「危ないのは他人事」が招く、政府職員のセキュリティ対策の甘さ

『他人事感』って、心理学の用語では何ていうの？自分と他人を比べて自分の方が安全だと思い込む、あれ？

この現象、心理学では「比較的楽観主義」や「正常性バイアス」と呼ばれることが多いんです。ただ記事の文脈では、より正確には「第三者効果」という概念が近いかもしれません。 第三者効果は、メディアや情報、リスクが「他人には影響を与えるが、自分には影響しない」と思い込む傾向のこと。もともとは広告や世論操作の研究で注目されていた概念ですが、セキュリティのような行動変容が必要な場面でも同じ構造が起きているわけです。 記事が指摘している「自分よりも他人の方が危険」という認識の非対称性も、この第三者効果の典型パターンです。興味深いのは、単なる楽観主義ではなく、「危険は存在する、でも自分には関係ない」という、ある種の合理化を伴っている点。だから教育を受けても行動が変わらないんですね。 実務的には、セキュリティ対策をするとき「あなたは狙われる」という直接的な脅迫よりも、「あなたの部門のデータが流出したら」というシナリオ提示の方が、当事者意識を呼び起こしやすい可能性があります。心理用語より、こうした運用側の工夫の方が重要かもしれません。

職場でセキュリティ教育を受けてる側からすると、この『他人事』感は自分にも当てはまってる可能性があるってことなの？

その可能性は高いと言えそうです。むしろセキュリティ教育を受けているほど、逆説的に「他人事」に陥りやすいのかもしれません。 教育を受けたからこそ「注意すべき点を自分は知っている」という自信が生まれます。すると、同じ教育を受けていない人や、教育を忘れてしまった人の方が危ないと感じるようになる。この落差が「自分は大丈夫」という根拠のない安心を作ってしまう。実際には、知識があるだけで実行できる人と、知っていても実行し忘れる人の間には大きな隔たりがあるのに。 特に政府職員のような「セキュリティが必須の現場」では、この心理が危ないんですよね。組織全体が「教育を受けた」という共通体験を持つと、かえって個々人が「自分たちは対策できている」と過信しやすくなる。その隙をついて、実際の攻撃は来るわけです。 自分にも当てはまる可能性をあらかじめ疑っておく。そのぐらいの警戒心が、実は最も堅固な防線になるのかもしれません。

ベトナムの政府機関でこういう傾向が見つかったのは、その国の組織文化に特有の問題なの、それともどこの国でも同じ？

人間心理の普遍的な部分と、文化的背景が絡まってるんだと思います。 「自分は大丈夫」という根拠のない自信は、心理学の古くからある現象で、どの国の組織でも見られるもの。ただ、ベトナムの政府機関で調査したのは、おそらくその傾向が特に顕著だったから、という可能性はありそうです。 組織階層の厳しさとか、上司への報告文化の形式性とか、そういった背景があると「他人事」感がより強化されるかもしれません。欧米の企業文化では、リスク報告が奨励されたり、心理的安全性が重視されたりすることがある。一方、階層や規律が強調される組織では、「自分の不注意を認める」こと自体が避けられるのかもしれない。その結果、心理的な防御として「自分は大丈夫」と思い込みやすくなる。 つまり、セキュリティ意識の甘さという点では万国共通でも、その理由は国ごと、組織ごとの文化と切り離せないのかもしれません。

これって『セキュリティ』に限らず、『自分は大丈夫』という過信が、組織全体のリスク管理を骨抜きにしちゃう、よくあるパターンってことなんだっけ？

そうですね。この研究が面白いのは、セキュリティという限られたテーマではなく、組織のリスク管理全体に効く本質的な問題を浮き彫りにしていることです。 「自分は大丈夫」という過信が組織を弱くする構造は、いろんな場面で起きています。例えば医療現場でのヒューマンエラー。ベテラン看護師ほど「自分は手順を間違えない」と思い込んで、チェックリストを飛ばしがちになる。製造業でも、安全衛生ルールを「自分には関係ない」と軽視する人が増えると、集団全体の事故リスクが跳ね上がる。 ここで重要なのは、危機感が強い人ほど安全だとは限らないということ。むしろ「自分は狙われない」と思っている人が、無自覚に穴を開けているから、組織全体が弱くなるんです。つまり個人の意識の甘さが、集団防御を無効化する。 逆に言えば、セキュリティ教育の内容よりも、「当事者意識をどう作るか」という心理的な仕掛けの方が、実装されたときの効き目が大きいということになりそうです。

逆に、セキュリティ対策がしっかり機能してる組織って、職員が『自分も狙われる可能性がある』って実感できるような仕組みを、わざわざ作ってるんじゃないの？

その通り。セキュリティが機能してる組織は、当事者意識を「自然発生的に」待つのではなく、意図的に醸成してるんですよね。 具体的には、訓練用の疑似攻撃メールを本物そっくりに送ったり、セキュリティインシデントのシミュレーション演習を定期的に実施したり、実際に引っかかった事例を社内で共有する。つまり、「あ、自分も簡単に引っかかるんだ」という小さな失敗体験を、安全な環境の中で何度も繰り返させている。 研究が示してるのは、危機感の強さや教育の量ではなく「自分事化の度合い」が行動を決めるということです。だからこそ、組織として「自分は大丈夫」という根拠のない自信を、早めに打ち砕いておく方が効率的なわけです。 興味深いのは、この仕組みが整ってる組織ほど、逆説的に「セキュリティ対策は面倒だけどやるしかない」という諦観のような覚悟が職員に生まれてる点。焦燥感ではなく、習慣として組み込まれていく感覚なのかもしれません。