつけない
ワークショップでの発言、迷い、失敗は、学習のために示されたものです。
それを日常業務のログと結合し、人物像を作ることは、当初の目的を大きく変える可能性があります。
保存期間を決める
一度の判断や失敗を、必要以上に長く残さない。
現在の役割や環境が変わっているのに、過去の記録だけがその人について回る状態を作らないことが大切です。
「測らない」と決めることも、リスク管理
データがあれば、測りたくなります。
測れば、管理できるような気がします。
けれど、測ること自体が新しいリスクを生むことがあります。
参加者が萎縮する。
小さな異変を報告しなくなる。
失敗を隠す。
相談を避ける。
特定の人にラベルが付く。
組織の問題が、個人の問題へ置き換えられる。
本来の目的を超えて情報が使われる。
セキュリティを高めるための測定が、組織の信頼を損なうこともあります。
だから、何を測るかと同じくらい、何を測らないかが重要です。
測れるものを、すべて測る必要はありません。
人の尊厳と組織の学びが衝突するなら、測定方法を変える、範囲を小さくする、あるいは測らないという選択肢を持つ必要があります。
法務やプライバシーと、一緒に考える
ここで書いていることは、個別の組織や国における法的な判断を示すものではありません。
実際に研修データや従業員に関する情報を収集、利用する場合には、法務、プライバシー、労務、人事、情報セキュリティ、必要に応じて従業員の代表などと検討する必要があります。
「セキュリティのため」という理由だけで、あらゆる測定や監視が正当化されるわけではありません。
セキュリティは、人の権利や尊厳を守るためにもあるはずです。
守るための活動が、守ろうとしている人を傷つけていないか。
その問いを忘れないことが大切だと思います。
人間中心だからこそ、人をスコアしない
人間中心のサイバーリスク管理は、人を管理する方法ではありません。
人の判断が行われる環境を理解し、よりよい判断ができる条件を整えることです。
評価するのは、人の人格や危険度ではありません。
見るのは、
役割
× アクセスできるデータ
× 操作できるシステム
× 承認・変更・送金などの権限
× 判断する状況
× 組織の支援
× 起こり得る影響
です。
そして、観察や測定には境界を設けます。
人をスコアしない。
人の将来を決めつけない。
人事評価や懲戒と安易に結びつけない。
必要以上の情報を集めない。
目的を超えて使わない。
測らないものを先に決める。
人をスコアしない。
役割、権限、アクセス、状況、仕組みの組み合わせを見る。
では、人をスコアせず、研修の効果をどのように確かめればよいのでしょうか。
何も測らなければ、研修が役に立ったのか分かりません。
測りすぎれば、人の尊厳や組織の信頼を傷つけるかもしれません。
次回は、この間に立ち、理解、判断過程、組織の仕組み、リスクへの寄与という四つの層から、研修効果と投資価値を考えます。
#サイバーセキュリティ #サイバーリスク #人間中心 #セキュリティ教育 #効果測定 #プライバシー #組織文化 #ヒューマンファクター #AI倫理 #リスクマネジメント