安心ネットづくり促進協議会 2017/2/27

インターネットセキュリティ行動を促進、抑制する要因
人はなぜセキュリティをしないのか？

越智啓太
法政大学文学部

問題


情報セキュリティ事件・事故のほとんどは比較的単純な手口で行われている。

人間が最大のセキュリティホールである。
 企業や政府などへの標的攻撃などは最弱のメンバーが組織全体のセキュリティの程度を規定する。
問題




組織の成員が、単純なセキュリティ対策をすれば防げたケースが少なくない。
なぜ、セキュリティ対策をしないのか、セキュリティ対策に無頓着なのか？

問題




多くの組織が、「セキュリティ教育」の強化によって、セキュリティ強化を行おうとする。
しかし、セキュリティ教育を強化すれば、人はセキュリティ行動をちゃんととるようになるのか？

問題






そうではないかも・・・
坂本倫子・喜入暁・越智啓太 2015 セキュリティ
教育はセキュリティ対策行動を促進しない 日本心理学会第79回大会(名古屋大学）

セキュリティ教育歴とセキュリティ行動に相関がほとんど認められない問題


そこで本研究では、人がセキュリティ行動をとることを促進したり、抑制したりする要因について、より詳細に調査してみたいと思う。

考えられる諸仮説

なぜセキュリティしないのか？
コストが割高だから？
やってもやらなくてもかわらないから？
どうせ被害には遭わないと思っているから？
みんなやっていないから？
何をすれば良いのかわからないから？
不安感がないから？
適当な性格だから？・・・・・・

考えられる諸仮説

なぜセキュリティしないのか？
コストが割高だから？
やってもやらなくてもかわらないから？
どうせ被害には遭わないと思っているから？
これらの諸仮説がどの程度当てみんなやっていないから？
はまるのか、またどの程度セキュリティに影響しているのかを一気何をすれば良いのかわからないから？に明らかにする。
不安感がないから？
適当な性格だから？・・・・・・

調査
調査参加者：18歳以上の男女1500名、男性750名、女性750名、
 年齢層10代、20代、30代、40代、50代以上の5つのカテゴリーでそれぞれ300名ずつ。
 平均年齢36.83歳（標準偏差 15.14）
男性 36.94歳(標準偏差15.30)
女性 36.71歳(標準偏差14.98）。
研究方法
従属変数を明確化する
 独立変数を明確化する

独立変数→（影響する諸要因）

従属変数（セキュリティ行動）

研究方法
従属変数を明確化する
 独立変数を明確化する


独立変数
→
（影響する諸要因）

従属変数（セキュリティ行動）

セキュリティ行動とは・・

セキュリティに関する入門的な書籍から、セキュリティに関する項目を網羅的に抜き出した（43項目）。

セキュリティ行動尺度の作成

リスク行動（２０項目）
・サイト閲覧・ダウンロード系
・パスワード公共系
・パスワード管理系
・フリーワイファイ系
・個人情報系

セキュリティ強化行動（7項目）

セキュリティリスク行動尺度（抜粋）

１，怪しいアプリ(プログラム）をダウンロードしたことがある
２，他人の目の前でパスワードを入力することがある
３，パスワードを人に教えたことがある
４，パスワードをノートやメモに書いている
５，複数のアカウントで同一のIDを使用している
６，フリーWi-Fiを使用するときは暗号化を確認する（逆転）７，SNSなどでは公開範囲を限定している（逆転）・・・・・

Fig 1. セキュリティリスク行動尺度得点の分布

セキュリティ強化尺度

１，パスワードは頻繁に変更している

２，プログラムやアプリのバージョンアップはまめに行う
３，添付ファイルを開くときはセキュリティソフトでチェックをする
４，自分のパソコンはセキュリティソフトで定期的なチェックをしている
５，セキュリティソフトをまめにアップデートする
６，添付ファイルを送るときはパスワードでロックする
７，パスワードを入力するときは後ろに人がいないかを確認する

Fig ２. セキュリティ強化行動尺度得点の分布

全くセキュリティを行っていない人々

Fig ２. セキュリティ強化行動尺度得点の分布

研究方法
従属変数を明確化する
 独立変数を明確化する


独立変数
→
（影響する諸要因）

従属変数（セキュリティ行動）

独立変数


従来のセキュリティ関連の研究、記事などからセキュリティ行動の促進や抑制と関連していると思われる要因をやはり網羅的にあつめて、それを心理尺度化する。
→セキュリティ態度・認知尺度

セキュリティ認知・態度尺度


セキュリティのコスト感尺度
セキュリティリスクに対する軽視尺度
セキュリティリスクに関する社会認識尺度
セキュリティの実行者割合についての認知尺度
セキュリティ被害確率の認知尺度
セキュリティリスク対処能力の自己認知尺度
コンピューターに関する自己効力感尺度
セキュリティ対策の効果性認知尺度
セキュリティ不安に関する尺度
セキュリティ教育に関する尺度
セキュリティ被害経験についての尺度

セキュリティのコスト感尺度
１，パスワードをこまめに変えるのは面倒だ。

２，セキュリティ対策をやるのはなにかと負担が大きい。
３，セキュリティ対策は必要であるが、コストを考えると気が乗らない。
４，セキュリティ対策にお金をかけるのはもったいない。
５，コンピューターセキュリティについての勉強をするのは面倒だ。
６，コンピューターのセキュリティ対策に時間を使うのはもったいない
７，セキュリティ対策を行うことは大変である。
８，セキュリティソフトの購入や設定が面倒くさい
９，たくさんのパスワードを管理するのは面倒だセキュリティの社会認識尺度
１，コンピューターセキュリティの問題は社会的に深刻な問題である
２，コンピューターセキュリティ関連の被害に遭っている人は数多いだろう
３，インターネット上の治安は悪く恐ろしい
４，世の中ではたくさんのインターネット犯罪が発生している
５，企業や個人の重要な情報が盗まれる事件が世界中で頻発している。

研究方法
独立変数と従属変数の関係をさぐる
重回帰分析を使用する

独立変数→（影響する諸要因）

従属変数（セキュリティ行動）

セキュリティリスク行動規定因の分析
セキュリティリスク尺度に影響する要因について重回帰分析を行った。
 ステップワイズ法
セキュリティリスク行動規定因の分析
セキュリティ態度・認知要因

β

知識-0.161

被害経験

0.273

社会認識-0.234

コスト

0.251

セキュリティ軽視

0.119

周囲熱心

-0.128セキュリティリスク行動規定因の分析
セキュリティ態度・認知要因

β

知識-0.161

被害経験

0.273

社会認識-0.234

コスト

0.251

被害経験→リスク行動でなくセキュリティ軽視

0.119

周囲熱心
リスク行動→被害経験-0.128セキュリティリスク行動規定因の分析
セキュリティ態度・認知要因

β

知識-0.161

被害経験

0.273

社会認識

-0.234コスト

0.251

セキュリティ軽視

0.119

周囲熱心

-0.128

結果

セキュリティリスク行動を行うのは、

１）セキュリティリスクの社会的な深刻さを感じていない（あるいは知らない）人
２）セキュリティはコストが高く面倒で割高だと考えている人
３）まわりがセキュリティに熱心でない人

結果

セキュリティ教育歴やコンピューターに関する自分の対処能力、効力感、被害可能性認知、セキュリティがどのくらい効果があるのかについての認知、はそれほど関連していない。

セキュリティ強化行動規定因の分析
セキュリティ強化尺度に影響する要因について重回帰分析を行った。
 ステップワイズ法セキュリティ強化行動規定因の分析
セキュリティ態度・認知要因

β

知識０．３５６

社会認識

０．１５８

コスト

－０．２０５

周囲熱心

０．１０２

結果


セキュリティ強化行動を行うのは、

１）ともかくコンピューターについての知識を多く持っている人
２）セキュリティリスクの社会的な深刻さを感じている人
３）セキュリティコストを割高だと感じていない人
４）まわりがセキュリティに熱心な人

結果

セキュリティ教育歴やコンピューターに関する自分の対処能力、効力感、被害可能性認知、セキュリティがどのくらい効果があるのかについての認知、はそれほど関連していない。

考察

セキュリティリスクを減少させ、セキュリティ強化を増加させる方法

１）セキュリティ問題が社会的な脅威であることを認識させる。
→新聞報道などが少ない（殺人などについてのほうに脅威を感じている可能性有り）→まわりに深刻な被害者がいない

考察
セキュリティリスクを減少させ、セキュリティ強化を増加させる方法

２）コスト感、割高感を減少させる→セキュリティにかかる時間や手間をできるだけ減少させる（エンジニアリングの問題が大きいかも）考察

セキュリティリスクを減少させ、セキュリティ強化を増加させる方法

３）個人でなく、親密集団全体としてのセキュリティレベルを向上させる→セキュリティレベルが自分の周囲の集団のレベルにあわせられる。

セキュリティレベル基準


自分がどの程度のセキュリティをするのかはまわりのセキュリティレベルを基準にして、それにあわせる。

考察
単なるセキュリティ教育機会の提供だ
けでは、あまり効果がない可能性がある。
 おそらく、従来の方法では、社会的な脅威を実感できない人が多い。
考察
従来の防犯研究で示されてきた内容とだいたい一致する。
 人は、泥棒が実際に家のまわりに現れない限り、防犯にお金をかけたり（コスト）真剣に防犯しようとはしない。
 防犯レベルはまわりの家とそろえてとりあえず安心しておく。
HRHSの人の特徴

男性比率高い（６３％）、外向性高い、子どもがいない
リスク行動

HRLS

HRHS
セキュリティ行動

LRLS

LRHS

LRLSの人の特徴

女性比率高い（６５％）、内向的で神経質傾向高い
リスク行動

HRLS

HRHS
セキュリティ行動

LRLS

LRHS

LRHSの人の特徴


年齢層が高い（ここだけ平均４０代）、既婚者が多い、協調性、勤勉性が高く、神経質傾向低い、IT系勤務者多い（IT関係の４３％がここ）
リスク行動

HRLS

HRHS
セキュリティ行動

LRLS

LRHS

HRLSの人の特徴が見えない
リスク行動

HRLS

HRHS
セキュリティ行動

LRLS

LRHS

考察

セキュリティパターンと性格や年齢の間にある程度の関係がある。
 しかし、もっとも必要なハイリスク、ローセキュリティの人物像がはっきりしない。
性別・年齢とセキュリティ行動

年齢や性別とリスクテーキング行動、セキュリ
ティ行動に何かパターンはあるのか？

男性
←リス
ク行
動女性

Fig ３. 年齢層と性別ごとのリスク行動

←セキュ
リティ
行動

男性

女性

Fig ４. 年齢層と性別ごとのセキュリティ行動

標準化リスク行動得点ー標準化セキュリティ得点

←
危険性女性

男性

Fig ５. 年齢層ごとの情報セキュリティ危険率考察

一般に男性は、ハイリスク、ハイセキュリティの傾向がある。
 年齢が高くなるに従って、リスク行動は減少し，セキュリティ行動は増加する。
 総合的な安全性は年齢の影響はあるが、性差はそれほど大きくない。
まとめ
セキュリティ行動を規定する要因について調査した。
 セキュリティ行動測定尺度、セキュリティに対する認知・態度尺度を構成して分析を行った。
 今回構成した尺度はさまざまな研究でセキュリティ行動分析に使用することができるであろう。
