「人がミスするから事故が起きる」はもう古い？ NISTが仕掛けるセキュリティ新構想：意識改革だけじゃ無理

「従業員がクリックした」「パスワードを使い回した」――サイバー攻撃では人間のミスが原因として語られがちだ。だが、人間に常に正しい判断を求めるセキュリティ設計そのものに問題はないのか。NISTが打ち出した「人間中心のサイバーセキュリティ」が、これまでの常識を問い直している。

[＠IT]

　「従業員が悪意あるリンクをクリックした」「パスワードを使い回した」「設定を間違えた」――サイバー攻撃が発生すると、人間の行動が原因として挙げられることは多い。

　では、人間が常に正しい判断を下すことを前提にセキュリティを設計すること自体は、果たして正しいのだろうか。

　米国国立標準技術研究所（以下、NIST）は2026年8月17日（現地時間）、「人間中心のサイバーセキュリティ」（HCC）に関する概念書を公開し、今後策定する実践的な指針や資料について意見募集を始めた。概念書自体は同年8月12日付で、意見募集の締め切りは同年9月30日。NISTは概念書を確認した上で、電子メールで意見を寄せるよう求めている。

　今回、NISTが問題視するのは、職場のセキュリティ対策が利用者やセキュリティ担当者の実情に合っていない場面だ。

　例えば、複雑すぎて書き留めたくなるパスワード要件、学習よりもわなのように感じられるフィッシング訓練、業務を中断させる分かりにくい警告画面などが利用者の負担となっている。

　セキュリティ担当者も例外ではない。連携していない複数のダッシュボードや、「全て緊急」と表示される大量の警告に追われ、深夜に疲れた状態で、自らの業務手順を考慮していないツールを使いながら判断を迫られるケースもあるという。

　ソフトウェアやハードウェア、訓練に長年投資してきたにもかかわらず、サイバー侵害は続いている。NISTは、サイバー侵害の多くが技術そのものの問題だけでなく、悪意あるリンクのクリック、パスワードの使い回しや推測されやすい設定、設定項目の誤り、仕事を終えるための安全性が低い回避策など、「人的要素」と結び付いていると指摘する。

　しかしここで人間を「弱点」として扱い、さらに教育やルールによって正しい行動を求め続けるだけでは、根本的な問題は解決しない。そこで登場するのがHCCである。

HCCって何？　「従業員の意識を変える」だけではセキュリティは改善しない

　NISTが示すHCCは、セキュリティに影響を与える人と、セキュリティの影響を受ける人のニーズ、能力、限界を、設計、導入、意思決定の中心に置き、セキュリティの成果を改善する考え方だ。

　重要なのは、人間を「封じ込めるべき弱点」としてだけ捉えないことだ。NISTは人間を防御者、報告者、問題解決者として力を発揮できる存在と位置付けている。

　つまり、目指しているのは「人間がミスをしないようにする」ことだけではない。人間が持つ能力を生かしながら、ミスが起きたとしても被害につながりにくい環境や仕組みを設計することだ。

　NISTは、単なる意識向上訓練だけでは、従業員が知識を記憶し、概念を理解し、常に正しい判断を下すという非現実的な前提を置くことになると指摘する。

　もちろん、意識向上訓練そのものに意味がないわけではない。しかし、それだけに頼ってしまえば、使いにくく業務を妨げるセキュリティ手順や、十分な情報に基づかない組織のセキュリティ文化といった根本原因は残ったままだ。

　人を考慮しないセキュリティ対策は、従業員の不満やミスだけでなく、セキュリティ担当者の燃え尽きにもつながる。さらに、生産性の低下や金銭的損失、評判の悪化を通じて事業そのものにも影響を及ぼす。

　NISTは、こうした人的要素を現代のセキュリティ施策の中心課題とする見方が、産業界、研究機関、政府関係者の間でも広がっていると説明する。

HCCは理想論か？　実践に落とし込むためには

　それでも、既存の権威あるサイバーセキュリティ関連の出版物や枠組みでは、従業員教育以外のHCCに関する配慮が十分に盛り込まれていない場合がある。

　そこでNISTは、既存のサイバーセキュリティ関連文書を補う実用的な指針や資料の開発を構想する。今回の概念書では、過去数年間に確認してきたHCCの主要テーマを整理し、今後の指針や資料をどのような形式で提供するかについて候補を示した。

　この取り組みはNIST内部だけで進められたものではない。NISTは調査やインタビュー、ワークショップ、各種の対話を通じて、数百人の実務家や研究者から得た意見を基礎として今回の構想をまとめたとしている。

　今後策定する指針や資料は、組織の種類や規模を問わず利用できる内容を目指す。NISTは、従来の取り組みと同様に公開性と透明性を重視し、コミュニティーの参加を得ながらHCCの施策を形作る方針だ。

　今回の意見募集も、完成した指針に意見を求めるだけではない。NISTは、新たな指針を初期段階から設計する機会として位置付けている。

　セキュリティ対策を破る「人」をどう教育するかではなく、そもそも人が無理な判断を迫られないようにどう設計するか。NISTが打ち出したHCCは、セキュリティ担当者や利用者だけでなく、セキュリティ製品や業務システムを設計する側にも、従来の前提を問い直すよう迫っている。