「人間は間違える」ことを科学する

富士通総研経済研究所研究顧問（情報セキュリティ大学院大学副学長・教授）
林 紘一郎

2007年10月

情報セキュリティと人間学

私が所属する大学院大学（学部を持たない大学院）は、情報セキュリティを総合的・学際的に研究し、その成果を実践教育に生かすことを目的に設立された、テーマに特化した大学院である。「情報セキュリティの総合科学」を標榜し、理系・文系を問わず幅広い教師陣を揃えている点においては、世界で最初といっても過言ではない（アメリカや韓国にある同種の大学院は、ほとんど理系だけである）。

新しい試みだけに、カリキュラムや講師の選任などを練りに練ったつもりであったが、2004年の開校以来4年目に入ったところで、見直しの必要性を痛感している。事件や事故の原因が技術的に解明されたとしても、何らかの形で人間が介在する以上、ヒューマン・ファクターの考察なくして「情報セキュリティ学」を唱えても、空虚なものにならざるを得ない。いくら幅広いスタッフとコースを揃えても、やはり「既存の学問体系を応用するだけでは問題が解けない」ことも分かった。

人間を考察する学問は、事物を観察する学問に比べれば科学としての展開が遅く、また観察者と被観察者がともに人間であることから、常に客観性についての検証を必要とする。実験に適さないケースもあり、再現性に乏しい場合もあり、ある情報を与えるとそれが事後の行動に影響を与えることもある。しかし、情報セキュリティが単なる技術問題ではなく社会問題でもあることが明白である以上、人間行動を理解しないと、現象の一部しか理解していないことになってしまう。

人間行動を理解する上で基本となるのは、「人間は間違える」ものであり、「間違えることは避けられない」という認識であろう。ここで「間違える」には、手順が決まっているのに、うっかりして違った手順を踏んでしまう、というものだけではない。ある価値判断が正しいと信じることが妥当性を持っているかどうか、更に自分がある結論に達しても、周りがそのように行動しないときには、自らが信じるところに従うことができるか、といった心理的・倫理的な問題をも含んでいる。

しかも、人間は弱いものである。細心の注意を払わねばならない立場の人でさえ、時として「うっかりミス」を犯す。この点で「To err is human.」という報告書は示唆に富んでいる。これは、アメリカにおいて医療事故の解明に取り組んだ、特別委員会の報告書であり、このタイトルは「人間は間違える動物である」という認識が、あらゆる事故対策の基本であるという強い注意喚起である。

しかし、「間違う」のは単純ミスだけではない。より根源的な「価値判断」を誤ったときの影響は更に大きい。特に、個人の判断と組織の利害が対立したとき、どのような調和を見出しうるかは、はなはだ心もとない。とりわけ「カイシャ」という存在が大きかった、わが国の企業社会にあっては、個人がカイシャの中に埋没して、独自の判断を回避してきた（回避せざるを得なかった）感がある。「性善説」でも「性悪説」でもない、「性弱説」を唱える向きがあるのは、このような「弱い社員像」と結びついている。

「間違える」を最小にする方法

ところで先人は、「うっかりミス」を最小にする方法を開発し伝えてきた。例えば私が入社早々に覚えたことの一つに、「読み合わせ」という習慣があった。ある文章を起案したとき、起案者がそれに関与していない社員に頼んで、その文書を声に出して読んでもらい、誤りを正す方法である。Plan-Do-Check-Actなどと偉そうなことを言わなくても、Check-Actの手順を組み込んでいた訳である。

ところが、最近の社員に「読み合わせ」と言っても、知らない人がほとんどである。ワープロで文書を作成し、カナ漢字変換を自動的にやっているし、英語のスペル・チェックもしているから、誤りはないと思っているのだろうか？「誤りやすい」人間相互でチェックしても、誤りは減らないと思っているのだろうか？それとも、単にその方法を知らないだけだろうか？

「相互チェック」は監査の基本であり、今日の話題では「内部統制」の第一歩でもある。これは「うっかりミス」を減らすだけだと考えがちだが、実は「うっかりミス」が起きやすいことは、そこにシステムではチェックできない、セキュリティ・ホールがあることと同じである。仮に計算が正確でも、一人ですべてを処理できれば非違行為も発生しやすいのに対して、相互チェックを基本にしていれば、その確率は大幅に低下する。

スポーツでも何でも、「基本に忠実に」ということが繰り返し言われる。組織においても、この基本動作が大切だと思われるが、どうやら若者にそのことを教える先輩が少なくなった。畑村洋太郎教授が開拓した「失敗学」を組織の欠陥に結びつけたのが、樋口晴彦氏の「まずい学」である。同氏によれば、昔の職場には「やかまし屋」といわれる人が必ずいたものだが、今や「絶滅危惧種」になっているという。

「うっかりミス」よりも大切なのは、企業不祥事のようなケースである。しかも、非違行為の存在は内部では知られていたのに、これが表面化することなく、長い年月が過ぎ去ることが多い。個人としては良識を持っている人も、組織に属すると企業の論理に屈してしまうからであろう。

しかし、独占禁止法違反の課徴金について導入された「リニエンシー制度」（違反行為について、最初に通報した企業は課徴金を免除されるなど）は、実効性が疑われていたにもかかわらず、意外に機能している。このことから見ても、「誤りを正すに躊躇すべからず」という鉄則は、確固たるカイシャ社会にも浸透しつつあるようだ。