【NICT】人間中心のサイバーセキュリティ（HCC）に関する指針の視点は「人のこころ」

人のセキュリティ対策の必要性は誰しも理解していますが、実際には広義な情報セキュリティという概念の中心にサイバーセキュリティがあり、周辺にそれ以外のセキュリティのようなイメージになっていると思っております。以前から「なぜテクノロジー優先」なのかとか「人的セキュリティが疎かだな」と感じております。

【解説】人間中心のサイバーセキュリティ（HCC）に関する指針及びリソースのコンセプトペーパー【NIST】の要約

どれほど最先端のセキュリティ技術を導入しても、サイバー攻撃による被害がなくなることはありません 。その被害の背景を深く探ると、パスワードの使い回しや警告の無視、設定の間違いといった、システムではなく「人間」に関わる要素、すなわ 「人的要因（人的脆弱性）」 が極めて大きな割合を占めていることが判明しています 。
こうした課題に対処するため、米国NIST（国立標準技術研究所）は、令和8年（2026年）8月12日に 「人間中心のサイバーセキュリティ（HCC）に関する指針及びリソースのコンセプトペーパー」 を公表し、新たな安全対策の方向性を示しました 。本稿では、この指針案が提唱する「人間中心のサイバーセキュリティ（HCC）」の概要について要約して解説します。

現段階では、まだコンセプトペーパーの段階ですが今後の進捗に注目します。

本来、技術的対策と非技術的対策は同列のはずですが、偏っているのは事実です。サイバー攻撃ニュースのが多いですし、人の弱点ってわかっていても、どうすればいいのかわかりにくいなど...要因は色々あります。

またセキュリティ担当者も、人のセキュリティ意識のようなものも、出来て当たり前の前提にあるように感じております。なんで「何もしてないのに出来て当たり前？」と思いますが、これ聞いて「そうだよねと理解できること」と、「じゃあそれ具体的にしっかりとしよう」と実行出来ることとは違います。

従来の「技術中心」の対策が抱える課題

・人間の特性を無視したシステム設計
・形骸化した教育訓練
・セキュリティ人材の不足と燃え尽き

・これシステムに限らないと思いますが、中心の置き場所が人に寄っていなかったので、セキュリティ事故を誘発していました。これだけでも、HCCに価値がありますね。

・形骸化した教育については、もう20年近くそう感じております。私が関わった方々には、それを強く伝え、理解いただけた方々には、意味のある啓発活動を行ってきました。

担当の方は、「年1回の、一般社員から管理職まで全員が受講する、管理職向けのコンテンツで」とか言われますが、どこを向いた話なのかわかりません。最低限伝えるのは、役職別に別けることと、座学は意味ないことを伝えています。全員同じ内容でいいものは例えば救命胴衣のつけ方とか、全員同じもので良い場合に限ってであり、ここで言うものは違います。そもそもセキュリティの研修なんて誰も受けたくないのに、一方的な座学なんかで何を得るのでしょうか？

コストの話がありますが、内部コスト（座学の時間ｘ人数ｘ単価）みたいな計算が足りないように思います。少なくとも私は「受講者数ｘ研修時間」の長い時間をお預かりしますので、それなりの準備をして臨みます。これもっと長くなりそうなので、次回別に書きたいと思います。

・セキュリティ人材の不足と燃え尽きも、やっとここに目が向けられたと思います。NISTが課題としてだすこと、旗振り役をすることで多少でも改善されるのであれば、セキュリティ全体の支えになります。HCCって言葉に沿っていますね。

私が向かった方向は「人のこころ」

自身の話になりますが、元々お勉強をしなまま16歳からイベントコーディネーターをして、その後の情報セキュリティ分野もそろそろ30年くらいです。情報セキュリティの仕事通じて、漏洩対策とか不正調査とかしていると、段々人のイヤな面が見えてきます。よくセキュリティで性善性悪のような例えがありますが、そもそも人は2つに別けられない。でも別けた方が簡単なので対立構造にすると収まりがいい。性悪な例を多く見た分、その根源ってなんだろう？と考えるようになりました。

人のこころってどういう事なのか？と、高野山大学大学院で密教学を学んできました。お大師さんの元ならなば、きっと何かが見えるかもしれないと。。。十住心思想ってのがありまして、「如実知自心」実の如く自心を知る。アカデミックなアプローチでこれを深く理解したい。。。修了！で・・・いゃ...ぼんやりとしかわからない。難しいのか、理解力がないのか？ う～ん、やはりよくわからない。

密教は事相と教相の両翼であると言われます。教習所で言う学科と実技みたいなイメージです。やはり学科が終わっただけじゃわからないのか？と、どこかで機会があれば何れ実技である事相をしたいと思って（2015年）おりました。

2024年の春から夏まで、ご縁がありまして僧侶になるための修行（事相）へ出ました。年齢的（54）にもキツいですが、これが最後の機会とおもい入りました。前回の学校は理論的に「如実知自心」（実の如く自心を知る）ことで、今度は自分の「こころ」と正対すること。

何を得たかといえば、これも自分ではわからない。まったくのゼロではないはずですが、形として出てくるものではないのかと、おそらく暗黙知のようなものか？ということにしています。

引き続き、答えのない問いを追い掛けます。