■■「心配」意識は高いのに「セキュリティ」意識が低いわけ

★前編では個々人のセキュリティ意識＝セキュリティ・リテラシーの必要性を強調されていましたが、世界規模で見てその成熟度に違いはあるのでしょうか？

―それは何とも言えないところです。情報化社会が発達した社会であるほど、セキュリティ問題も発生しやすい。問題がすでに表面化している日米韓などでの事例は他国が参照すべき見本とはなり得ますが、対処法はそれぞれの場合と状況に依存するので、汎用性のある方法というのは存在しにくいのです。あえて言えばそもそも米国は国自体が不信に基づいているような部分があるので、サイバー空間でも自分で自分の身を守るリスク意識は高いように見えます。そういう意味では日本は真逆で、社会的規範と信頼に基づいた社会。だからもう少し他人を信用しないしたたかさ、狡さをもってフィルタリングしないと十分ではないかもしれません。日本はセキュリティ意識が個人でも企業でも相対的に低い。しかしそれ以前に「心配性」のレベルはもっとも高いから、情報やファイルをヴァーチャルな場所に保管するという概念自体に馴染まず、そういう意味では実態的には一番安全とも言えます。クラウドコンピューティングが日本で進まなかったのは、いわば入り口の時点でのセキュリティへの敏感さが一因なのかもしれません。

★クラウドが持つ「仮想化」「共有化」といったラベルに対して、日本人が過敏に不安を感じてしまったことが原因でしょうか？　「何だかよくわからない...とりあえず今はやめとこうかな」的な。

そう。既に分かっていてイメージできるリスクに対しては心配するけれど、知らないことに対しての想像力が希薄だから、結果的にセキュリティ意識は低いままなのです。

★...想像力、ですか。では映画や小説の世界に見られるような高度なサイバー攻撃による企業の転覆、例えば金融システムを乗っ取るなんていうことは果たして現実的に起こり得るんでしょうか？

難しいですね。そんな事が起こるか否か、という議論はいつも真二つに分かれるんです。ただ、可能性としてはいつでも起こりうる。現在、大小含めて実際どれくらいの事件が起きているのかまでは把握できないけれど、福島の原発事故を見ても分かるように、セキュリティというものは「最悪」の事態を想定することが重要。何を最悪とするか、どこまで防ごうとするか...そこはもう個別にコンサルティングするしかありません。欧米に比べ、日本はそのネットインフラの規模にも関わらず、セキュリティの国家法をどう実態に則して運用するかやそれについての個人議論が欠けている。ここまでインターネットが普及しているのだから、被害も大きくなる可能性は大いにあるのです。

実は、日本は国内だけで見ればサイバー攻撃への法律体系は十分に強いものを持っています。でも、日本の中でいくら防御策をつくっても、攻撃者は海外にいるわけだから実際にはほとんど意味がない。そうなると国際協調とガバナンスが大事になってくるのはクラウドと一緒。アメリカにはサイバー軍隊があるくらいですしね。しかし一方で国益を考えると情報を開示して国際的に協力していくのはそう簡単ではない。一気に解決はできないわけです。

ただもう一度確認しておきたいことは、サイバー攻撃はいわばツール。政治的思想の争いだったり、金儲けだったり、何らかの悪意を具現化する手段でしかありません。ネット自体の善悪が問われる話ではなく、使う人の気持ち次第なのです。

■■人間関係のグラデーション理解はSNS上でも有効

★前編で「セキュリティに関して最初は素人だった」と仰っていた先生ですが、もしかして個人的にセキュリティが犯されそうになってヒヤッとした経験もおありなのでは？

残念ながらありません（笑）。ふだんコミュニケーションを取っている学生達との世界では、流れてもいいと思える情報しか流さないですし、常に流れた結果も意識しています。悪用されそうなものは最初から載せない。でも、若い時はどこまで情報を開示・発信していいのかという意識があまりないんですよね。大人になればどの人にどの程度話していいか、人間関係のグラデーションをわかってくるんですが。

ソーシャルメディアに公私混同で接してるケースが多いんです。匿名性の低いメディアは、悪用はしにくい反面、悪意のある人にとっては情報の宝庫。情報共有量とリスク度合は比例します。まずはそのことを認識することがスタート。それで日常が変わる。ネットネイティブであるはずの若い人が、何の警戒心もなく個人情報を丸出しにしているケースも多いですが、新しいメディアとの関わり方は試行錯誤が必要でしょうね。最初から全てのリスクをゼロにはできないし、あまりにもガチガチだと誰も参加しないだろうし。試行錯誤して改善しなきゃいけないということを割り切らないと。まずはセキュリティ／リスクに対する理解を深くすることがポイントです。

★リテラシーには個人差というか年代差もあるような気がします。例えばまだ社会経験のない若い人、あるいは周りに教えてくれる人がいないシニア世代の人たち等が、実は側にあるリスクを認識するにはどうしたらいいのでしょうか？

もちろん学校の教育はあてになりません。学校ではソーシャルメディアについて何も教えられないし、社会の中で教え合っていくしかない。それは実社会上でも、Facebook上でもいいんです。リスク認知を共有し対策について議論する、そしてそれをまた他で共有する。SNS上が学校になれば、政府や学校からの指導よりも効果的なはずです。正面から啓蒙しようとしても、影の部分はみんな見たくないから結局広まらない。イザというときに、あるいは思い立ったときに簡単に理解を深められる道を示しておくことがますます大事になるでしょうね。そういう意味でもこの「情報セキュリティブログ」のような取り組みは貴重だと思います。ただ、「セキュリティ」という言葉にはどうしても難しい専門的なイメージがついて回ってしまいますよね。何か新しい言葉を考えてみるのもいいんじゃないでしょうか（笑）。

★そもそも「セキュリティ」という言葉の敷居が高い、と。なるほど。検討してみたいと思います。本日はどうもありがとうございました。

サービス提供以前は、NTTドコモが取り扱うスマートフォンでは、インターネット接続にはmopera Uの契約が必要で、メールはGmailなどのiモードメール以外のサービスを使用する必要があった。このため、同社のスマートフォンユーザーはiモードメール(ドメインがdocomo.ne.jpのメールアドレス)やiモード絵文字、デコメールなどが利用できなかった。

こうした状況下で、急速に高まるスマートフォンの需要の高まりに応えるべくspモードが提供開始となった。spモードを利用すると、ユーザーは、iモードメールや、iモード絵文字、デコメールなどを利用することができる。また、アンドロイドマーケットやドコモマーケット等で購入したアプリやコンテンツのキャリア課金(携帯電話料金と併せて支払うこと)も可能となる。

・spモード(NTTドコモ)

大学准教授にしてTVキャスター、さらには各種政府委員会の民間委員を歴任するなど、その活躍フィールドの多様さが半端ではないジョン・キム氏。甘くセクシーな外見や所作とは裏腹に、個人のセキュリティ・リスクに対するアツい使命感が、先生の精力的な活動を後押ししています。

ジョン・キム

慶應義塾大学大学院 政策・メディア研究科准教授

ハーバード大学法科大学院 客員教授

1973年韓国生まれ。日本の中央大学に国費留学。米国インディアナ大学博士課程修了（マス・コミュニケーション）。英国オックスフォード大学上席研究員、米国インディアナ大学講師、ドイツ連邦国防大学上席研究員、日本知的財産研究所招聘研究員、欧州連合標準化戦略専門委員。2004年から慶應義塾大学デジタルメディア・コンテンツ総合研究機構准教授。フジテレビ「ＢＳプライムニュース」ブレインキャスター。内閣官房、経済産業省、総務省、文化庁等の民間委員を歴任。韓国Naver社諮問委員。情報通信学会理事、コンテンツ学会事務局長。著作「ジョン・キムのハーバード講義　逆パノプティコン社会の到来」ディスカバー・トゥエンティワン 2011

■■コスト／ベネフィットだけでなくコスト／リスクの意識も

★セキュリティへの関心をもったきっかけは何だったのでしょう？

―IT政策のプロジェクトをやっている中で、今まで中心となる議題は著作権とかの問題が多かったのですが、最近はそのテーマがクラウドに変わってきている。クラウドで発生する政策問題はあらゆるインターネット関連の政策につながっています。プライバシー、データ保護、法律、政府など。そんな、クラウドを前提とした新しいネット社会の中での一番の問題がセキュリティ問題だったのです。情報が共有された社会の中にプライバシーはあるのか？...という共有とプライバシーの攻防をずっと見てきました。その中で最も注目されたのが、思想的な（商業的ではない）アノニマス。彼らのサイバー攻撃事件から社会的にも非常に感心が高まりました。幸か不幸か、日本にはアノニマスが活躍するような風土はありませんでしたが。

今、サイバー攻撃についての本を書いているのですが、それを読んだ方々が個人として、企業として、国としてどう対処すべきかを考えるきっかけにしなければならないという使命感が大きいです。自分自身、セキュリティに関して最初は素人でしたから、素人にとって何が分かりにくく、何が知りたいかも認識しているつもりです。

★世界各国の大学に赴任された経歴を持ち、現在も世界を舞台に活躍されている先生から見て、日本人が持つセキュリティの概念とグローバルにおける認識にはどんな違いがあるとお感じでしょうか？

―サイバー上の攻撃には国境はありません。悪意を持った人はどこからでもグローバルに集まってくる。
今まで日本は、ある種社会の規範の中で守られるような感覚があったかもしれませんが、そういう環境ではなくなってしまっていることに危機感を持たなきゃいけない。遠い場所から物を盗み、それが産業として成り立ってしまっているのを認識することが必要です。難しいですけどね。自分がターゲットになり得る自覚と、攻撃された結果へのイマジネーションと緊張感をもつのが大事です。

★仰る通り、まだ実際に危険にさらされたことのない個人が、実感として被害を受けるイメージを持つのはなかなか難しいような気もします。

―それは「運転」と一緒かもしれませんね。自らの合理的判断でリスクを許容している。ギリギリで信号を抜ける、とか（笑）。個人ユーザーの危機感が低い、あっても実践が伴わないのは、それが彼らにとって合理的な判断だからかもしれません。個人情報を発信する代わりに大きな対価がもらえるよう、企業はビジネスモデルを組んでインセンティブを促しています。カードで買えば現金決済より安く買えるとか。でも、そんなコスト（個人情報提供） ／ ベネフィット（安価）の計算はできても、コスト（個人情報提供） ／ リスク（個人情報流出）の計算に対しての認識が甘い。もう少し慎重にリスクのことも考えるべきだと思いますね。

別にリスクの計算ができなくても、日常的な心がけはできます。怪しい人からの添付ファイルは開かないとか、よく分からないことへの緊張感を持つ。パスワードを複雑にする。クレジットカードの請求書をよく読む。それらによって、防御できることは多いし、起きたことへも対処しやすくなります。逆にそういう意識が希薄で無防備な人には、攻撃がすんなりと力を発揮してしまう。

■■グレーゾーンでの問題にはまず民間での自主解決を

★まずは簡単なことから、と。なるほど。しかし、個人の認識はまだそのレベルにも行っていないような気もします。今後意識を高めていくために、情報セキュリティに関して啓蒙したり、ルールを決めたりといった取り組みは可能でしょうか？

―まずは教育です。ITリテラシー、情報リテラシーといった、起こり得るリスクを認識させること。そしてそれを受けた若い世代＝デジタルネイティブが、身近な年配者に教えてあげたり、周りの人とシェアしたり。そういった動きが社会全体のリスク低下につながるはずです。年配者自らが、新たに学習していくのは現実的には難しいですからね。

ただ、問題の多くは明らかな違法ではないグレーゾーンで発生しますから、そこに行政が介入しすぎると社会活動・経済活動が歪められてしまう。リスクが高まったからといって安易にガイドラインばかり出すようなことは避けたほうがいいと思います。民間での自主解決を尊重し、それが不可能だったら行政が介入してバックアップするという共同規制的なやり方が理想ですし。それは民間や個人ユーザーの権利でも義務でもあるでしょう。

★確かに本来は自律的であるはずのネット社会を、政府・行政の側が管理するのは違和感があります。

セキュリティの意識は個人ユーザーが持つリテラシーの中核です。全ての情報を鵜呑みにしては危険、というメディアリテラシーと一緒。サイバー攻撃という最悪のパターンも念頭に、そこへの最低限の認識は絶対に必要です。そのことを呼びかけ、教える側の人材や問題もまだまだ山積していますが、これから社会全体で取り組まなきゃいけないことは確かでしょうね。

日本人とセキュリティ・リテラシー ～キム准教授の分析（後編に続く）

今後も「楽しく」「わかりやすく」情報セキュリティを伝えていくことをモットーに、編集部一同邁進していきます。様々なキャンペーンも実施予定ですのでご期待ください。

本年もどうぞよろしくお願い申し上げます。