オートコンプリートの裏切り
宛先に「sato」と打つ。候補が出る。一番上を選ぶ。
「佐藤さん（自社）」のつもりか、「佐藤様（競合他社）」だったか。その差はコンマ数秒の指の動きです。
脳は「名前」というパターンに反応し、「所属ドメイン」という情報を無視します。
SECURITY AWARENESS 2025
—— その送信ボタンを押す前に ——
ミスを「個人の責任」として終わらせるのではなく、科学的に分析し、会社全体で「事故が起き得ない環境」を作るためのリテラシーを向上させます。
世界中のデータ侵害のうち、人的要因（ミス、フィッシング等）が関わっている割合。
「自分は大丈夫」という根拠のない自信が、セキュリティ対策を骨抜きにします。
一度に複数のタスクを処理すると、認知負荷が限界を超え、判断能力が30%以上低下します。
「早く返信しなければ」という強迫観念が、確認という重要なプロセスを省略させます。
1,000回成功した作業は、1,001回目も成功すると脳が勝手に思い込む「バイアス」がかかります。
宛先に「sato」と打つ。候補が出る。一番上を選ぶ。
脳は「名前」というパターンに反応し、「所属ドメイン」という情報を無視します。
QRコードを介したフィッシング。メール内のリンクはAI検知されますが、画像内のQRは検知を回避しやすいのです。
謝罪費用、ブランドイメージ失墜、法的罰則。たった一つの「うっかり」が会社を潰すトリガーになります。
ファイルを「一度も開かずに」添付して送信する行為は、目隠しで車を運転するのと同じです。
メールは「封筒」ではなく「ハガキ」です。経路上の第三者が読み取ることができます。
差出人名は誰の名前にでも変更可能です。
一度相手のサーバーに届いたら、二度と消せません。
ミスをすれば、それは「デジタルタトゥー」として残ります。
BEC (ビジネスメール詐欺)。取引先のアカウントを乗っ取った犯人が、請求書の振込先口座を変更するメールを送信。担当者は「いつもの相手」だと信じて振り込んでしまった実例。
犯人は「緊急性」と「権威」を悪用します。
脳が「恐怖」や「焦り」を感じると、冷静な判断を司る前頭前野の機能が低下し、指示に従いやすくなります。
「鍵マークがあるから安心」は20年前の常識です。現在のフィッシングサイトの80%以上がSSL（暗号化）されており、鍵マークが表示されます。
microsoft.com ではなく micros0ft.com (ゼロ)
.jp か .com か。公式のURLと1文字でも違えば偽物です。
ログイン時に「秘密の質問」まで全て聞いてくるのは不自然です。
xyz-123@free-mail.com だったら？多くのメーラー（特にスマホ）は、長いアドレスを隠し、分かりやすい「表示名」だけを目立たせます。犯人はこれを利用して、信頼できる機関を装います。
個人の意識だけでなく、システムで守る必要があります。
送信ボタンを押す前のチェックリスト：
| 確認項目 | 具体的なアクション |
|---|---|
| 宛先アドレス | ドメインが正しいか、他社の佐藤さんじゃないか？ |
| 添付ファイル | ファイルをダブルクリックして中身を確認したか？ |
| 本文の敬称 | 相手の名前を間違えていないか？ |
重要な情報の変更や、大金の振り込み依頼がメールで来たら、必ず「別の手段（電話や口頭）」で確認するプロセスを組み込んでください。
「会社のストレージは遅いから個人のDropboxで……」これがシャドーITです。情シスが把握していない場所にあるデータは、守ることができません。退職者がデータを持ち出す最大のルートでもあります。
「リンクを知っている全員」に公開＝全世界に公開、と同じです。URLさえ教えなければいい、と思っていませんか？ 検索エンジンはそれを見つけ出します。
| 設定 | リスク |
|---|---|
| 制限付き | 最も安全。指定した人しか見られない。 |
| 組織の全員 | 無関係な部署の人間にも見られる。 |
| リンクを知っている全員 | URLが漏れたら誰でも見られる（検索対象）。 |
Googleで「filetype:pdf "社外秘" "議事録"」と検索してみてください。設定ミスで公開されている、おびただしい数の機密資料がヒットします。ハッカーも同じ方法であなたを狙っています。
多くのクラウドサービスは「使いやすさ」を優先し、デフォルト設定が「共有しやすく」なっています。
「設定した覚えがない」＝「最も危険な設定になっている」と考え、一度見直す必要があります。
エンジニアだけでなく、非エンジニアも注意が必要です。共有ドキュメントやスクリプトの中に、クラウド操作用の「鍵（APIキー）」を貼り付けたまま共有していませんか？ それ一つで、会社のクラウド基盤が完全に乗っ取られる可能性があります。
昔は「社内LAN」が守ってくれましたが、今は「ログインID」が会社の入り口です。
一つのサービスが漏洩すると、全ての業務ツールに侵入されます。
「みんなで使うID」は誰が何をしたか追えず、流出時のリスクが最大化します。
管理者権限は、本当に必要な時、必要な人にだけ付与します。
犯人は深夜に大量の通知を送り、被害者が「うるさいから一回承認して止めよう」という心理を突きます。これがMFA疲労攻撃です。身に覚えのない通知は、絶対に拒否してください。
辞めた社員のアカウントが生きていませんか？
アカウント管理は、入り口（入社）よりも出口（退職）の徹底が重要です。
共有設定は、まず「自分だけ」から始め、必要最小限の相手に、必要最小限の期間だけ権限を付与する。クラウド上のデータには常に「期限」を設けるべきです。
コピー＆ペースト。便利ですが、クリップボードの中身を確認していますか？ 前にコピーした「顧客への不満」や「パスワード」を、別の取引先とのチャットに貼り付けて送ってしまう……チャットの速度感が確認を阻害します。
画面共有時は「ウィンドウ指定」を徹底し、通知はオフ。基本中の基本ですが、毎日どこかの会議で漏洩が起きています。
外部のパートナーをチャットのチャンネルに招待したとき、過去のやり取りを見られていませんか？
チャットルームは「壁がある会議室」ではなく、「透明な檻」のようなものです。外から誰が見ているか、常に自覚が必要です。
チャットに機密URLを貼ると、ツールが自動的にそのサイトを読みに行き、「タイトル」や「要約」を表示します。この「自動アクセス」により、本来秘密だったWebサイトの存在がツールのサーバー側に記録されたり、外部へ漏れたりすることがあります。
業務効率化のために自作したSlackボットの「トークン」を、公開設定のGitHub等に置いていませんか？
ボットの権限は、人間以上に厳密に管理すべき「特権ID」です。
チャットアプリを入れた個人のスマホを居酒屋に忘れたら？ パスコードがかかっていない、あるいは推測しやすいものだったら、それは「会社の機密情報へのマスターキー」を紛失したのと同じです。紛失時の連絡フローを確認していますか？
画像に含まれる「アイコン」「名前」「時間」「背景の情報」は、想像以上に多くの情報を語ります。スクショ自体がリスク資産です。
プロジェクトが終了して3年。いまだに「元協力会社の担当者」がメンバー一覧にいませんか？ 彼は今、競合他社で働いているかもしれません。定期的なメンバー整理を行わない組織は、情報の垂れ流し状態です。
チャットはメールより気楽ですが、拡散性と永続性はメール以上です。「今送ろうとしているメッセージは、駅の掲示板に貼れる内容か？」と自問する癖をつけてください。
速い、省エネ、無意識。
ミスの温床だが、日常の9割を担う。
遅い、高負荷、意識的。
確認作業にはこれが必要だが、脳は使いたがらない。
セキュリティ対策とは、脳に無理やり「システム2」を起動させる儀式です。
「このメールは本物だ」と思い込むと、アドレスの不自然な「.」や、日本語の違和感が目に入らなくなります。脳が勝手に「正しい」と補正してしまうのです。
朝から何百件ものメールを処理し、会議を繰り返し、夕方。あなたの「意志力（ウィルパワー）」のタンクは空です。
空の状態で届いた「不審な承認通知」。脳は考えることを放棄し、最も楽な選択肢（＝OKを押す）を選んでしまいます。
重要な確認作業は、脳がフレッシュな「午前中」か「休憩直後」に行うべきです。
「共有先」の候補が200人出てくるプルダウンメニュー。人は選択肢が多すぎると、判断を誤る確率が劇的に上がります。これがヒックスの法則です。
個人名ではなく、信頼された「チーム」単位で権限管理する仕組みが必要です。
最初から全員を選択肢に出さず、まず「内部のみ」に絞るインターフェースが人を守ります。
極度のプレッシャーを感じると、人間の視野は物理的・心理的に狭くなり（トンネル視界）、普段なら気づくはずの明らかな矛盾を無視して突っ込んでしまいます。犯人はあなたの「パニック」を設計しています。
「他の人もこのツールを使っているから」「あの部長も許可しているから」。他人の行動を正しい判断基準としてしまう心理。これこそがシャドーITや、ルール違反の常態化を引き起こす原因です。セキュリティは「多数決」ではありません。
製造現場の「ポカヨケ」をITに応用します。
研修の翌日には、学んだことの70%を忘れます。意識を維持するには「年に1回の教育」ではなく、「日常に溶け込んだ仕組み（壁紙、ステッカー、チャットボットによる定期的な注意喚起）」が必要です。
「私はしっかり確認している」という慢心を捨てましょう。ミスをする前提で、脳がシステム1（直感）で動いても事故にならない「仕組み」を味方につけてください。
ミスを報告して怒鳴られる組織。そこではミスは隠蔽され、手遅れになるまで増殖します。ミスをした瞬間に「あ、やってしまった。すぐ報告しよう」と思える関係性こそが、数億円の被害を数万円で食い止める唯一の鍵です。
個人の責任を追及するのではなく、そのミスを可能にしてしまった「プロセスの欠陥」を探します。報告者を責めない (Blame-Free) 文化が、組織の自己修復能力を最大化します。
「あ、誤送信した！」「ウイルスかも！」と思ったその時、どう動くか？
この15分の初動で、被害が「全社停止」になるか「一人のPC」で済むかが決まります。
パニック時にゼロから文章を考えるのは無理です。あらかじめ「報告テンプレ」を用意しておきましょう。
情シスだけでなく、各部署に「セキュリティに詳しい人」を配置します。
ミスを分析する手法：
個人の注意ではなく、締め切りの分散こそが対策になります。
「危うくリンクを踏むところだった」「送信直前に宛先ミスに気づいた」。これらの「未遂」を恥じずに共有し合う会を定期的に持ちましょう。それが他人の「うっかり」を未然に防ぎます。
ルールが多すぎると、人は守ることを諦めます。形骸化したルールを捨て、本当に守るべき「コアな数個」に絞り込む勇気が、組織のセキュリティ強度を高めます。
ツールを導入するだけでは不十分です。「ミスは起きる。起きた時にどう助け合うか」という文化が根付いて初めて、組織は真に強靭（レジリエント）になります。
Epilogue
「気をつける」のは今日で終わりにしましょう。
自分を疑い、ツールを活用し、仲間を頼る。
それが、2025年を生き抜く私たちの新しい「リテラシー」です。
ご清聴ありがとうございました。
本日のキーワード：
「確認」は投資、「報告」は貢献。