現金より情報の方が盗みやすい？――ある実験が明らかにした「行動規範はセキュリティに役立つか」：「セキュリティ心理学」入門（2）（1/2 ページ）

人間にまつわるセキュリティを考える本連載。第2回のテーマは「行動規範はセキュリティに役立つのか？」です。企業における「社是・社訓」や、国家公務員に対する「倫理規程」などの行動規範が、情報セキュリティ上果たす役割について、ある実験を参考に考えます。

» 2016年02月09日 05時00分公開

[内田勝也，＠IT]

連載目次

「行動規範」の役割とは

　企業や専門家団体など、各種の組織において、「社是・社訓」や「倫理規定」などといった「行動規範」が定められていることがあります。また、専門資格などを受験したときに、合格条件の中に「倫理規約の順守」といった項目が入っていることもあります。このような規範は、どうして必要なのでしょうか？また、情報セキュリティの面から見たとき、こうした規範は一体どのような役割を果たしているのでしょう。今回は、こうした行動規範の持つ効果について考えます。

　まず、いきなり「行動規範」などと言われてもピンとこない方のために、一例として、情報セキュリティの専門家資格である「CISSP（Certified Information Systems Security Professional）」の認定試験などを実施している（ISC）²が定めている「倫理規約」の一部を紹介します。

（ISC）²倫理規約（抜粋）

　 倫理規約の序文

社会の安全性を高め、当事者の責務および相互の義務を果たすには、最高レベルの倫理行動規範に従う、
もしくは従う姿勢を示す必要がある。
よって、当倫理規約の規律を厳守することがCISSP認定の条件となる。

　 倫理規約の規律

社会、一般大衆の福利、およびインフラを保護する。
法律に違わず、公正かつ誠実に責任を持って行動する。
当事者に対して、十分かつ適切なサービスを提供する。
専門知識を高め、維持する。

　上記規律を達成するため、以下に指針を示す。

　（中略）

次のような行動の抑制に努める。
- 不必要な心配、不安、疑惑を煽る。
- 安易に安心感を与え、根拠のない保証をする。
- 悪い習慣を承諾する。
- パブリックネットワークに脆弱なシステムを接続する。
- 非専門家と繋がりを持つ。
- 未経験者を認める、または未経験者と連携する。
- 犯罪または犯罪的行為に関わる、あるいは関わっているように見える。

　（以下略）

（出典元：https://www.isc2.org/japan/files/codeofethics.pdf）

　（ISC）²では、上記の規約は必ず従うべきものではなく、「倫理的ジレンマに直面したときに、その状況を分析し、問題を解決するための糸口」として参考にしてほしいとしています。しかしながら、この規約に故意に違反すれば、「資格の取り消し」もあり得るとしています。さて、このような行動規範には、一体どのような意味があるのでしょうか？

　ここで、行動規範の効果を考える上で参考になる、ある実験を紹介しましょう。