実践 NEW
デザイン思考 情報セキュリティ｜なぜ社員はルールを守らないのか——「使われないセキュリティ対策」を防ぐ設計思考
多要素認証やパスワードポリシーが現場で付箋・私物端末・シャドーITに置き換わる現象を、デザイン思考の共感フェーズの欠落として読み解く。業務動線の同行観察とSecure by Defaultの考え方で、罰則ではなく設計によって『守られるセキュリティ対策』を作る手順を解説する。
9分で読める
モニターの縁に貼られた付箋には、複雑な要件を満たすはずのパスワードが几帳面な字で書かれている。誰もいなくなったフロアに空調の音だけが響く深夜、資料の提出期限が迫る中でVPN接続に手こずった社員は、結局、私物のクラウドストレージに社外秘の資料を上げてしまう。多要素認証、複雑なパスワードポリシー、厳格な承認フロー——情報システム部門が鳴り物入りで導入した対策のすぐ隣で、こうした「静かな回避」が日常的に起きている。
なぜ厳格なルールほど、現場から無視されるのか。 答えは、デザイン思考でいう共感フェーズ（Empathize）の欠落にある。罰則ではなく設計によって、対策は初めて「守られる」ものになる。
情報漏洩やランサムウェア被害の少なくない部分は、技術的な脆弱性そのものではなく、守られなかった運用ルールに起因する。監査のたびに同じ指摘が繰り返されるとすれば、それは個々の社員の油断ではなく、構造的に起きやすいパターンだと疑うべきだ。
（本稿は特定の企業への訪問取材に基づくものではなく、公開されているセキュリティ疲れ研究とSecure by Design指針をデザイン思考の枠組みで統合した分析論考である。）
「ルールを守らない現場」の正体
性弱説（罰則強化）アプローチが効かない理由
セキュリティ施策の多くは、「人は隙あらばサボる」という性弱説に立って設計されている。ルールを厳しくし、違反者を罰すれば、行動は矯正されるはずだという前提だ。
だがこの前提は、現場が抱える現実の制約を素通りしている。締切のある資料作成、複数ツールの切り替え、外出先での対応——そうした業務の流れの中で、認証の追加手順は「安全のための一手間」ではなく「仕事を終わらせるための障害物」として体感される。罰則を強化しても、障害物そのものは消えない。
セキュリティ疲れという行動経済学的な摩擦コスト
米国国立標準技術研究所（NIST）の研究者らは、この現象を「セキュリティ疲れ（security fatigue）」と呼んだ（Stanton, Theofanos, Prettyman, & Furman, 2016）。次々と課される認証・警告・ポリシー更新に対応し続けるうちに、ユーザーの注意資源が消耗し、最終的にリスクを軽視した近道を選びやすくなるという指摘だ。
これは意志の弱さの話ではなく、認知資源という有限な資源の配分の問題として捉え直せる。摩擦の多い手順を一日に何度も踏ませれば、どれほど意識の高い社員でも、いずれ近道を探し始める（筆者自身、二段階認証のコードが届くまでの数十秒にすら苛立った経験がある）。
他業界の「導入したのに使われない」失敗パターンとの共通点
似た構図は情報セキュリティに限らない。スマート農業の現場定着を扱った記事で見たように、高機能なIoTツールが畑に放置される現象も、供給側の機能設計が先行し、使い手の行動観察が後回しになるという同じ骨格を持つ。業種が違っても、「導入した瞬間」だけを追いかけ、「使われ続けるかどうか」を測らないという失敗の型は再現される。
同じ失敗を、業種を変えて何度も見ている。
共感フェーズを「業務動線の観察」で実装する
アンケート・研修アンケートでは拾えない「回避のトリガー」
「セキュリティ意識は高いですか」と尋ねれば、多くの社員は「高いと思います」と答えるだろう。だがアンケートは、本人が自覚し、言葉にできる範囲の情報しか拾えない。
締切直前にどのツールを開き、どの手順を省略しがちか——こうした回避の引き金は、当人にとって当たり前すぎて、質問されても言語化されにくい。回避行動の発生地点こそが設計の出発点であるはずなのに、アンケートの外側に置き去りにされやすい。
締切直前・外出先・複数ツール切り替え時に集中する摩擦ポイント
デザイン思考の共感フェーズは、本来こうした暗黙の判断を拾うための工程だ。研修アンケートの代わりに、セキュリティ担当者が対象業務に半日同行し、資料作成から提出までの一連の動きを実際に見ることで、どの瞬間に回避行動が発生しているかが具体的に見えてくる。
観察すると、摩擦は業務全体に均等に分布しているわけではないことが分かる。締切直前、外出先での接続、複数ツールを行き来する切り替えの瞬間——摩擦はいくつかの局面に集中する傾向があり、そこを起点に設計を組み直せば、効果は局所的な改善に留まらない。
シャドーITを「懲罰対象」ではなく「設計インサイト」として読み替える視点転換
私物端末や未承認のクラウドサービスへの回避——いわゆるシャドーITが発覚したとき、多くの組織はまず懲罰の対象として扱う。だがこの発覚は、本来の動線に何が欠けているかを教えてくれる貴重な信号でもある。
回避行動が起きた地点を「設計上の失敗シグナル」として記録し、そこにプロトタイプを当てて検証するサイクルに転換すれば、同じ回避は繰り返されにくくなる——もっとも、この転換を現場に納得させるまでには、それなりの根気がいる。罰則を強化するより、回避の発生地点を潰していくほうが、結果的に統制の実効性は高まる。
「守られる」対策の作り方
Secure by Default——安全を「追加の手順」から「既定の動線」へ
米国CISAが提唱する「Secure by Design」の考え方の中核にあるのが、Secure by Default——安全な状態を、利用者が追加の手順を踏まなくても初期設定として得られる状態にするという原則だ（CISA, NSA, FBI, 2023）。
セキュリティ担当者にできることは、既存の作業動線にセキュアな選択肢を統合することだ。シングルサインオンで認証の摩擦自体を減らす。承認フローを、普段使っているチャットツールに統合する。新しい画面や新しい習慣を課すのではなく、すでにある動線の中に安全を組み込む——発想の軸はそこにある。
承認フロー・認証手順を既存の業務ツールに統合するプロトタイピング
大規模な刷新をいきなり全社展開する必要はない。一部門・一業務に絞って、既存ツールへの統合を小さく試し、摩擦がどれだけ減ったかを見てから対象を広げる。
この進め方は失敗のコストを小さく抑えながら、部門ごとの業務慣習の違いにも対応できる。共感フェーズで見えてきた摩擦ポイントに狙いを絞ってプロトタイプを当てるからこそ、限られた工数でも効果が出やすい。
定着を測る指標を「研修受講率」から「回避行動の発生頻度」に変える
最後に見直すべきは成果指標そのものだ。研修受講率やポリシーの周知率は、施策の立ち上げ段階では追いやすい数字だが、現場での実効性を測る指標としては不十分である。
シャドーITの検知件数、私物端末の利用申請数といった回避行動の発生頻度を主要な指標に据え直すことで、初めて「守られる対策」を作る動機がチーム全体に共有される。
付箋に書かれたパスワードは、社員の規律の欠如ではなく、観察の不足を映す鏡だ。共感フェーズを飛ばして規則を積み上げても、現場には定着しない。
あなたのチームが最後に、ルールを破った社員の一日に実際に同行したのはいつだろうか。次のセキュリティ施策の見直しの一歩目は、改定案を書き始める前に、その問いに答えることから始まる。
参考文献・出典
- Stanton, B., Theofanos, M. F., Prettyman, S. S., & Furman, S. (2016). Security Fatigue. IT Professional, 18(5), 26-32.
- Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), Federal Bureau of Investigation (FBI), et al. (2023). Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software.