ユーザ教育はセキュリティ問題に対する解決策ではない

コンピュータユーザは、以下のような無数のセキュリティ障害にあっている。

• ウィルスやワーム。
• 「ナイジェリアの手紙」詐欺（多額の隠し財産を秘密裏に持ち出す手助けをしてくれないかと、持ちかけてくる電子メール）。
• フィッシング（ phishing：有名商店の顧客サービスから送信されたと偽って、偽装されたウェブサイトに導き、アカウント情報を入力させるようなメール）。
• インフォームド・コンセントなしにソフトウェアをコンピュータにインストールするスパイウェアやアドウェア（いくつかのものは、インフォームド・コンセントを行っていると主張するかもしれないが、ほとんどの人はウェブ上で “OK” ボタンをクリックするとき、何に同意しているのか認識していない。本当にインフォームド・コンセントを行っているというならば、ユーザはそのソフトウェアがインストールされ、アドウェア機能が働くことを認識していなくてはいけない）。

マスコミが新しい脅威について報道するたびに、セキュリティ専門家がユーザの無知に嘆き、警戒方法についてユーザ教育をするよう企業に勧めるのを目にする。

しかし 3 つの理由から、ユーザ教育をセキュリティ問題に対するメインの対策にするべきではない。

最初にあげる最も重要な理由は、上手くいかないからだ。コンピュータセキュリティは複雑すぎで、悪者はずる賢く新たな手口を次々と開発してくる。一般的なユーザが彼らと張り合えると考えるのは、現実的ではないのだ。確かに知らぬ人から送られてきた添付ファイルを開かないよう注意を促すことはできるが、今度は攻撃者たちが上司、妻、友人に成りすましてメールを送りつけてくる。そして、現代のオフィス環境で、添付ファイルを開かずに仕事をするのは不可能だ。

2 番目に、ユーザ教育は重荷を背負わせる相手を間違えているからだ。これでは、まるで犯罪の対策として全ての人が拳銃を持ち歩いていた、西部開拓時代ではないか。文明的な社会になり、犯罪に立ち向かうのはプロの警察に任せることによって、私たちはこの考え方を捨てたはずだ。もしテクノロジーと人間の間にミスマッチがあるのであれば、変わるべきなのは人間ではない。コンピュータを変えるべきなのだ。コンピュータとインターネットは、両方とも誰もが信頼でき、犯罪など起こらないという前提で作られたものだ。言うまでもなく、この考え方は現代においては通用しない。そのため、テクノロジーを変化に合わせて再設計しなおす必要があるのだ。西部開拓地もゆくゆくは法律、裁判所、警察、刑務所などに犯罪対策を任せるようになったではないか。

3 番目に、テクノロジーの欠陥を直さずに、重荷をユーザに背負わせ続ける限り、私たちはインターネットの潜在能力を完全に引き出すことができないからだ。反対に、ユーザを必要以上に警戒させることによって、テクノロジーの限界まで使うことを拒ませてしまう。ユーザビリティのリサーチで、すでにユーザが電子メールアドレスの登録に二の足を踏むことがわかっている。たとえそれがスパムを行わない、合法的なeコマースサイトであっても、変わらないのだ。そのため顧客に便利なニュースレターや、確認メールを送ることさえ、難しくなっているのだ。

ウェブはまるでスラム街だ。人々は絶え間ない攻撃や、迷惑な不法侵入に脅かされている。ユーザにこれ以上の恐怖を与えつづけるわけにはいかない。これ以上ユーザを保護せずにはいられないのだ。

「車の鍵をしめる」アナロジー

私の主張への反対論としてよくあるのが、ユーザの身の安全はユーザ自身が守るよう求めるほうが、理にかなっているというものだ。まるで車を駐車するときは鍵をしめるようにというのと、同じ理論だ。

このアナロジーは、現実と仮想現実の違いを考慮すると、成立しない。現実世界で泥棒が忍び込める場所というのは限られた範囲の場所だけだ。そのため一般的な家庭では、一般的な泥棒に対する防犯対策を行えば十分で、熟練した KGB の進入チームに対する防衛は必要ない。そのような世界トップクラスの悪者に対する防衛が必要なのは、CIA のような人たちだけだ。そしてそのために彼らは、多数のセキュリティ専門家を雇っているのだ。

仮想現実世界では、悪者の手が届く範囲というのが拡大する。セキュリティ・ホールを見つけた 1 人のクラッカーは、何十億というユーザを攻撃できるのだ。そのため全てのネット市民は、近所のハッカーだけでなく、全てのコンピュータ犯罪者に対する防衛が必要となるのだ。

私たちが一般的に自動車や家を狙った泥棒について警戒するように、ユーザはもっとインターネット詐欺に警戒するようになるだろう。子供がどのようにウェブを使うかに関してのリサーチでわかったように、子供たちは個人情報を登録したり、ソフトをダウンロードしたりすることに伴う危険を、十分理解している。また、パスワードを他人に教えてしまわぬよう注意を促すのは、悪いことではない。金融企業のウェブサイトで、パスワードを求めるような電子メールは一切送らないというポリシーを明確にしておくのはよいことだ。このようなことは不可欠ではあるものの、これだけでは不十分なのだ。

同じく、システム管理者たちが、彼らの管理するサーバに最新のセキュリティ・パッチをあてていると考えてはいけない。まず多くの企業にプロのシステム管理者がいるわけではないのだ。小さな企業では、事業主や、オフィスの主任がコンピュータの責任を持っている場合が多い。中規模の企業であっても、必要なだけのセキュリティ専門家がいないこともある。なぜなら社内全てのオタクたち一人ひとりが、本来ならば大きな IT 部門が丸々必要とされるような、大きなプロジェクトを負っている場合があるからだ。

解決策：セキュリティの再設計

真の解決法はただひとつ、全てのコンピュータ要素にセキュリティ機能を組み込むことだ。そう、コンピュータが崇高な学者たちだけによって使われていて、システム内の価値あるものといえば研究論文の下書きくらいで、ネットワーク上にいるほかの人たちは全員大学の同僚だという考えを捨てるときがきたのだ。

私たちは考えを改めて、次のようなステップをとる必要がある。

• 暗号化をスクリーン上に表示する以外の時は、常に行う。特に、インターネット上で電子メールなどの情報の送受信を行うときは、プレーンテキストを使わない。あなたのコンピュータから出て行くものは、全て暗号化されるべきだ。
• デジタル署名を全ての情報に付加し、第三者による改変を防ぐとともに、それが信頼できる相手からのものなのかどうか判断できる、簡単な方法を開発する。これは今使われている、一般人には理解できないばかげたセキュリティ警告メッセージに取って代わることができる。今のものは、みっともないテクノロジーの内面をそのまま表示するため、機能していないのだ。（「セキュリティ証明書は終了したか、あるいはまだ有効ではありません。」だそうだが、それは一般人にとってどういう意味なのだ？）
• 全てのセキュリティ機能の設定をデフォルトで on にする。なぜなら、ほとんどの人がデフォルト値をいじらないからだ。そうしておいて、設定変更が簡単にできるようにするのだ。そうすれば、誰でも進入できるような大口を開けずに、ユーザは信頼のおける相手とのやり取りだけを、許可することができる。
• アップデートを全て自動で行う。ほとんどのウィルス対策ソフトは、新しいウィルス定義をバックグラウンドでダウンロードする。これはよい第一歩だ。また Windows XP SP2 で実装された自動パッチ機能もよい改良だ。
• セキュリティ機能のユーザビリティを向上させて、今までに私たちが見たこともないレベルまで高める。セキュリティは本質的に複雑なもので、ユーザが（手遅れになるまでは）気にしないものなのだ。ユーザインターフェイスは、極限までシンプルでなくてはならない。ヘビーなユーザテストと、詳細なフィールド調査が必要不可欠だ。

他にもユーザビリティ以外の分野で必要なステップがある。例えば、ソフトウェアのバグの数を減らすことなどだ。

最後になるが、社会は、スパム行為、フィッシング行為、ウィルス作成行為、eBay 詐欺、その他ユーザ権利を侵害する行為を先に見越して犯罪だと認めて検挙する対策を取らなくてはいけない。これには、この問題を専門とする FBI の大規模な対策調査団が必要だ。なぜならコンピュータ犯罪は、経済活動や市民生活への影響が、小規模であっても調査リソースを食いつぶしてしまうような古典的な犯罪よりも大きいことが多いからだ。

体系的にセキュリティに取り組むのは、難しいことだ。しかし、安全なコンピュータ使用を約束し、人々がウェブに対して心地よく感じられるように変えられる、唯一の手段なのだ。

2004年10月25日