結局、一番のセキュリティリスクは人間

こんにちは！記事を開いていただきありがとうございます！

今日は、タイトルにもある通り、「サイバー攻撃を受ける場合、一番脆弱なのは人間だよね」って話をしたいと思います。

セキュリティの話になると、「ハッカーがものすごい技術で侵入してくる」というイメージを持たれることが多いのかもしれませんが、実際は結構地味です。

現実のセキュリティ事故の多くは、こんな感じです。

共通して言えるのは、どれもヒューマンエラーが引き金になっています。

結局のところ、どれだけ技術を積み重ねても、一番の脆弱性は人間なんです。

人を騙すことが手取り早い

仮に、私が攻撃者だったら、セキュリティ製品の弱点を突くよりも、人を騙した方が手取り早いと考えます。

なぜなら、セキュリティ製品に比べると、人間は行動が乱数なので。

例えば、平常時であればスルーできたフィッシングメールに、「重要」や「緊急」などの煽り文句があれば反応しちゃうことがある。

普段ならメールの内容を見直すはずなのに、疲れていたらそのまま送っちゃうことがある。

注意力や判断力、警戒心といったものは、日によって変わりますし、環境や状況によって大きくブレてしまいます。

さらには、注意力の高い人や、そうでない人もいるので、人としての個体差があります。

わかる通り、（セキュリティ製品と比べ）人間はすごく再現性がない存在なんです。

ミスが起きるとよく目にする

• 「気をつける」

• 「ダブルチェックする」

• 「セキュリティ教育を受講する」

と見るたびに、「効果ないんだろうな」と残念な気持ちになります。

もちろん、教育や注意喚起が無意味だとは思っていません。
でも、「人間が間違えないようにする」を前提にする対策には限界があります。

注意しろと言われても、集中力が切れる瞬間は誰にでもあるし、どれだけ訓練しても、ヒューマンエラーはゼロにはなりません。

なので、私は人を一切信用しません。人がミスをしても良いような仕組みをつくるべきだと考えます。

これは、保険に近い発想です。
ミスが起きることを前提にして、ミスしても被害が起きない構造を用意します。

簡単なところで言うとこんな感じです。

• メールアドレスで振り分け設定を使用し、正規のメールかどうかを視覚的に判断できるようにする。

• うっかり詐欺サイトにIDとパスワードを入力してしまっても、二要素認証を設定しておき、不正ログインできないようにする。

私は私の「気をつけるスキル」を一切信用していません。

こうした工夫があるだけで、うっかりが事故につながる可能性は大きく減ります。

ハウツー的な感じですが、どんな環境を用意すればミスをしても大丈夫か？と考えることが大事なんじゃないかなと思います。

まとめ！

セキュリティって、強固な壁を築くことのように思われがちですが、本当に大切なのは「ブレやすい人間の行動」を受け止めるためにどう設計するかってことだと思います。

人を責めるのではなく、人はミスをするものだと理解する。

人の弱さを受け入れることが、実は一番強いセキュリティなんじゃないかなと私は思っています。

▶︎ 他の記事もぜひ読んでみてください