本ユニットでは、不正行為が成立する3要素を示す『不正のトライアングル(機会・動機・正当化)』と、人や組織の側にひそむ弱点である人的脆弱性・シャドーITを学ぶ。技術的な弱点だけでなく、人の心理や管理の隙が攻撃や内部不正の入口になる点を理解する単元で、ITパスポートでも繰り返し問われる頻出テーマである。
機会・動機・正当化の3要素がそろうと不正行為が起こるとする理論。
不正のトライアングルは、人が不正行為を働く背景には『機会』『動機』『正当化』という3つの要素があり、これらがそろったときに不正が発生しやすいとする考え方です。米国の犯罪学者クレッシーが提唱した理論で、特に組織内部の不正(内部不正)を分析する枠組みとして使われます。 試験では、不正のトライアングルを構成する3要素が『機会・動機・正当化』である点が問われます。逆にいえば、どれか1つでも取り除けば不正は起こりにくくなるため、対策の基本は『機会をなくす(アクセス制限や監視)』ことだと押さえましょう。技術的脆弱性とは異なり、人の心理面に着目した枠組みである点も特徴です。
たとえ火事が起きるには『燃えるもの』『火種』『酸素』の3つが必要なのと同じで、不正も機会・動機・正当化の3つがそろって初めて燃え上がる。1つ欠けば火は起きない。
記憶フック不正のトライアングルといえば機会・動機・正当化の3要素
不正を実行できてしまう環境や状況。トライアングルの第1要素。
『機会』とは、不正をしようと思えばできてしまう環境や状況のことです。例えば、一人だけが現金や重要データを扱える、アクセス権限が必要以上に広い、操作の記録(ログ)が残らない、といった『見つからずにやれそう』な隙が機会にあたります。 試験では、3要素のうち機会が『不正を実行できる環境・隙』を指す点が問われます。重要なのは、機会は組織側の管理で減らせるという点です。職務分掌(担当を分ける)、アクセス制御、監視やログの取得などで機会を奪うことが、不正対策として最も実効性が高いとされます。
たとえ鍵の開いた金庫を一人で見張る状況のようなもの。盗む気がなくても『今なら誰も見ていない』という隙があると、つい魔が差してしまう。
記憶フック機会といえば不正を実行できてしまう環境・隙
不正に走る理由となる事情やプレッシャー。トライアングルの第2要素。
『動機』とは、不正行為に駆り立てる理由やプレッシャーのことです。借金や金銭的困窮、過大なノルマ、待遇への不満、地位への執着など、『どうしてもやらざるを得ない、やりたい』と思わせる事情が動機にあたります。 試験では、3要素のうち動機が『不正に向かわせる理由・プレッシャー』を指す点が問われます。動機は個人の事情に根ざすため組織側からは取り除きにくいですが、相談しやすい職場環境づくりや適正な評価・処遇によって、ある程度は緩和できると理解しておくとよいでしょう。
たとえダイエット中に『どうしても甘いものが欲しい』という強い欲求のようなもの。その気持ち(動機)があるからこそ、隙(機会)を見て手を伸ばしてしまう。
記憶フック動機といえば不正に走る理由・プレッシャー
不正を自分の中で『仕方ない』と都合よく理由づけること。第3要素。
『正当化』とは、不正行為を自分自身で『これは仕方がない』『自分は悪くない』と都合よく理由づけて、罪悪感を打ち消す心理のことです。『給料が安いのだから当然の報酬だ』『一時的に借りるだけで後で返す』といった自己正当化が典型例です。 試験では、3要素のうち正当化が『不正を自分の中で正当だと理由づける心理』を指す点が問われます。機会(環境)や動機(事情)と違い、正当化は本人の意識の問題です。倫理教育や行動規範の明確化、不正は許さないという組織風土の徹底によって、この『言い訳』を許さないことが対策になります。
たとえダイエット中に『今日は頑張ったから一個くらいいいよね』と自分に言い聞かせるのと同じ。この言い訳(正当化)がそろって初めて、人は最後の一線を越えてしまう。
記憶フック正当化といえば不正を自分の中で都合よく理由づけ
人の不注意・知識不足・心理など、人に起因する弱点のこと。
人的脆弱性とは、機器やソフトウェアではなく『人』の側にある弱点のことです。うっかりミス(誤送信・紛失)、セキュリティ知識の不足、パスワードの使い回し、だまされやすさ(ソーシャルエンジニアリングへの弱さ)などが含まれ、これらが情報漏えいや不正侵入の入口になります。 試験では、人的脆弱性が『人に起因する弱点』であり、プログラムの不具合などの技術的脆弱性(u04)とは区別される点が問われます。対策は技術だけでは不十分で、セキュリティ教育・訓練の実施、ルールの周知徹底、操作ミスを防ぐ仕組みづくりといった人・組織への働きかけが中心になる点を押さえましょう。
たとえ頑丈な鍵をつけた家でも、住人が鍵を玄関マットの下に隠したり知らない人を簡単に入れたりすれば意味がないのと同じ。建物(技術)ではなく人の油断が穴になる。
記憶フック人的脆弱性といえば人の不注意・知識不足が弱点
企業の許可・管理を受けずに従業員が業務利用するIT機器やサービス。
シャドーIT(Shadow IT)とは、情報システム部門の許可や管理を受けないまま、従業員が業務で勝手に使う機器・ソフト・クラウドサービスのことです。私物のスマホやUSBメモリ、無料のオンラインストレージやチャットツールを業務に使う行為が典型例です。 試験では、シャドーITが『組織の管理外で使われるIT』であり、組織的(人的)な脆弱性の具体例である点が問われます。便利な反面、会社が把握・管理できないためウイルス感染や情報漏えいのリスクが高まります。対策としては、利用ルールの明確化と周知、必要なツールの正規提供、利用状況の把握などが挙げられます。
たとえ会社の備品ではなく、社員が勝手に持ち込んだ私物の道具を仕事で使うようなもの。便利でも、誰が何を使っているか会社が把握できず、事故の元になる。
記憶フックシャドーITといえば管理外で勝手に使うIT機器・サービス
関連の過去問演習は今後のアップデートで追加予定です。