もっと身近にセキュリティ

Zero-Trustな小学生

▼声かけ事案発生
先日、日曜日に買い物に出かけて住宅街を歩いていたところ、私が小学生ぐらいの子どもから「こんにちは」と声をかけられる事案が発生しました。それに応えて「こんにちは」と返したわけですが、私は「子どものリスク対策が進んできたな」と感じていました。子どもたちは、親や教師から、知らない人を見たら声をかけるように教えられているのでしょう。「不審者」は声をかけられることで「見られている」という意識を持ち、犯罪行為を起こしづらくなるというわけですね。

日本の地方都市を一人で歩いていますと、小学生からよく「こんにちは」と言われると思っていました。おそらく、自動車移動が一般的な場所で大人が一人で歩いているのは異常に見えるのでしょう。
ただ、歩行者の多い都内で声かけは珍しい気がしていたので、リスク対策が進んできたと感じたわけです。私が住んでいる場所が地方都市と似た環境なのかもしれません。
私の外見や様子が不審なのではないと信じたいところです。

▼PCのスクリーンロックと祖母

ところで、弊社では、一時的に席を離れる時にPCのスクリーンをロックする(スクリーンセーバーを起動してOS操作再開にパスワ

ード入力を必須とする)ルールを定めています。時々ロックを忘れて離席している人を見つけると注意をするのですが、その時にいつも思い出すのは祖母のことです。

祖父母の家に行くと、いつも玄関の鍵が開いていました。母親が祖母に何度もしつこく注意したところ施錠するようになったのですが、それでも開けたままになっていることも度々ありました。以前、この「もっと身近にセキュリティ」でセキュリティと防犯は重なるという内容を書きましたが、PCのスクリーンをロックしていない人は、私の中で祖母と重なります。
なぜ、昔の人は家の鍵をかけなかったのでしょうか?なぜ、スクリーンロックしないのでしょうか?
この2つの疑問には共通するものがあるようです。便宜的に、「昔」=「田舎」=「農村」として推論してみます。

▼村社会の安心感
田舎は長閑で都会とは違う・・・昔の人は人を信じるきれいな心を持っていた・・・そのような説明は心理的に馴染みやすいかもしれません。しかし、一方で都会に住んでいる人間がみな犯罪者予備軍なわけではないでしょう。また、スクリーンロックしない人は、怠惰で「セキュリティ意識」が低く、反対に、スクリーンロックを徹底している人は「セキュリティ意識」が高いから徹底している・・・このような安易な捉え方は本質を見逃しています。表面で起きている現象を見て、それが単純に人の心に起因すると考えるのは早計です。

田舎で家の鍵をかけない傾向について、農村という閉鎖的な社会においては、何かあったときに制裁を加えるメカニズムがしっかりと社会の中に作られているからである、という論考を読んだことがあります。いわゆる村八分の仕組みです。その仕組みがあったため、祖母は安心していたのでしょう。「このあたりの人が勝手に家に入って物を盗むようなことをするはずがない」と。祖母が育った環境では、「村人」の目が行き届いていたのだと思います。そのような社会では、裏切りや犯罪を起こさないのは、そうする方が得だからであり、逆に、犯行を起こさないのは、そうすると損だからと考えられます。つまり、人の心の違いではなく、社会の仕組みの違いが人の行動を左右するわけです。私が祖母を知っている頃には、実際は既に都市化が進んでいて、そのような仕組みが機能することは期待できなくなっていたのでしょうが、幸いなことに祖父母宅が窃盗被害にあうことはありませんでした。

▼心ではなく損得の問題
「人を見たら泥棒と思え」・・・この言葉は、「見知らぬ人は泥棒かもしれなから注意せよ」という意味で使われることが多いようです。普段よく接している人のことを泥棒と思う人は少ないでしょう。あらゆる人が泥棒かもしれないと疑ったら不安で仕方ないと思います。人は考えると不安になります。逆に、考えないことで安心することができます。嫌なことを考えずにいられるのは、もしかしたらよいことかもしれません。

人は安心したい生き物です。考えずに安心していられる仕組みがかつてはありました。その仕組みは地域社会からはなくなりましたが、現在多くの会社に存在しているようです。スクリーンロックしない人は、同じ「村」の人しかいないからロックする必要がないと安心している可能性があります。スクリーンロックする程度の手間であっても、安心しているとその手間をかけることすら煩わしくなるのでしょう。煩わしいことは損です。もしかしたら何も考えず公共の場でもロックしていない可能性もあり、それはそれで危険ですが。
つまり、人は損得を考えて行動しています。したがって、例えば会社のルール違反を防ぐには、そうすることが損であり、会社のルールを守ることが得であると社員に認識させることが重要です。スクリーンロックについて言えば、人の心や意識にフォーカスするだけでは徹底されないということです。スクリーンロックすることが得であると思わせるのは、実はなかなか難しいかもしれません。なお、この考え方は、人が損得勘定ができる程度に理性的であることを前提としていて、その前提が崩れる場合があるため常に有用なわけではない点に注意が必要です。

▼「Zero-Trust モデル」
近年、政府の情報セキュリティ政策会議が「事故前提社会」という表現を使っています。これは「事故発生を想定」または「事故対応を前提」であって、「事故発生を前提」としているのではないと解釈するべきです。

「事故発生を想定する」というのは、例えば、「たいていの人は信頼できると思うが、それでも用心する」であったり、「社員が悪意を持っていないと前提した上で、悪意を想定する」ということです。
セキュリティの考え方では、さらに「Zero-Trustモデル」というものがあります。Forrester Research 社の John Kindervag 氏が提唱したもので、従来の「信頼を前提として検証をするモデル(Trust but Verify)」は破綻しているとして、信頼の前提を取り払い、ユーザ、パケット、インターフェース、ネットワークなどに対して常に疑いをもって接するべきであるという考え方です。PCユーザーの立場に転用すると、「着信したメールはすべて攻撃メールと思え」という考え方ですね。
セキュリティにおいては、一部の隙を突かれると取り返しの付かない事態になりかねません。コンピュータウイルスに感染した場合、会社の存続危機に繋がりかねず、事故が起きてしまった後で感染の原因となった人を排除すれば済む問題ではありません。あらゆる局面で一度の事故が致命的になり得るとすれば、「Zero-Trust モデル」という考え方も、考え過ぎとはいえないでしょう。

冒頭の小学生は、もしかしたら「事件想定」以上にリスクに敏感な「Zero-Trust」な小学生だったのかもしれません。