TED日本語 - ブルース・シュナイアー: セキュリティの幻想

TED日本語

TED Talks(英語 日本語字幕付き動画)

TED日本語 - ブルース・シュナイアー: セキュリティの幻想

TED Talks

セキュリティの幻想
The security mirage
ブルース・シュナイアー
Bruce Schneier

内容

コンピューターセキュリティの専門家ブルース・シュナイアーは、安全だと感じることと実際に安全であることは必ずしも一致しないと言います。TEDxPSU(ペンシルバニア州立大)において、各地の飛行場で繰り広げられている「セキュリティシアター」のような新聞ネタの対処に大金を費やすのに、より起こり得るリスクは無視するのはなぜか、そしてそのパターンをどうすれば破れるのかを説明します。

Script

So security is two different things: it's a feeling, and it's a reality. And they're different. You could feel secure even if you're not. And you can be secure even if you don't feel it. Really, we have two separate concepts mapped onto the same word. And what I want to do in this talk is to split them apart -- figuring out when they diverge and how they converge. And language is actually a problem here. There aren't a lot of good words for the concepts we're going to talk about.

So if you look at security from economic terms, it's a trade-off. Every time you get some security, you're always trading off something. Whether this is a personal decision -- whether you're going to install a burglar alarm in your home -- or a national decision -- where you're going to invade some foreign country -- you're going to trade off something, either money or time, convenience, capabilities, maybe fundamental liberties. And the question to ask when you look at a security anything is not whether this makes us safer, but whether it's worth the trade-off. You've heard in the past several years, the world is safer because Saddam Hussein is not in power. That might be true, but it's not terribly relevant. The question is, was it worth it? And you can make your own decision, and then you'll decide whether the invasion was worth it. That's how you think about security -- in terms of the trade-off.

Now there's often no right or wrong here. Some of us have a burglar alarm system at home, and some of us don't. And it'll depend on where we live, whether we live alone or have a family, how much cool stuff we have, how much we're willing to accept the risk of theft. In politics also, there are different opinions. A lot of times, these trade-offs are about more than just security, and I think that's really important. Now people have a natural intuition about these trade-offs. We make them every day -- last night in my hotel room, when I decided to double-lock the door, or you in your car when you drove here, when we go eat lunch and decide the food's not poison and we'll eat it. We make these trade-offs again and again, multiple times a day. We often won't even notice them. They're just part of being alive; we all do it.

Every species does it. Imagine a rabbit in a field, eating grass, and the rabbit's going to see a fox. That rabbit will make a security trade-off: "Should I stay, or should I flee?" And if you think about it, the rabbits that are good at making that trade-off will tend to live and reproduce, and the rabbits that are bad at it will get eaten or starve. So you'd think that us, as a successful species on the planet -- you, me, everybody -- would be really good at making these trade-offs. Yet it seems, again and again, that we're hopelessly bad at it. And I think that's a fundamentally interesting question.

I'll give you the short answer. The answer is, we respond to the feeling of security and not the reality. Now most of the time, that works. Most of the time, feeling and reality are the same. Certainly that's true for most of human prehistory. We've developed this ability because it makes evolutionary sense. One way to think of it is that we're highly optimized for risk decisions that are endemic to living in small family groups in the East African highlands in 100,000 B.C. 2010 New York, not so much.

Now there are several biases in risk perception. A lot of good experiments in this. And you can see certain biases that come up again and again. So I'll give you four. We tend to exaggerate spectacular and rare risks and downplay common risks -- so flying versus driving. The unknown is perceived to be riskier than the familiar. One example would be, people fear kidnapping by strangers when the data supports kidnapping by relatives is much more common. This is for children. Third, personified risks are perceived to be greater than anonymous risks -- so Bin Laden is scarier because he has a name. And the fourth is people underestimate risks in situations they do control and overestimate them in situations they don't control. So once you take up skydiving or smoking, you downplay the risks. If a risk is thrust upon you -- terrorism was a good example -- you'll overplay it because you don't feel like it's in your control.

There are a bunch of other of these biases, these cognitive biases, that affect our risk decisions. There's the availability heuristic, which basically means we estimate the probability of something by how easy it is to bring instances of it to mind. So you can imagine how that works. If you hear a lot about tiger attacks, there must be a lot of tigers around. You don't hear about lion attacks, there aren't a lot of lions around. This works until you invent newspapers. Because what newspapers do is they repeat again and again rare risks. I tell people, if it's in the news, don't worry about it. Because by definition, news is something that almost never happens. (Laughter) When something is so common, it's no longer news -- car crashes, domestic violence -- those are the risks you worry about.

We're also a species of storytellers. We respond to stories more than data. And there's some basic innumeracy going on. I mean, the joke "One,Two,Three, Many" is kind of right. We're really good at small numbers. One mango,two mangoes,three mangoes,10,000 mangoes,100,000 mangoes -- it's still more mangoes you can eat before they rot. So one half,one quarter,one fifth -- we're good at that. One in a million,one in a billion -- they're both almost never. So we have trouble with the risks that aren't very common.

And what these cognitive biases do is they act as filters between us and reality. And the result is that feeling and reality get out of whack, they get different. Now you either have a feeling -- you feel more secure than you are. There's a false sense of security. Or the other way, and that's a false sense of insecurity. I write a lot about "security theater," which are products that make people feel secure, but don't actually do anything. There's no real word for stuff that makes us secure, but doesn't make us feel secure. Maybe it's what the CIA's supposed to do for us.

So back to economics. If economics, if the market, drives security, and if people make trade-offs based on the feeling of security, then the smart thing for companies to do for the economic incentives are to make people feel secure. And there are two ways to do this. One, you can make people actually secure and hope they notice. Or two, you can make people just feel secure and hope they don't notice. So what makes people notice? Well a couple of things: understanding of the security, of the risks, the threats, the countermeasures, how they work. But if you know stuff, you're more likely to have your feelings match reality. Enough real world examples helps.

Now we all know the crime rate in our neighborhood, because we live there, and we get a feeling about it that basically matches reality. Security theater's exposed when it's obvious that it's not working properly. Okay, so what makes people not notice? Well, a poor understanding. If you don't understand the risks, you don't understand the costs, you're likely to get the trade-off wrong, and your feeling doesn't match reality. Not enough examples. There's an inherent problem with low probability events. If, for example, terrorism almost never happens, it's really hard to judge the efficacy of counter-terrorist measures. This is why you keep sacrificing virgins, and why your unicorn defenses are working just great. There aren't enough examples of failures. Also, feelings that are clouding the issues -- the cognitive biases I talked about earlier, fears, folk beliefs, basically an inadequate model of reality.

So let me complicate things. I have feeling and reality. I want to add a third element. I want to add model. Feeling and model in our head, reality is the outside world. It doesn't change; it's real. So feeling is based on our intuition. Model is based on reason. That's basically the difference. In a primitive and simple world, there's really no reason for a model because feeling is close to reality. You don't need a model. But in a modern and complex world, you need models to understand a lot of the risks we face. There's no feeling about germs. You need a model to understand them. So this model is an intelligent representation of reality. It's, of course, limited by science, by technology. We couldn't have a germ theory of disease before we invented the microscope to see them. It's limited by our cognitive biases. But it has the ability to override our feelings.

Where do we get these models? We get them from others. We get them from religion, from culture, teachers, elders. A couple years ago, I was in South Africa on safari. The tracker I was with grew up in Kruger National Park. He had some very complex models of how to survive. And it depended on if you were attacked by a lion or a leopard or a rhino or an elephant -- and when you had to run away, and when you couldn't run away, and when you had to climb a tree -- when you could never climb a tree. I would have died in a day, but he was born there, and he understood how to survive. I was born in New York City. I could have taken him to New York, and he would have died in a day. (Laughter) Because we had different models based on our different experiences.

Models can come from the media, from our elected officials. Think of models of terrorism, child kidnapping, airline safety, car safety. Models can come from industry. The two I'm following are surveillance cameras, ID cards, quite a lot of our computer security models come from there. A lot of models come from science. Health models are a great example. Think of cancer, of bird flu, swine flu, SARS. All of our feelings of security about those diseases come from models given to us, really, by science filtered through the media. So models can change. Models are not static. As we become more comfortable in our environments, our model can move closer to our feelings.

So an example might be, if you go back 100 years ago when electricity was first becoming common, there were a lot of fears about it. I mean, there were people who were afraid to push doorbells, because there was electricity in there, and that was dangerous. For us, we're very facile around electricity. We change light bulbs without even thinking about it. Our model of security around electricity is something we were born into. It hasn't changed as we were growing up. And we're good at it. Or think of the risks on the Internet across generations -- how your parents approach Internet security, versus how you do, versus how our kids will. Models eventually fade into the background. Intuitive is just another word for familiar.

So as your model is close to reality, and it converges with feelings, you often don't know it's there. So a nice example of this came from last year and swine flu. When swine flu first appeared, the initial news caused a lot of overreaction. Now it had a name, which made it scarier than the regular flu, even though it was more deadly. And people thought doctors should be able to deal with it. So there was that feeling of lack of control. And those two things made the risk more than it was. As the novelty wore off, the months went by, there was some amount of tolerance, people got used to it. There was no new data, but there was less fear. By autumn, people thought the doctors should have solved this already. And there's kind of a bifurcation -- people had to choose between fear and acceptance -- actually fear and indifference -- they kind of chose suspicion. And when the vaccine appeared last winter, there were a lot of people -- a surprising number -- who refused to get it -- as a nice example of how people's feelings of security change, how their model changes, sort of wildly with no new information, with no new input. This kind of thing happens a lot.

I'm going to give one more complication. We have feeling, model, reality. I have a very relativistic view of security. I think it depends on the observer. And most security decisions have a variety of people involved. And stakeholders with specific trade-offs will try to influence the decision. And I call that their agenda. And you see agenda -- this is marketing, this is politics -- trying to convince you to have one model versus another, trying to convince you to ignore a model and trust your feelings, marginalizing people with models you don't like. This is not uncommon. An example, a great example, is the risk of smoking. In the history of the past 50 years, the smoking risk shows how a model changes, and it also shows how an industry fights against a model it doesn't like. Compare that to the secondhand smoke debate -- probably about 20 years behind. Think about seat belts. When I was a kid, no one wore a seat belt. Nowadays, no kid will let you drive if you're not wearing a seat belt. Compare that to the airbag debate -- probably about 30 years behind.

All examples of models changing. What we learn is that changing models is hard. Models are hard to dislodge. If they equal your feelings, you don't even know you have a model. And there's another cognitive bias I'll call confirmation bias, where we tend to accept data that confirms our beliefs and reject data that contradicts our beliefs. So evidence against our model, we're likely to ignore, even if it's compelling. It has to get very compelling before we'll pay attention. New models that extend long periods of time are hard. Global warming is a great example. We're terrible at models that span 80 years. We can do to the next harvest. We can often do until our kids grow up. But 80 years, we're just not good at. So it's a very hard model to accept. We can have both models in our head simultaneously, right, that kind of problem where we're holding both beliefs together, right, the cognitive dissonance. Eventually, the new model will replace the old model.

Strong feelings can create a model. September 11th created a security model in a lot of people's heads. Also, personal experiences with crime can do it, personal health scare, a health scare in the news. You'll see these called flashbulb events by psychiatrists. They can create a model instantaneously, because they're very emotive.

So in the technological world, we don't have experience to judge models. And we rely on others. We rely on proxies. I mean, this works as long as it's to correct others. We rely on government agencies to tell us what pharmaceuticals are safe. I flew here yesterday. I didn't check the airplane. I relied on some other group to determine whether my plane was safe to fly. We're here, none of us fear the roof is going to collapse on us, not because we checked, but because we're pretty sure the building codes here are good. It's a model we just accept pretty much by faith. And that's okay.

Now, what we want is people to get familiar enough with better models -- have it reflected in their feelings -- to allow them to make security trade-offs. Now when these go out of whack, you have two options. One, you can fix people's feelings, directly appeal to feelings. It's manipulation, but it can work. The second, more honest way is to actually fix the model. Change happens slowly. The smoking debate took 40 years, and that was an easy one. Some of this stuff is hard. I mean really though, information seems like our best hope.

And I lied. Remember I said feeling, model, reality; I said reality doesn't change. It actually does. We live in a technological world; reality changes all the time. So we might have -- for the first time in our species -- feeling chases model, model chases reality, reality's moving -- they might never catch up. We don't know. But in the long-term, both feeling and reality are important. And I want to close with two quick stories to illustrate this.

1982 -- I don't know if people will remember this -- there was a short epidemic of Tylenol poisonings in the United States. It's a horrific story. Someone took a bottle of Tylenol, put poison in it, closed it up, put it back on the shelf. Someone else bought it and died. This terrified people. There were a couple of copycat attacks. There wasn't any real risk, but people were scared. And this is how the tamper-proof drug industry was invented. Those tamper-proof caps, that came from this. It's complete security theater. As a homework assignment, think of 10 ways to get around it. I'll give you one, a syringe. But it made people feel better. It made their feeling of security more match the reality.

Last story, a few years ago, a friend of mine gave birth. I visit her in the hospital. It turns out when a baby's born now, they put an RFID bracelet on the baby, put a corresponding one on the mother, so if anyone other than the mother takes the baby out of the maternity ward, an alarm goes off. I said, "Well, that's kind of neat. I wonder how rampant baby snatching is out of hospitals." I go home, I look it up. It basically never happens. But if you think about it, if you are a hospital, and you need to take a baby away from its mother, out of the room to run some tests, you better have some good security theater, or she's going to rip your arm off.

(Laughter)

So it's important for us, those of us who design security, who look at security policy, or even look at public policy in ways that affect security. It's not just reality; it's feeling and reality. What's important is that they be about the same. It's important that, if our feelings match reality, we make better security trade-offs.

Thank you.

(Applause)

セキュリティには 2 つの側面があります 感情と現実です 両者は異なるものです 実際に安全ではなくとも 安全だと感じることができます 安全だと感じなくても 安全であることもあります 二つの別々の概念が 安全という一つの言葉に対応付けてられています 本日私がお話ししたいことは 感情と現実を区別し どのような時に 別々の概念に別れ どう一つに収束するかです ここでは言葉が問題となります これからお話しする概念に則した 良い言葉があまりないのです

安全を 経済学の言葉で表現するなら 「トレードオフ」となります 安全を得るときはいつも 何かをトレードオフしています 個人的な判断で 自宅に防犯ベルを設置するとき 国家的な判断で外国に侵攻するとき 何かをトレードオフすることになります それはお金 時間 利便性 機能性 あるいは根本的な自由かもしれません 安全を考えるときに問うべきは それが自身をより安全にするかではなく トレードオフするに値するかです ここ数年でこんなことを耳にしたでしょう サダム・フセインが権力を振るっていないので世界はより安全だと 真実かもしれませんが関連性はごく僅かでしょう 問うべきは その価値があったか ということです これは個人個人で結論が出せます 侵攻するに値したか 自分なりに判断するのです これが安全を考える方法です トレードオフという観点を用いるのです

この判断に特に正しい答えはありません 自宅に防犯ベルを設置している人もいれば そうでない人もいます 住んでいる地域 一人暮らしか家族と住んでいるか どんな凄いものを所有しているか 窃盗のリスクをどの程度 許容するかによるでしょう 政治でも さまざまな見解があります 多くの場合 トレードオフは 安全に関するものに留まりません これは重要なことです 人間はこういったトレードオフに対して 直感を持っており 日々それを使っています 昨晩ホテルの部屋で ドアを二重に施錠すると判断したとき 皆さんがここまで運転してきたとき ランチに行き 食べ物に毒が混入していないと判断し食べるとき 私たちはこういったトレードオフを 一日に何回も判断しています あまり意識することはないでしょう 生存活動の一部に過ぎません 皆やっていることです

あらゆる種が行っていることです 野原で草を食べているウサギを想像してください そのウサギはキツネを見つけます するとウサギは安全のトレードオフをするでしょう 「留まるべきか 逃げるべきか」 こうして考えてみると トレードオフの判断に長けたウサギは 生き延びて繁殖するでしょう そうでないウサギは 捕食されたり餓死するでしょう では 地球で成功している種である 皆さん 私 全員が トレードオフの判断に長けていると考えるかもしれません にも関わらず 私たちは絶望的に下手なようです これは非常に興味深い疑問だと思います

端的な回答をお出ししましょう 私たちは安全の感覚に対応しているのであり 安全の実態に反応しているのではないということです 多くの場合これは有効です 多くの場合 感覚と実態は同じです 先史時代においては まさしく真実でした 私たちが感覚的に反応する能力を発達させてきたのは 進化的に正しかったからです 一つの解釈は 少数のグループで生活するときに 必要とされるリスク判断に 極めて適合していたということです これは紀元前10万年の東アフリカ高地でのことであり 2010 年のニューヨークではまた別です

リスクの認知にはいくつものバイアスがかかるもので それについては数多くの研究があります 特定のバイアスは繰り返し現れるものです ここでは 4 つ紹介したいと思います 私たちは劇的なリスクや珍しいリスクを誇大化し 一般的なリスクを過小評価しがちです 例えば飛行機と車での移動の比較です 未知のリスクは 既知のリスクより大きく捉えられます 例えば 人々は見知らぬ人による誘拐を恐れますが データによると顔見知りによる誘拐の方が断然多いのです これは子供の場合です 第三に 名前を持つものによるリスクは 匿名によるリスクより大きく捉えられます ビン・ラディンは名を持つがゆえにより恐れられるということです 第四に 人々は 自分でコントロールできる状況での リスクを過小評価し そうでない状況でのリスクを過大評価します スカイダイビングや喫煙をする人は そのリスクを実際より低く捉えます テロが良い例ですが そういったリスクに曝されると それを過大評価します 自分でコントロールできないと感じるからです

他にも私たちのリスク判断に影響する 多数の認知バイアスが存在します 利用可能性ヒューリスティックというものがあります これは基本的に 想像の し易さから その可能性を推測するというものです どういうことかお話ししましょう トラの襲撃をよく耳にする場合 周辺にはトラが沢山いるはずです ライオンの襲撃を耳にしないなら 周辺にライオンはあまりいないでしょう こう考えられるのも新聞が出回るまでです なぜなら新聞とは 繰り返し繰り返し 希なリスクを記すものだからです ニュースになるくらいなら心配はいらないと私はみんなに言っています なぜなら定義によれば ニュースとはほぼ起こらない出来事のことだからです (笑) ある出来事が一般的なら それはもはやニュースではないのです 自動車事故や家庭内暴力 皆さんが心配するリスクはこういったものです

また私たちは物語る種です データより物語に敏感です また根本的な数量に対する感覚も欠けています 「一つ 二つ 三つ たくさん」はある意味正しいということです 私たちは 小さい数にはとても強いです 一つのマンゴー 二つのマンゴー 三つのマンゴー 一万のマンゴー 十万のマンゴー 食べきる前に腐ってしまうほどの数です 二分の一 四分の一 五分の一 こういうのも得意です 百万分の一 十億分の一 どちらも「ほぼありえない」です このように 私たちは 珍しいリスクというものが苦手です

そしてこの認知バイアスは 私たちと実態の間のフィルターとして働きます その結果 感覚と実態が狂います 異なるものとなるのです 皆さんは実際より安全だと感じることがあります 偽りの感覚です あるいは 偽りの不安感もあります 私は「セキュリティシアター」 つまり人々に安心感を与えつつも 実効を持たないものについて沢山書いています 私たちに安全を提供しつつも 安心にはさせないというものを示す言葉はありません CIA に是非やってもらいたいことです

では経済の話に戻りましょう もし経済が 市場が 安全を促進するならば そして人々が安心感に基づいて トレードオフをするならば 経済刺激のために 会社が取れる良策は 人々に安心感を与えることです それには二つ方法があります 実際に安全を提供し 人々が気付くのに期待するか もしくは安心感を提供して 実態に気付かないことを期待するか です では気付くには何が必要でしょう いくつかあります 理解です 安全 リスク 脅威 対抗策 それらを理解し そして仕組みを知ることです もし知っていれば 感覚と実態は一致しているでしょう 沢山の実例の知識も助けになるでしょう

私たちは皆 近隣の犯罪率を知っています なぜならそこに住んでいるからであり 基本的に実態と感覚は一致しています セキュリティシアターに気付くのは それらがうまく噛み合っていないときです では実態に気付けない理由は何でしょう 理解不足です リスクやコストを理解していなければ トレードオフの判断を誤るでしょう 感覚も実態とは ずれます 経験不足です そこには発生率の低さという 固有の問題があります もし仮に テロがほとんど起きなければ テロ対策の有効性を 判断するのはとても困難でしょう これが儀式でいけにえを捧げる習慣が続いたり 突拍子もない責任転嫁がまかり通る理由です 失敗例が足りないのです また感情も問題を曇らせます 先ほど触れた認知バイアス 恐怖 迷信 等は 基本的に不適切な現実のモデルなのです

ここを更に複雑化します 感覚と実態があります ここに第三の要素「モデル」を加えたいと思います 頭の中には感覚とモデルがあり 外界に実態があります 実態は変わりません 現実です 感覚は私たちの直感に基づいています モデルは理性に基づいています これが基本的な違いです 原始的で単純な世界においては モデルを持つ理由など全くありません 感覚が現実ととても近いからです モデルは必要ないのです しかし現代の複雑な世界においては 私たちが直面する 数々のリスクを理解するためにモデルが必要です ばい菌についての感覚などありません 理解するためにはモデルがいるのです つまりモデルとは現実を知的に理解し 違う形で表現した物です モデルには当然科学 そしてテクノロジーによる 限界があります ばい菌を観察できる顕微鏡を開発する以前には 病気の細菌説などありえません 認知バイアスによる限界もあります ただこれには 感覚を覆す力があります

モデルはどこから得るのでしょう?他から得るのです 宗教や文化 教師や長老から得ます 数年前 私は 狩猟旅行で南アフリカに行っていました 同行したトラッカーはクルーガー国立公園で育ちました 彼はサバイバルに関していくつか複雑なモデルを持っていました それは何が襲ってきたのかによります ライオン、ヒョウ、サイ、ゾウ また逃げなければならない場合 木に登らなければならない場合 木に登れない場合もあります 私は一日と生きられないでしょうが 彼はそこで生まれ 生存方法を理解していました 私はニューヨーク生まれです ニューヨークに連れてきたら 彼は一日と持たないかもしれません (笑) というのも私たちはそれぞれの経験に基づいて 別々のモデルを持っているからです

モデルはメディアや 役人から得られることもあります テロのモデルや 子供の誘拐 航空安全 交通安全などのモデルを考えてみてください モデルは産業から出現することもあります 私が興味を持っているのは監視カメラと ID カードの二つで コンピュータセキュリティのモデルがこれらから沢山生まれています 科学からも沢山のモデルが来ています 健康モデルは素晴らしい例です ガン、鳥インフルエンザ、豚インフルエンザ、SARS を考えてください こういった病気に関する 安全の感覚は全て モデルから来ています メディアのフィルターを通した科学からもたらされています モデルは変化し得ます 不変のものではありません 私たちが環境に馴染むにつれ モデルは私たちの感覚に近づいていきます

例としては 100 年前に戻ってみましょう 電気が出現したばかりの頃で 沢山の懸念が持たれていました 呼び鈴を鳴らすのを怖がっていた人がいました 当時 危険だった電気が使われていたためにです 私たちは電気製品はお手の物です 電球の付け替えも さして考えることもなくできます 電気にまつわる安全のモデルは 私たちにとっては常識です 生まれたときから特に変化もしていません 使い方は完全にマスターしています 世代毎の インターネットにまつわるリスクを考えてみましょう ご両親のインターネットの安全に対する姿勢と 皆さんの姿勢 そして皆さんの子供はどうなるでしょう モデルは最終的に背景へと馴染んでいきます 直感は「慣れ」の言い換えに過ぎません

つまりモデルが現実に近づくほど そして感覚と一体になるほど モデルの存在に気付かなくなります この良い例は 昨年の豚インフルエンザでしょう 豚インフルエンザが最初現れたとき 初期情報は沢山の過剰反応を引き起こしました 名前が付いていたために 普通のインフルエンザより致死率が 低いにも関わらず恐ろしげです 人々は医者に何とかしてもらいたいと考えていました 自分ではコントロールできない感覚があったわけです 名前と制御不能感が リスクを実際以上のものに見せました 新奇性が薄れ 月日が経ち ある程度 危機感も薄れ 人々は慣れました 新しいデータはなくとも恐れは薄れたのです 秋になると 人々は  医者は既に解決していても良いはずだ と考えるようになりました ある種の分岐がありました 人々は 恐怖か受容か-- 実際には、恐怖か無関心かでしょうか--を選ぶところで リスク自体を疑い始めたようなのです 冬にワクチンが出てきたときには 驚くほど沢山の人が ワクチンを受けることを拒否したのです 以上は 人々の安全の感覚やモデルが 奔放に 新しい情報もなしに 変化することの良い例です こういったことはしばしば起こります

更にもう一つ問題を挙げます 感覚 モデル 実態とあります 私は安全とは非常に相対的なものだと考えています これは観察者次第だと思います またほとんどの安全に関する判断には 多様な人々が関与しています 特定のトレードオフで 利害を得る人達は 判断に関与しようとします それが彼らのアジェンダ(課題)だと私は呼んでいます アジェンダ、つまりこれが マーケッティングだとか政治なのですが 都合の良いモデルを選ばせたり モデルを無視して 感覚で行動するようにしむけて 好みのモデルを持っていない人を排除しようとしているのです これは珍しいことではありません その良い例は喫煙のリスクです 過去 50 年の歴史で 喫煙のリスクは モデルがどのように変化していくかを示しています また産業が望まないモデルに対して どう戦っているかも分かります それを間接喫煙の議論と比較してください 約 20 年遅れて出てきたものです シートベルトはどうでしょう 私が子供の頃 誰もシートベルトを締めていませんでした 今ではシートベルトを締めないと 誰も運転させてくれません エアーバッグはどうでしょう 約 30 年遅れて出てきた議論です

全てモデルの変化の例です そこから分かるのは モデルを変えるのは困難だということです 安定しているモデルを変えるのは難しいのです モデルと感覚が等しいならば モデルを持っているということすら分かりません また別の認知バイアスがあります 確証バイアスというもので 私たちは自身の信念に沿う データを受け入れる傾向にあり そぐわない情報ははねのける傾向にあるというものです モデルに反する証拠は そうだろうと思っても無視しがちです 注意を引くには よほど強い説得力を持つものでなければなりません 長期間をカバーする新しいモデルは難しいものです 地球温暖化がよい例です 私たちは 80 年という 長いスパンを持つモデルには向いていません 次の収穫まではいけます 自分の子供が成長するまでも大丈夫でしょう しかし 80 年ともなると上手くやれません 従って地球温暖化のモデルは受け入れがとても難しいのです 私たちは頭の中で二つのモデルを同時に持つことが出来ます 二つの概念をどちらも信じている そういう場合の問題で 認知的不協和があるときです 最終的には 新しいモデルが古いモデルに取って代わります

強い感情がモデルを作ることがあります 9.11 は大勢の人の頭の中に 安全モデルを作りました また犯罪にあった個人的な経験や 健康を害した経験 ニュースで知った健康被害などもモデルを作るでしょう 以上は精神科医によると フラッシュバルブ記憶と呼ばれるものです モデルを一瞬で作り上げます 非常に感情価が高いためです

科学技術の話となると モデルを評価するための経験を 私たちは持っていません 判断を他者に 代理に委ねています これは信頼性のある他者に委ねる場合に限り有効です 私たちは治療薬の安全性の判断を 政府機関に委ねています 私は昨日飛行機でここまで来たのですが 飛行機を調べませんでした 自分が乗る飛行機の安全性の判断を 他の組織に委ねたのです この場にいる私たちは天井が落ちてくる心配なんてしていません 調べたからではなく ここの建築規定は良いと 私たちは確信しているからです これは疑問も持たずに信じて 受け入れているモデルです それでいいのです

ここで私たちが望むのは 人々に より良いモデルに 精通してもらい そしてそれを感覚に反映して 安全に関するトレードオフ判断ができるようになることです これがうまくいかないときは 二つ 選択肢があります 一つは直接感情に訴えて 感覚を直すことです 人を操るわけですが上手くいくときもあります より誠実な方法は 実際にモデルを修正することです 変化はゆっくり訪れます 喫煙論争は 40 年掛かりました これは簡単だった方です こういったことは難しいのです なんと言っても 情報こそが私たちの最高の希望に思えます

先ほど嘘をつきました 感覚 モデル 実態について触れたことを覚えていますか? 現実は変わらないと言いましたが 変わります 私たちは科学技術の世界に生きています 現実は常に移り変わっています ヒトという種の歴史上で初めてこのような環境になったかもしれません 感覚がモデルを モデルが実態を追い 実態は変わり続け いずれも追いつくことは恐らくありません 先のことは分かりませんが しかし長期的には 感覚と実態は共に重要なものです それを示す小話を二つ紹介して終わりにしたいと思います

1982 年 皆さんが覚えているか分かりませんが アメリカで短期間 タイレノール中毒が流行りました 恐ろしい事件です 誰かがタイレノールのボトルに 毒を混入し フタを閉めて棚に戻しました それを誰かが購入し 死亡しました この事件は人々に恐怖を与えました いくつかの模倣犯が現れました 実際の危険は無かったものの人々は恐れました こういった経緯で タンパー防止の製薬産業ができたのです あのタンパー防止キャップはここから来ているのです 完全にセキュリティシアターです 宿題として回避策を十通り考えてください 一つはお教えしましょう 注射器です しかし人々に安心感を与えました 人々の安全感覚を より現実に近づけたのです

最後です 数年前友人が子供を産みました 私は病院の彼女を訪ねました 今日では新生児に RFID の腕輪を着け それに対応した腕輪を母親に着けるようです こうすると 母親以外が赤ん坊を産科病棟から連れ出そうとしたときに アラームが鳴ります 「なんだか凄いですね 病院で新生児連れ去りは どれだけ発生しているんでしょう」 帰宅して調べてみました ほとんど発生していないようです しかし考えてみましょう 病院で 何らかの検査のために母親の元から 部屋の外へ連れ出す必要があるとします そのとき良いセキュリティシアターが無ければ 母親はあなたの腕をもぐでしょう

(笑)

従って私たち安全を考えるものにとって またセキュリティポリシーや 更には公序良俗を考えるものにとって 安全への影響という点で これは重要なのです 実態だけではなく 感覚と実態を考えねばなりません 重要なのは 両者がほぼ同じであることです 感覚が実態に則していれば 安全に関して より良いトレードオフ判断ができるということが重要なのです

ありがとうございました

(拍手)

― もっと見る ―
― 折りたたむ ―

品詞分類

  • 主語
  • 動詞
  • 助動詞
  • 準動詞
  • 関係詞等

関連動画