中小企業のセキュリティ対策が進まない理由の一つに、「対策そのものが“人間の行動”を前提に設計されていない」という構造的な問題がある。セキュリティ製品や運用ルールは技術者視点で作られており、そこには「人は間違える」「怠ける」「忘れる」という、誰もが持つ人間らしさが織り込まれていない。本稿では、セキュリティ思想の出発点となった“軍事利用”という歴史的背景から、なぜ今もなお人的ミスが最大のセキュリティリスクであり続けているのかを読み解いていく。「なぜできないのか？」の問いの裏にある、人間中心の視点の欠落に迫る。
セキュリティの始まりは軍隊だった
セキュリティ対策の起源をたどると、実はそのスタート地点は軍事利用にある。つまり、最初から「人間は必ずルールを守るもの」とする環境で設計されていた。
軍で導入された初期コンピュータの姿
初期のコンピュータは、戦争に勝つための計算機だった。1940年代、アメリカで開発されたENIACは、砲弾の軌道計算や爆撃シミュレーションに使われていた。ミスの許されない世界であり、ミスを減らす手段としてコンピュータが導入された。ここにあるのは「人間の計算ミスをなくす」ことへの強い要請である。つまり、技術導入の動機は“人間を信頼していない”というより、“人間が間違える前提”で“間違えさせないため”の仕組みとして始まった。だが、その対策は「人を補完する」ものではなく、「人を排除する」方向に寄っていた。
軍人という“ルールを守る人種”が前提だった
コンピュータの運用を任されていたのは、訓練された軍人だった。軍人とは、命令に従い、ルールを逸脱しないことが前提の存在である。「まっ、いいか」「ちょっとだけ」などという曖昧な行動が存在しない環境で、セキュリティ運用も成り立っていた。つまり、そもそもの設計思想に「人間の不注意」や「怠慢」が組み込まれていなかったのである。これは、後のセキュリティ設計において“人は必ずルールを守る”ことが当然とされる背景を形作った。
1台のコンピュータを複数人が使い始めて起きた問題
技術が一般利用に広がる中で、初めて「人の違い」がセキュリティ上の問題として浮かび上がってきた。
「みんな同じ画面が見えてしまう」初期の混乱
コンピュータの商用利用が始まった当初は、複数人が1台のマシンを使い回していた。しかし、使う人によって業務内容や見て良い情報は異なる。それにもかかわらず、当時の設計には「ユーザーを区別する」という考えがなかった。これにより、ある人が処理したデータを別の人が誤って編集・削除するといった事故が発生する。こうして「アクセス制御」や「認証」という考えが登場したのだが、これはあくまで“技術的な境界”であり、利用者の行動特性に踏み込んだものではなかった。
技術は対策を進めたが、“人間の弱さ”は想定外のまま
セキュリティ対策は、主に技術的な進化に依存してきた。アクセス制御、パスワード認証、暗号化。しかしそれらの対策は「正しく使われること」を前提にしている。一方で、現実のユーザーは「うっかりパスワードを忘れる」「面倒だから再設定しない」「更新を後回しにする」という、ごく普通の人間である。つまり、セキュリティ設計に“人間らしさ”は反映されていなかったのだ。
人間をあてにしたセキュリティ対策はなぜ破綻するのか
現在のセキュリティ対策の多くは、利用者が「正しく使うこと」が前提で設計されている。しかしその前提こそが最大のリスクである。
「アップデートしろ」「パスワードを強化しろ」が前提の時代
IPAの「5か条」にもあるように、基本対策として「OSやソフトのアップデート」「パスワード強化」は常識である。しかし、実際には多くのユーザーがそれを実施していない。たとえばマイクロソフトがゼロデイ脆弱性で批判された事例でも、パッチ自体は配布済みだったのに適用されていなかった。これは「誰が悪いのか？」というより、「人間の行動特性に期待しすぎている設計」の限界を示している。
日常生活ではできている“セキュリティ行動”
実は、私たちは日常ではセキュリティ的行動を自然にとっている。家の鍵は閉めるし、他人の前で大声でパスワードを言ったりしない。財布を放置しない。しかし、パソコンの前ではその警戒心が消えてしまうのだ。なぜか？それは「見えないリスク」に対する実感がないからである。これは「ITセキュリティ＝実感なき危機」とも言える現象であり、教育ではなく“仕組み”で補うべき課題である。
安全装置は“人を安全にしない”というパラドックス
テクノロジーによる安全強化は時に“安心感”を生みすぎて、逆にリスクを高めるという皮肉な結果を招く。
ABSが事故を減らさなかった理由
自動車に搭載されたABS（アンチロックブレーキ）は、滑りやすい路面でも制動距離を短くする安全装置だ。だが実際には、「ABSがあるから」とスピードを出す人が増え、事故が減らなかった。これは「装置があるから大丈夫」という“過信”によって、安全な行動が軽視された典型例だ。セキュリティでも、UTMやEDRといった装置を導入した途端に“任せっきり”になる傾向がある。
人的セキュリティの限界
「意識を高めましょう」「気をつけましょう」といった啓発活動が根付かないのは、それが“人間の癖”を前提にしていないからだ。人間はミスをするし、忘れるし、面倒なことは後回しにする。その特性に対抗するには、「人がミスしても大丈夫な設計」にするしかない。つまり、教育よりも“仕組み”で支えることが、人的セキュリティの本質である。
まとめ──セキュリティの本質は「人間の癖」にある
セキュリティ対策とは、最新技術や難しいルールを導入することではない。人間の行動特性を理解し、それを前提に設計することが本質だ。コンピュータが軍事技術から生まれ、「ルールを守る人間」を前提にしてきたことが、今なお“人的ミス”という最大の脆弱性を生んでいる。
経営者がこの構造的背景を理解することで、社員に「しつけ」を求めるのではなく、「癖を補完する仕組み」を考える視点が得られる。中小企業にこそ必要なのは、意識改革ではなく“仕組み改革”なのだ。
最後までお付き合いいただきありがとうございます。
また、お会いしましょ。
