セキュリティの心理学(セキュリティ ノ シンリガク)

ファイアウォールを固め、暗号化を徹底しても、担当者が一通のフィッシングメールを開けば防御は破られます。『セキュリティの心理学』 (氏田博士・福澤寧子・福田健 著、海文堂出版、 2019 年 11 月刊) は、副題「組織・人間・技術のマネジメント」が示すとおり、セキュリティを技術的な対策の問題としてだけでなく、組織と人間を含めたマネジメントの課題として捉える書籍です。攻撃手法や防御ツールの解説書ではなく、事故を生む側としての「人」に焦点を置いた切り口が書名に表れています。

心理学と銘打つ理由、セキュリティの急所は人的要因

セキュリティ事故の相当部分は、技術の欠陥ではなく人の判断から生まれます。フィッシングへの応答、メールの誤送信、設定ミス、規程を知りながらの近道行動。いずれも 情報セキュリティ の三要素 (機密性・完全性・可用性) を、攻撃者が一行のコードも書かずに崩せる経路です。ソーシャルエンジニアリングが成立するのは、緊急性を装われると確認を省く、権威を名乗られると疑いにくいといった心理的傾向を人が共通して持つためで、この領域の対策は技術仕様ではなく人間の認知の理解から始まります。書名の「心理学」は、この急所を正面から扱う姿勢の宣言と読めます。

技術対策の限界と、組織マネジメントから見る視点

技術側の対策は、暗黙の信頼を排除する ゼロトラスト のように「人を信用しない」方向へ発展してきました。それでも業務の最終判断は人が下すため、教育をしても同じ事故が繰り返される、罰則を強めると報告が遅れて被害が拡大する、といった組織側の力学が残ります。 ISMS (ISO/IEC 27001) が技術的管理策と並べて人的管理策や教育・訓練を要求するのも、この構造が理由です。事故対応を個人の責めに帰さず インシデント管理 と再発防止の仕組みに落とし込む発想は、本書の副題にある組織・人間・技術という三つの層を一体で設計する考え方と重なります。

規程と教育で行き詰まった管理者に向く一冊

規程を整備しても違反がなくならない、教育をしても効果が続かない。そうした行き詰まりを感じているセキュリティ管理者や教育担当者、組織の情報管理を任された人が、対策の設計を「人はそもそもどう振る舞うか」から考え直す入口として手に取る価値があります。逆に、攻撃手法の技術的な仕組みや防御ツールの実装手順を学びたい人の期待には合いません。 2019 年刊のため事例の時代背景はその時点のものですが、人間と組織の性質を扱う主題は技術書より陳腐化が遅く、マネジメント側の視点を補強したい読者には投資しやすい一冊です。