ブルース・シュナイアー： セキュリティの幻想

コンピューターセキュリティの専門家ブルース・シュナイアーは、安全だと感じることと実際に安全であることは必ずしも一致しないと言います。TEDxPSU（ペンシルバニア州立大）において、各地の飛行場で繰り広げられている「セキュリティシアター」のような新聞ネタの対処に大金を費やすのに、より起こり得るリスクは無視するのはなぜか、そしてそのパターンをどうすれば破れるのかを説明します。

セキュリティには 2 つの側面があります

感情と現実です

両者は異なるものです

実際に安全ではなくとも

安全だと感じることができます

安全だと感じなくても

安全であることもあります

二つの別々の概念が

安全という一つの言葉に対応付けてられています

本日私がお話ししたいことは

感情と現実を区別し

どのような時に 別々の概念に別れ

どう一つに収束するかです

ここでは言葉が問題となります

これからお話しする概念に則した

良い言葉があまりないのです

安全を

経済学の言葉で表現するなら

「トレードオフ」となります

安全を得るときはいつも

何かをトレードオフしています

個人的な判断で

自宅に防犯ベルを設置するとき

国家的な判断で外国に侵攻するとき

何かをトレードオフすることになります

それはお金 時間 利便性 機能性

あるいは根本的な自由かもしれません

安全を考えるときに問うべきは

それが自身をより安全にするかではなく

トレードオフするに値するかです

ここ数年でこんなことを耳にしたでしょう

サダム・フセインが権力を振るっていないので世界はより安全だと

真実かもしれませんが関連性はごく僅かでしょう

問うべきは その価値があったか ということです

これは個人個人で結論が出せます

侵攻するに値したか 自分なりに判断するのです

これが安全を考える方法です

トレードオフという観点を用いるのです

この判断に特に正しい答えはありません

自宅に防犯ベルを設置している人もいれば

そうでない人もいます

住んでいる地域

一人暮らしか家族と住んでいるか

どんな凄いものを所有しているか

窃盗のリスクをどの程度

許容するかによるでしょう

政治でも

さまざまな見解があります

多くの場合 トレードオフは

安全に関するものに留まりません

これは重要なことです

人間はこういったトレードオフに対して

直感を持っており

日々それを使っています

昨晩ホテルの部屋で

ドアを二重に施錠すると判断したとき

皆さんがここまで運転してきたとき

ランチに行き

食べ物に毒が混入していないと判断し食べるとき

私たちはこういったトレードオフを

一日に何回も判断しています

あまり意識することはないでしょう

生存活動の一部に過ぎません 皆やっていることです

あらゆる種が行っていることです

野原で草を食べているウサギを想像してください

そのウサギはキツネを見つけます

するとウサギは安全のトレードオフをするでしょう

「留まるべきか 逃げるべきか」

こうして考えてみると

トレードオフの判断に長けたウサギは

生き延びて繁殖するでしょう

そうでないウサギは

捕食されたり餓死するでしょう

では

地球で成功している種である

皆さん 私 全員が

トレードオフの判断に長けていると考えるかもしれません

にも関わらず

私たちは絶望的に下手なようです

これは非常に興味深い疑問だと思います

端的な回答をお出ししましょう

私たちは安全の感覚に対応しているのであり

安全の実態に反応しているのではないということです

多くの場合これは有効です

多くの場合

感覚と実態は同じです

先史時代においては

まさしく真実でした

私たちが感覚的に反応する能力を発達させてきたのは

進化的に正しかったからです

一つの解釈は

少数のグループで生活するときに

必要とされるリスク判断に

極めて適合していたということです

これは紀元前10万年の東アフリカ高地でのことであり

2010 年のニューヨークではまた別です

リスクの認知にはいくつものバイアスがかかるもので

それについては数多くの研究があります

特定のバイアスは繰り返し現れるものです

ここでは 4 つ紹介したいと思います

私たちは劇的なリスクや珍しいリスクを誇大化し

一般的なリスクを過小評価しがちです

例えば飛行機と車での移動の比較です

未知のリスクは

既知のリスクより大きく捉えられます

例えば

人々は見知らぬ人による誘拐を恐れますが

データによると顔見知りによる誘拐の方が断然多いのです

これは子供の場合です

第三に 名前を持つものによるリスクは

匿名によるリスクより大きく捉えられます

ビン・ラディンは名を持つがゆえにより恐れられるということです

第四に 人々は

自分でコントロールできる状況での

リスクを過小評価し

そうでない状況でのリスクを過大評価します

スカイダイビングや喫煙をする人は

そのリスクを実際より低く捉えます

テロが良い例ですが そういったリスクに曝されると

それを過大評価します 自分でコントロールできないと感じるからです

他にも私たちのリスク判断に影響する

多数の認知バイアスが存在します

利用可能性ヒューリスティックというものがあります

これは基本的に

想像の し易さから

その可能性を推測するというものです

どういうことかお話ししましょう

トラの襲撃をよく耳にする場合 周辺にはトラが沢山いるはずです

ライオンの襲撃を耳にしないなら 周辺にライオンはあまりいないでしょう

こう考えられるのも新聞が出回るまでです

なぜなら新聞とは

繰り返し繰り返し

希なリスクを記すものだからです

ニュースになるくらいなら心配はいらないと私はみんなに言っています

なぜなら定義によれば

ニュースとはほぼ起こらない出来事のことだからです

(笑)

ある出来事が一般的なら それはもはやニュースではないのです

自動車事故や家庭内暴力

皆さんが心配するリスクはこういったものです

また私たちは物語る種です

データより物語に敏感です

また根本的な数量に対する感覚も欠けています

「一つ 二つ 三つ たくさん」はある意味正しいということです

私たちは 小さい数にはとても強いです

一つのマンゴー 二つのマンゴー 三つのマンゴー

一万のマンゴー 十万のマンゴー

食べきる前に腐ってしまうほどの数です

二分の一 四分の一 五分の一 こういうのも得意です

百万分の一 十億分の一

どちらも「ほぼありえない」です

このように 私たちは

珍しいリスクというものが苦手です

そしてこの認知バイアスは

私たちと実態の間のフィルターとして働きます

その結果

感覚と実態が狂います

異なるものとなるのです

皆さんは実際より安全だと感じることがあります

偽りの感覚です

あるいは

偽りの不安感もあります

私は「セキュリティシアター」

つまり人々に安心感を与えつつも

実効を持たないものについて沢山書いています

私たちに安全を提供しつつも

安心にはさせないというものを示す言葉はありません

CIA に是非やってもらいたいことです

では経済の話に戻りましょう

もし経済が 市場が 安全を促進するならば

そして人々が安心感に基づいて

トレードオフをするならば

経済刺激のために

会社が取れる良策は

人々に安心感を与えることです

それには二つ方法があります

実際に安全を提供し

人々が気付くのに期待するか

もしくは安心感を提供して

実態に気付かないことを期待するか です

では気付くには何が必要でしょう

いくつかあります

理解です

安全 リスク 脅威 対抗策

それらを理解し そして仕組みを知ることです

もし知っていれば

感覚と実態は一致しているでしょう

沢山の実例の知識も助けになるでしょう

私たちは皆 近隣の犯罪率を知っています

なぜならそこに住んでいるからであり

基本的に実態と感覚は一致しています

セキュリティシアターに気付くのは

それらがうまく噛み合っていないときです

では実態に気付けない理由は何でしょう

理解不足です

リスクやコストを理解していなければ

トレードオフの判断を誤るでしょう

感覚も実態とは ずれます

経験不足です

そこには発生率の低さという

固有の問題があります

もし仮に

テロがほとんど起きなければ

テロ対策の有効性を

判断するのはとても困難でしょう

これが儀式でいけにえを捧げる習慣が続いたり

突拍子もない責任転嫁がまかり通る理由です

失敗例が足りないのです

また感情も問題を曇らせます

先ほど触れた認知バイアス

恐怖 迷信 等は

基本的に不適切な現実のモデルなのです

ここを更に複雑化します

感覚と実態があります

ここに第三の要素「モデル」を加えたいと思います

頭の中には感覚とモデルがあり

外界に実態があります

実態は変わりません 現実です

感覚は私たちの直感に基づいています

モデルは理性に基づいています

これが基本的な違いです

原始的で単純な世界においては

モデルを持つ理由など全くありません

感覚が現実ととても近いからです

モデルは必要ないのです

しかし現代の複雑な世界においては

私たちが直面する

数々のリスクを理解するためにモデルが必要です

ばい菌についての感覚などありません

理解するためにはモデルがいるのです

つまりモデルとは現実を知的に理解し

違う形で表現した物です

モデルには当然科学 そしてテクノロジーによる

限界があります

ばい菌を観察できる顕微鏡を開発する以前には

病気の細菌説などありえません

認知バイアスによる限界もあります

ただこれには

感覚を覆す力があります

モデルはどこから得るのでしょう？他から得るのです

宗教や文化

教師や長老から得ます

数年前 私は

狩猟旅行で南アフリカに行っていました

同行したトラッカーはクルーガー国立公園で育ちました

彼はサバイバルに関していくつか複雑なモデルを持っていました

それは何が襲ってきたのかによります

ライオン、ヒョウ、サイ、ゾウ

また逃げなければならない場合 木に登らなければならない場合

木に登れない場合もあります

私は一日と生きられないでしょうが

彼はそこで生まれ

生存方法を理解していました

私はニューヨーク生まれです

ニューヨークに連れてきたら 彼は一日と持たないかもしれません

(笑)

というのも私たちはそれぞれの経験に基づいて

別々のモデルを持っているからです

モデルはメディアや

役人から得られることもあります

テロのモデルや

子供の誘拐 航空安全

交通安全などのモデルを考えてみてください

モデルは産業から出現することもあります

私が興味を持っているのは監視カメラと

ID カードの二つで

コンピュータセキュリティのモデルがこれらから沢山生まれています

科学からも沢山のモデルが来ています

健康モデルは素晴らしい例です

ガン、鳥インフルエンザ、豚インフルエンザ、SARS を考えてください

こういった病気に関する

安全の感覚は全て

モデルから来ています

メディアのフィルターを通した科学からもたらされています

モデルは変化し得ます

不変のものではありません

私たちが環境に馴染むにつれ

モデルは私たちの感覚に近づいていきます

例としては

100 年前に戻ってみましょう

電気が出現したばかりの頃で

沢山の懸念が持たれていました

呼び鈴を鳴らすのを怖がっていた人がいました

当時 危険だった電気が使われていたためにです

私たちは電気製品はお手の物です

電球の付け替えも

さして考えることもなくできます

電気にまつわる安全のモデルは

私たちにとっては常識です

生まれたときから特に変化もしていません

使い方は完全にマスターしています

世代毎の

インターネットにまつわるリスクを考えてみましょう

ご両親のインターネットの安全に対する姿勢と

皆さんの姿勢

そして皆さんの子供はどうなるでしょう

モデルは最終的に背景へと馴染んでいきます

直感は「慣れ」の言い換えに過ぎません

つまりモデルが現実に近づくほど

そして感覚と一体になるほど

モデルの存在に気付かなくなります

この良い例は

昨年の豚インフルエンザでしょう

豚インフルエンザが最初現れたとき

初期情報は沢山の過剰反応を引き起こしました

名前が付いていたために

普通のインフルエンザより致死率が

低いにも関わらず恐ろしげです

人々は医者に何とかしてもらいたいと考えていました

自分ではコントロールできない感覚があったわけです

名前と制御不能感が

リスクを実際以上のものに見せました

新奇性が薄れ 月日が経ち

ある程度 危機感も薄れ

人々は慣れました

新しいデータはなくとも恐れは薄れたのです

秋になると

人々は

医者は既に解決していても良いはずだ と考えるようになりました

ある種の分岐がありました

人々は

恐怖か受容か--

実際には、恐怖か無関心かでしょうか--を選ぶところで

リスク自体を疑い始めたようなのです

冬にワクチンが出てきたときには

驚くほど沢山の人が

ワクチンを受けることを拒否したのです

以上は

人々の安全の感覚やモデルが

奔放に

新しい情報もなしに

変化することの良い例です

こういったことはしばしば起こります

更にもう一つ問題を挙げます

感覚 モデル 実態とあります

私は安全とは非常に相対的なものだと考えています

これは観察者次第だと思います

またほとんどの安全に関する判断には

多様な人々が関与しています

特定のトレードオフで

利害を得る人達は

判断に関与しようとします

それが彼らのアジェンダ（課題）だと私は呼んでいます

アジェンダ、つまりこれが

マーケッティングだとか政治なのですが

都合の良いモデルを選ばせたり

モデルを無視して

感覚で行動するようにしむけて

好みのモデルを持っていない人を排除しようとしているのです

これは珍しいことではありません

その良い例は喫煙のリスクです

過去 50 年の歴史で 喫煙のリスクは

モデルがどのように変化していくかを示しています

また産業が望まないモデルに対して

どう戦っているかも分かります

それを間接喫煙の議論と比較してください

約 20 年遅れて出てきたものです

シートベルトはどうでしょう

私が子供の頃 誰もシートベルトを締めていませんでした

今ではシートベルトを締めないと

誰も運転させてくれません

エアーバッグはどうでしょう

約 30 年遅れて出てきた議論です

全てモデルの変化の例です

そこから分かるのは モデルを変えるのは困難だということです

安定しているモデルを変えるのは難しいのです

モデルと感覚が等しいならば

モデルを持っているということすら分かりません

また別の認知バイアスがあります

確証バイアスというもので

私たちは自身の信念に沿う

データを受け入れる傾向にあり

そぐわない情報ははねのける傾向にあるというものです

モデルに反する証拠は

そうだろうと思っても無視しがちです

注意を引くには よほど強い説得力を持つものでなければなりません

長期間をカバーする新しいモデルは難しいものです

地球温暖化がよい例です

私たちは 80 年という

長いスパンを持つモデルには向いていません

次の収穫まではいけます

自分の子供が成長するまでも大丈夫でしょう

しかし 80 年ともなると上手くやれません

従って地球温暖化のモデルは受け入れがとても難しいのです

私たちは頭の中で二つのモデルを同時に持つことが出来ます

二つの概念をどちらも信じている

そういう場合の問題で

認知的不協和があるときです

最終的には

新しいモデルが古いモデルに取って代わります

強い感情がモデルを作ることがあります

9.11 は大勢の人の頭の中に

安全モデルを作りました

また犯罪にあった個人的な経験や

健康を害した経験

ニュースで知った健康被害などもモデルを作るでしょう

以上は精神科医によると

フラッシュバルブ記憶と呼ばれるものです

モデルを一瞬で作り上げます

非常に感情価が高いためです

科学技術の話となると

モデルを評価するための経験を

私たちは持っていません

判断を他者に 代理に委ねています

これは信頼性のある他者に委ねる場合に限り有効です

私たちは治療薬の安全性の判断を

政府機関に委ねています

私は昨日飛行機でここまで来たのですが

飛行機を調べませんでした

自分が乗る飛行機の安全性の判断を

他の組織に委ねたのです

この場にいる私たちは天井が落ちてくる心配なんてしていません

調べたからではなく

ここの建築規定は良いと

私たちは確信しているからです

これは疑問も持たずに信じて

受け入れているモデルです

それでいいのです

ここで私たちが望むのは

人々に より良いモデルに

精通してもらい

そしてそれを感覚に反映して

安全に関するトレードオフ判断ができるようになることです

これがうまくいかないときは

二つ 選択肢があります

一つは直接感情に訴えて

感覚を直すことです

人を操るわけですが上手くいくときもあります

より誠実な方法は

実際にモデルを修正することです

変化はゆっくり訪れます

喫煙論争は 40 年掛かりました

これは簡単だった方です

こういったことは難しいのです

なんと言っても

情報こそが私たちの最高の希望に思えます

先ほど嘘をつきました

感覚 モデル 実態について触れたことを覚えていますか？

現実は変わらないと言いましたが 変わります

私たちは科学技術の世界に生きています

現実は常に移り変わっています

ヒトという種の歴史上で初めてこのような環境になったかもしれません

感覚がモデルを モデルが実態を追い 実態は変わり続け

いずれも追いつくことは恐らくありません

先のことは分かりませんが

しかし長期的には

感覚と実態は共に重要なものです

それを示す小話を二つ紹介して終わりにしたいと思います

1982 年 皆さんが覚えているか分かりませんが

アメリカで短期間

タイレノール中毒が流行りました

恐ろしい事件です 誰かがタイレノールのボトルに

毒を混入し フタを閉めて棚に戻しました

それを誰かが購入し 死亡しました

この事件は人々に恐怖を与えました

いくつかの模倣犯が現れました

実際の危険は無かったものの人々は恐れました

こういった経緯で

タンパー防止の製薬産業ができたのです

あのタンパー防止キャップはここから来ているのです

完全にセキュリティシアターです

宿題として回避策を十通り考えてください

一つはお教えしましょう 注射器です

しかし人々に安心感を与えました

人々の安全感覚を

より現実に近づけたのです

最後です 数年前友人が子供を産みました

私は病院の彼女を訪ねました

今日では新生児に

RFID の腕輪を着け

それに対応した腕輪を母親に着けるようです

こうすると 母親以外が赤ん坊を産科病棟から連れ出そうとしたときに

アラームが鳴ります

「なんだか凄いですね

病院で新生児連れ去りは

どれだけ発生しているんでしょう」

帰宅して調べてみました

ほとんど発生していないようです

しかし考えてみましょう

病院で

何らかの検査のために母親の元から

部屋の外へ連れ出す必要があるとします

そのとき良いセキュリティシアターが無ければ

母親はあなたの腕をもぐでしょう

(笑)

従って私たち安全を考えるものにとって

またセキュリティポリシーや

更には公序良俗を考えるものにとって

安全への影響という点で

これは重要なのです

実態だけではなく 感覚と実態を考えねばなりません

重要なのは

両者がほぼ同じであることです

感覚が実態に則していれば 安全に関して

より良いトレードオフ判断ができるということが重要なのです

ありがとうございました

（拍手）