ルールも研修も効果なし…なぜ社員は「職場で写真撮ってSNS投稿」の誘惑に負けるのか(2/2)

　人は、正しい知識よりも、合図や初期値に沿って動いてしまう。だから鍵は、合図と具体的な反応を結びつけることにあります。「いま自分はどの文脈にいて、何を優先して守るのか」を切り替えさせる──この考え方は道路交通法と道路標識の関係と同じです。覚え込む知識も必要ですが、それを支えるわかりやすいサイン、そして初動の練習で身につけさせるのはありでしょう。

　「職場で撮影通知が来たら、その場では撮らない。撮るなら、撮って良い場所へ移動する」と、最初の一動作を決めるのです。うまくやっている企業では、「撮影許可された場所」を明らかにしています。打ち合わせスペース、カフェスペース、などです。

　そこで何が映り込んでいるか判断を委ねるよりも、そもそも許可された「場所」に行かせます。通知音を鳴らし、スマートフォンを手に取り、撮って良い場所へ移動する。誤投稿に気づいたら、削除して決められた窓口へ報告するところまでリハーサルする。

　ほかにもこの手の演習は応用できるでしょう。サンプル写真から背景の入構証や画面を探し出す「写り込みハンティング」、投稿を指摘されたときの初動と報告を演じる「指摘対応リハーサル」「リスク事案相談スピード対決」など。初動を練習し、経験しておくことが、定着の最初のきっかけになります。講義の反復ではなく、行動の反復。「知っている」を「やってみた」に変えるのです。

　個人の訓練は組織の通常の仕組みと連動して初めて機能します。企業がすべきは、SNSが不都合な習慣を後押ししたのと同じ手を、逆向きに使うことです。この情報は誰に、どこまで流して良いか──その線引きを守る仕事を、個人の判断や内面化だけに委ねるのは現実的ではありません。

　覚えさせるのではなく、業務環境の側に組み込む。研修で1人ひとりの感度を上げると同時に、空間・端末・既定設定という環境にも、安全な流し方を初期値として持たせるのです。

　筆者が監修に関わったMOTEXの『セキュリティ 7つの習慣・20の事例』には、仕事に役立つ情報や人脈を得るためにSNSを使う会社員が登場します。その思いは「誰かとつながれるといいな」「自分の投稿が役に立つといいな」「新しい経験を共有したい」という、ごくありふれた立ち位置です。

　そのような社員に、どんな「習慣」で情報セキュリティを守るべきかまとめてあります。習慣1「誘導や催促を警戒し確認する」／習慣2「投稿の可視範囲を意識する／投稿が誰から見られているか」／習慣5「初期設定を確認する」／習慣7「おかしいと思ったら相談する」といった具合です。企業としてこの習慣を身につけさせるため、どう追い風を吹かせるか考えましょう。

　「何が映り込んでいるかを考える」習慣の追い風として具体的には、防御・対応・回復の3つで考えます。


　「防御」では、執務エリアに撮影禁止のサインを多めに掲げつつ、カフェスペースなど撮って良い場所を用意します。撮影禁止サインはネットで購入できます。禁止もクリアに表示しますが、許可もそうします。「撮影OK」「撮影禁止」など目に見えるわかりやすいサインは、研修で聞いたことをその場で思い出させる合図ですから、目につくほど、多いほうが効果があるでしょう。同僚や上司からも指摘しやすくなります。


　アプリの「初期設定の見直し」も教えるだけでなく実際にやってもらいましょう。これまで個人用デバイスは、写真や位置情報などを手軽に共有できる設定になっていることが少なくありません。

　ですから、業務用のデバイスの場合は、外部への画像共有や位置情報の付与を既定でオフにする必要があります。必要な場面に限り、ONに変更するのです。安全な状態を初期値に置き、逸脱にだけひと手間をかける習慣を定着させていきます。

　万一の有事の「対応」では、単一の相談先を用意します。しかしその相談先を一度も使ったことがなければ、有事の際はもっと使えません。そこで平時に一度、連絡してみる練習をしておくことが必要です。

　実務では、日々リスク情報がありますから、それらの共有とともに、質問することもできるチャットルームの設置がおすすめです。リスクコミュニケーションに慣れてもらうことは大事でしょう。

　最後に「回復」で大切なのは、誤投稿はゼロにできないという前提で設計することです。不注意な投稿が処分や、時に法的な責任につながり得ることは、はっきり伝えておくべきでしょう。報告を受けた担当者の第一声を「知らせてくれてありがとう。まず削除と影響確認を進めよう」と決めておくこと。責任を一切問わないという意味ではありません。

　事態の収拾にまず必要なのは封じ込めですから、処罰への恐怖が報告を遅らせれば、保存や転載が進み、かえって被害が広がってしまいます。事故が少ないことを褒めることも、あるべき行動を告知宣伝することにつながり、成果を感じている企業もあります。

　事業者の研修担当としては、このように起き得る問題の本当の原因を解像度高く理解し、起きている事象やその場にいる人の衝動に寄り添って初動を設計、何かあっても迷わず相談できる窓口を稼働させることは、すぐに試せます。そもそも企業が育てるべきは、リスクゼロの社員ではなく、何か起きても守るための連携動作が取れる、事業理解の高いチームではないでしょうか。

　セキュリティ教育の軸を、「ルールを知らせる」から「習慣をやらせる」へ。次の研修を企画するとき、「何を聞かせるか」からではなく、「危ういことへの初動をどうするか」から──そして、仕組みとして、その良い行動にどんな追い風を吹かせられるかから、設計を始めてみてはいかがでしょうか。