はじめに
この記事シリーズは情報セキュリティマネジメントの資格勉強で学んだことの中でも、特に気になった内容、正しく理解したい内容をブログ記事にしてアウトプットしていきます。
実際に学んだことを整理し、理解を深めるための参考にもなればと思っています。
参考書とサイト
資格勉強におすすめな参考書はこちらです。
重要なキーワードや仕組みについてわかりやすく記載されており、特に図解もあるのがポイントです。
参考書を1周したり、腕試しを試したい方はこちらのサイトも有効活用しましょう。
情報セキュリティマネジメントの過去問が無料で試せます。
犯罪を起こす側の視点を持ってみる
情報セキュリティマネジメントの勉強をしていると様々な攻撃の手口や現象の名称を覚えることになります。
結果的な事象についての理解も重要ですが、実はそれ以上に大切なのは「なぜ、犯罪が起こるのか？」を理論的に理解することです。
犯罪が起きる状況は理論として提唱されており、それに対してどのように予防するかも考えられています。
これを勉強した際に、あなたの会社では該当しそうな人がいないか？といった視点も持ちやすくなるので未然に犯罪が起きるのを防げるかもしれないですね。
不正のトライアングル理論
アメリカの犯罪学者である D.R.クレッシーが提唱した「不正のトライアングル理論」は、不正行為がどのような環境で発生するかを説明する理論です。
この理論によれば、人が不正行為を実行するには、3つの不正リスクが揃う必要があるとされています。
(理論の進化版もあるので本記事下部にあるリンクから確認してみてください)
機会（Opportunity）
不正行為が実行できる環境、または不正を行う機会が与えられることです。
例えば、情報システムの管理者に過剰な権限が集中していたり、監視体制が不十分な場合、システムの管理者が自分の裁量で不正にデータを改ざんしたり、不正アクセスを試みる可能性が高くなります。このように、不正行為を実行するための環境が整うことで、犯罪の機会が生まれるのです。
動機（Motive）
不正行為を行うための「事情」や「理由」のことを指します。
動機がなければ、そもそも不正行為を行おうとは思いません。典型的な例としては、経済的困窮（借金や生活費が足りないなど）、不満（低い給料や不公平な待遇）、あるいは欲望（昇進や出世を望むため）などが挙げられます。このような動機が、正当な行動に対する意欲を削り、代わりに不正行為を選択させるのです。
正当化（Rationalization）
不正行為を自分の中で許容するための「言い訳」や「合理化」のプロセスです。
犯罪を犯した後にその行為を「許せる」と感じるために、自分に対して正当化を行います。例えば、「会社にはたくさんの資産があるから、少しくらい取っても問題ない」や、「お金を盗むのではなく、借りるだけだ」といった形で、自分の行為を正当化します。これにより、良心の呵責を感じることなく不正行為を実行できるようになります。
状況的犯罪予防
「不正のトライアングル理論」が示す通り、不正行為は単独の要因で発生するのではなく、機会、動機、正当化という三つの要素が重なり合うことによって初めて発生します。そのため、これらの要素を理解し、それを管理することが不正行為を防止するためには非常に重要です。
不正行為を予防するための有効なアプローチのひとつが、「状況的犯罪予防論」です。
この理論は、英国で提唱され、犯罪が発生する環境や状況に着目し、犯罪を未然に防ぐための対策を講じることに重点を置いています。状況的犯罪予防では、以下の5つの観点を基に犯罪を予防する手法が整理されています。
物理的にやりにくい状況を作る
不正行為を行うための環境を物理的に制限することで、犯罪の発生を防ぎます。たとえば、重要なデータやシステムにアクセスするための障壁を作り、物理的なセキュリティを強化することが考えられます。
やると見つかる状況を作る
不正行為を行った場合にすぐに発覚するような環境を作ることで、抑止力を高めます。監視カメラやログ管理などを導入し、行動を追跡可能にすることが一例です。
やっても割に合わない状況を作る
不正行為を行った際に得られる利益よりも、そのリスクや結果の方が大きいと認識させることで、犯罪を防止します。厳しい罰則や、発覚時の損害を強調することが有効です。
その気にさせない状況を作る
そもそも不正行為を行おうとする動機を抑える環境を作ります。組織内の倫理教育やモラルの向上を図ることで、犯罪を思いとどまらせることができます。
言い訳を許さない状況を作る
不正行為を正当化するための「言い訳」を許さない状況を作り出します。従業員が自身の行動を正当化できないように、倫理的な基準を明確にし、組織の文化として根付かせることが重要です。
さらに、犯罪を引き起こす日常的な状況に注目する理論として「日常活動理論」があります。この理論は、通常の業務や生活における環境の変化や不備が犯罪を引き起こす原因となることを指摘します。
また、軽微な不正や犯罪を放置することによって、さらに大きな犯罪が引き起こされるという考え方を示す「割れ窓理論」もあります。これに基づき、些細な不正を見逃すことなく、早期に対応することがより深刻な問題を防ぐためには重要であると言えます。
関連情報・参考リンク
「不正のトライアングル理論」に関する情報
https://bp-platinum.com/platinum/view/files/sps/proposal/dl_data/dl-20240227-5.pdf
https://www.saaj.or.jp/kenkyu/pdf/238Shiryo.pdf
「状況的犯罪予防」に関する情報
https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf
「日常活動理論」に関する情報
「割れ窓理論」に関する情報
