"I'm trying not to get hacked:" How Adults with Intellectual and Developmental Disabilities Navigate Security and Privacy Notifications

デジタルライフにおいて、私たちは毎日、小さくも重要な選択を迫られます。ウェブサイトが位置情報の共有を求めてきたり、銀行がログイン試行の可能性を知らせるアラートを送ってきたり、スマートフォンが通知の送信許可を求めたりします。これらはセキュリティやプライバシーに関する通知であり、門番やドアにつけられた標識のような、デジタルにおけるガードマンや看板に相当します。ほとんどの人にとって、これらのプロンプト（指示）はテクノロジーを利用する上での日常的な一部であり、たとえ多くの場合、深く考えずに無視されたり、クリックして消されたりしたとしても、それが当たり前のこととなっています。しかし、知的・発達障害を持つ大人たちにとって、これらと同じ瞬間が、混乱や恐怖、あるいは対処不可能なものになることがあります。知的・発達障害とは、推論、学習、あるいは日常生活のタスクをこなすことに課題を抱える可能性がある、幅広い状態を指します。これらの課題があるからといって、テクノロジーを使えないわけではありません。こうした状況にある多くの大人は、仕事や社交、生活の管理のために、スマートフォンやコンピュータ、インターネットを活用しています。しかし、コンピュータが許可を求めたり危険を警告したりする標準的な方法は、彼らとは異なる思考プロセスを持つ精神に合わせて構築されていることが多いのです。システムが明確にコミュニケーションをとれないとき、それは単にフラストレーションを生むだけでなく、その人を詐欺やなりすまし、あるいは個人データの紛失に対して脆弱な状態に追い込むことになります。

ウィスコンシン大学マディソン校の研究者たちは、知的・発達障害を持つ大人が、これらのデジタル警告をどのように経験しているのかを正確に理解しようと試みました。彼らは単に人々に意見を聞いたのではなく、現実世界のシナリオの中で人々がどのように操作するかを観察しました。研究チームは、ダウン症や自閉スペクトラム症を含む様々な診断を持つ、19歳から42歳の成人7名を募集しました。参加者の中には、親や介護者などのサポート役と一緒に作業をする人もいれば、一人で作業をする人もいました。研究者たちは、参加者がメールのチェックや天気予報の確認といった日常的なタスクを行うために、コンピュータやスマートフォンを使用する、安全で制御された環境を作り出しました。これらのタスクの中には、危険なウェブサイトの警告、クッキー（Cookie）の許可リクエスト、2段階認証コード、そしてハッカーからの偽のメールといった、現実的なセキュリティプロンプトが隠されていました。目的は、これらの個人がメッセージをどのように解釈し、何に困惑し、どのように行動を決定するかを見ることでした。

研究の結果、最大の障壁は必ずしも技術的な言葉そのものではなく、メッセージがその人が既に行っている作業の流れの中にどのように組み込まれているかであるということが明らかになりました。通知が表示されると、参加者はメッセージの実際の内容よりも、現在行っているタスクに基づいてそれを理解しようとすることがよくありました。例えば、ログインしようとしている最中にクッキーの同意バナーが表示された際、彼らは単に進むために「許可」をクリックしなければならないと考え、それを自分のデータに関する選択肢としてではなく、開けなければならないゲートのように扱いました。同様に、危険なダウンロードの警告が表示された際、一部の参加者は、警告自体が自分をブロックしているのではなく、自分がダウンロードしようとしたファイルが原因であると考えていました。画面の文脈や完了させようとしているタスクが、画面上の言葉以上に、彼らの理解を左右していたのです。

参加者はまた、未知の用語を理解するために、日常的な経験に大きく依存していました。プライバシーバナーの中に「クッキー（cookies）」という言葉を見つけたとき、多くの人は、ウェブサイトが追跡に使用する小さなデータのことではなく、食べられる甘いお菓子のことを思い浮かべました。赤い警告サインを見たとき、彼らは現実世界の停止標識や危険を示す色として、赤を「危険」であると理解しました。このような馴染みのあるアンカー（拠り所）を用いる戦略は、未知の領域を進む助けとなりましたが、時には間違いを招くこともありました。例えば、ある参加者は、権限のリクエストが、会社による移動の追跡ではなく、友人との位置情報の共有に関するものだと考えてしまうことがありました。これは、言葉が知っている社会的なやり取りを連想させたためです。研究者たちは、単に言葉を簡略化するだけでは不十分であることを発見しました。言葉の意味は、それがどこに表示され、その瞬間にその人が何をしようとしているかによって変化するのです。

不確実性は、参加者の反応に強力な影響を与えました。ボタンをクリックするとどうなるかが分からないとき、彼らはしばしば躊躇したり、画面を避けたり、あるいは誰かに助けを求めたりしました。ある参加者は、セキュリティチェックを進めてもよいかどうかを不安げに尋ねる前に、7秒間静止しました。また別の参加者は、警告自体をクリックすることが危険かもしれないと恐れて、危険なダウンロードの警告を何もクリックせずに消してしまいました。この躊躇は、単なる自信の欠如ではなく、行動の結果を明確に説明していないシステムに対する合理的な反応でした。結果が不明確なとき、多くの人にとって最も安全な選択は、何もしないか、信頼できる人に尋ねることでした。この行動は、ある重要な発見を浮き彫りにしました。これらの大人たちは、セキュリティに関する決定を「相互依存的」に行っており、家族や介護者に判断の確認を頼りにしているということです。彼らは必ずしも伝統的な意味での自立を目指しているのではなく、サポートされることを求めているのです。

これらの観察に基づき、研究者たちは、すべての人、特に認知的な違いを持つ人々にとって、セキュリティ通知をより良くするための3つの方法を提案しました。第一に、設計者は単に易しい言葉を使う以上のことを行う必要があります。メッセージの意味が、ユーザーが行っているタスクに関わらず、常に明確であり続けるようにしなければなりません。もし通知が許可を求めるのであれば、周囲の画面から推測させるのではなく、何を誰と共有するのかを明確に述べるべきです。第二に、アクションとその結果のつながりが透明である必要があります。単に「アカウントを保護してください」と言う代わりに、「これをクリックすると、あなたの電話にコードが送信されます」のように、次に何が起こるかを簡潔に示すことができます。これにより、ユーザーは決断を下す前に、何を期待すべきかを知ることができます。最後に、システムは相互依存的な意思決定を可能にするように設計されるべきです。これは、ユーザーが立ち止まったり、助けを求めたり、信頼できる人を呼び込んだりすることを、失敗と感じることなく、簡単かつ安全に行えるインターフェースを作ることです。通知には、一旦離れて誰かにアドバイスを求めても大丈夫であることを明示し、即座に決定しなければならないというプレッシャーを軽減する仕組みを含めることができます。

この研究は7名という小規模なグループを対象としているため、得られた知見は法則を証明するものではなく、あくまでパターンを示唆するものに過ぎません。しかし、相互作用の深さによって、現在のシステムがどこで失敗しているのかという明確な姿が浮き彫りになりました。研究者たちは、セキュリティプロンプトが、人々がその瞬間にどのように考え、行動するかを考慮せずに設計されると、危険な障壁を生み出すことを発見しました。これらのデジタルなゲートをより明確に、より透明に、そしてよりサポートを受けやすくすることで、テクノロジーは、日々それに依存して生活している何百万もの知的・発達障害を持つ大人たちにとって、より安全で包括的なものになることができます。目標は、セキュリティの必要性を排除することではなく、最も保護を必要としている人々が、彼らを守るためのシステムによって取り残されないようにすることなのです。