Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

デジタル世界を、巨大で賑やかな都市として想像してみてください。そこでは、すべての建物が企業であり、すべての道路はデータケーブル、そしてすべての市民は従業員です。この都市では、「サイバー脅威」と呼ばれる目に見えないモンスターが、常に侵入し、宝物を盗み、あるいは混乱を引き起こそうと狙っています。長い間、都市計画家たち（技術の専門家）は、より強固な壁を築き、より優れた鍵を設置し、より多くの警備員を雇うことこそが、都市を守る唯一の方法だと考えてきました。しかし、彼らは重要なことに気づきました。たとえ最も強力な城であっても、そこに住む人々が「壁は実在する」と信じていなかったり、「警備員は役に立たない」と思っていたり、あるいは「ルールに従うのがあまりに面倒だ」と感じていたりすれば、その城は崩れ落ちてしまうということを。

ここで、**保護動機理論（Protection Motivation Theory）**という有名な概念が登場します。これは、私たちが危険に直面したときに脳内で実行される「メンタル・チェックリスト」のようなものです。まず、私たちは「もしこれが起きたら、どれほど深刻か？」（脅威評価）と問いかけます。次に、「自分はそれを止められるか？ 計画はあるか？ 手間がかかりすぎないか？」（対処評価）と問いかけます。そして、二番目の問いへの答えが「はい、対処できる」であれば、行動へのモチベーションが生まれます。しかし、ほとんどの研究は、個人が自分自身のパスワードやリンクのクリックに対してどのように感じるかという点のみに焦点を当ててきました。彼らは、本当に聞きたかったのです。「従業員は、会社全体のサイバー攻撃に対抗する能力について、どのように感じているのか？」ということを。

そこで、NISTサイバーセキュリティフレームワークが登場します。これは、都市が安全を管理するための巨大で公式な設計図のようなものです。これは何を「感じる」べきかを教えるのではなく、都市が必要とする6つの役割をリストアップしています：ガバナンス（規則の策定）、特定（弱点の発見）、防御（壁の構築）、検知（侵入者の発見）、対応（反撃）、および復旧（混乱の修復）です。この研究チームが答えを出したかった大きな問いは、「NISTの設計図にある具体的な仕事の内容を用いて、保護動機理論のメンタル・チェックリストを埋めることで、従業員が『自社の安全性』をどのように認識しているかを測定するツールを作れるか？」ということでした。

---

ビッグアイデア：企業のための新しい「安全レーダー」

トルコの研究チームは、**組織サイバーセキュリティ知覚尺度（PMT-OCPS）**と呼ぶ新しいツールを構築することに決めました。この尺度を、企業が従業員の意識をスキャンするために使用できる「安全レーダー」と考えてください。このレーダーは、「パスワードを変更する方法を知っていますか？」（技術的なテスト）と聞くのではなく、「あなたの会社のセキュリティチームは、実際にハッカーを阻止するのに優れていると思いますか？」や「セキュリティのルールは、従うにはあまりに煩わしいと感じますか？」と問いかけます。

研究者たちは、最初に46個もの膨大な質問群からスタートしました。彼らは、心理学者、サイバーセキュリティのプロ、そして言語の達人からなる専門家パネルに、それらの質問をレビューしてもらいました。専門家たちは、「これらは良いものだが、より明確にし、無駄な部分を削ぎ落とすべきだ」と助言しました。このブラッシュアップを経て、47人を対象とした小規模なテスト走行を行い、リストを29問に絞り込み、最終的には精鋭の27問からなる「安全レーダー」へと完成させました。

彼らが発見したもの：安全を感じるための6つの柱

彼らがこの新しいレーダーを2つの大きなグループ（最初のテストでは519人、結果を確認するために別の400人）でテストした際、従業員はセキュリティに対して単一の大きな感情を持っているのではないことが分かりました。代わりに、彼らの意識は6つの明確な柱に分解されていました。それは、宇宙船の異なるシステムをチェックする6つの異なるセンサーのようなものです。

1. 知覚された深刻度（Perceived Severity）: 「モンスターはどれほど恐ろしいか？」これは、サイバー攻撃が会社にとってどれほど深刻な事態（例：金銭的損失、訴訟、または評判の失墜）をもたらすと従業員が考えているかを測定します。
2. 知覚された脆弱性（Perceived Vulnerability）: 「モンスターは私たちに到達しやすいか？」これは、従業員が自社のデジタルシステムが攻撃に対してどれほど露出していると感じているかに関するものです。
3. 予防的有効性（Preventive Efficacy）: 「盾は機能するか？」これは、会社の「予防策」（ソフトウェアのアップデート、トレーニング、鍵など）が、攻撃が始まる前に実際に効果的であると従業員が信じているかどうかを測定します。
   4.ales 介入能力（Intervention Capability）: 「私たちは反撃できるか？」これは、全く新しい発見です！ 研究者たちは、従業員が「攻撃を防ぐこと」と「攻撃に対処すること」を区別していることを発見しました。この柱は、会社が攻撃を「検知」し、「対応」し、被害の後に「復旧」する能力があるという信頼を測定します。
4. 自己効力感（Self-Efficacy）: 「『私』にできることはあるか？」これは会社についてではなく、従業員自身に関するものです。彼らはフィッシングメールを見分けたり、問題を報告したりする能力があると感じているでしょうか？
5. 反応コスト（Response Cost）: 「手間がかかりすぎるのではないか？」これは、セキュリティのルールがいかに煩わしいか、あるいは負担であるかを測定します。もしルールが重いバックパックのように感じられるなら、このスコアは上がり、人々はルールに従いにくくなります。

「アハ体験」：予防 vs 介入

この研究の最もエキサイティングな部分は、元の理論における「反応有効性（Response Efficacy）」の部分で起きたことです。かつて、科学者たちは「反応有効性」を単一の大きなバケツ、つまり「安全対策は機能するか？」と考えていました。しかし、この研究は、企業においてはそのバケツが実際には2つの異なるバケツに分かれていることを示しました。すなわち、「予防（Prevention）」（門の前で悪い奴を止めること）と、「介入（Intervention）」（もし中に入られた場合に混乱を収拾すること）です。

研究者たちは、従業員は「素晴らしい鍵をドアにつけること（予防）」と、「火災が発生した場合に備えて優れた緊急チームを用意しておくこと（介入）」は別物であることを理解できるほど賢明であると示唆しています。この分離は極めて重要です。なぜなら、企業は片方には長けていても、もう片方には全くダメである可能性があるからです。そして、この新しいレーダーは、その違いを判別することができるのです。

レーダーの精度はどの程度か？

研究者たちは非常に慎重でした。彼らは単に推測したのではなく、数値を算出しました。

• 信頼性: レーダーは一貫しています。今日テストを受けて、3週間後に再び受けても、ほぼ同じスコアが得られます（安定性スコアは .882）。
• 正確性: 彼らが見つけた6つの柱は、実在し、かつ独立しています。データは、「予防」と「介入」が単なる重複した概念ではなく、実際に異なる感覚であることを示しました。
• 現実世界での検証: 彼らはこのレーダーを2つの異なるグループ（スポーツ機関の従業員と大学職員）でテストしました。その結果、サイバーセキュリティのトレーニングを受けた人々は、より高い自信（高い自己効力感）を持ち、ルールをより煩わしく感じていない（低い反応コスト）ことが分かりました。また、自社に特定の「サイバーセキュリティ部門」が存在することを知っている人々は、会社がより反撃能力が高いと感じていることが分かりました。これは、このレーダーが、人々の感じ方の実質的な違いを実際に捉えていることを証明しています。

これが意味すること（そして意味しないこと）

この新しい尺度は、組織にとって強力なツールです。これはコンピュータがウイルスに感染しているかどうかを教えるものではなく、「人々」が安全かつ有能だと感じているかどうかを教えてくれます。もし企業がこのレーダーを使用して、「介入能力」のスコアが低いことが分かった場合、彼らは従業員に対して、緊急対応チームがいかに優れた仕事をしているかを示す必要があると知ることができます。もし「反応コスト」のスコアが高い場合は、セキュリティルールが複雑すぎるため、簡素化する必要があることが分かります。

しかし、研究者たちはその限界についても正直に述べています。この研究はトルコで行われ、主に公的部門の労働者を対象としているため、このレーダーがニューヨークの銀行や東京の工場で全く同じように機能するかどうかは不明です。また、この研究はあくまで人々が「どう感じたか」を尋ねたものであり、彼らが実際にルールに従ったかどうかを観察したものではありません。しかし、従業員が自社のセキュリティについてどのように「考えているか」が、これまで見落とされてきたパズルの非常に重要なピースであることを、この研究は強く示唆しています。

要約すると、この論文は、企業がサイバーセキュリティの「人間的な側面」をナビゲートするための、新しい6部構成のコンパスを作り上げたのです。デジタル都市の安全を守るためには、強固な壁を築くだけでなく、市民が「壁は機能している」と信じ、「緊急チーム」を信頼し、「安全のためのルール」が重荷であると感じないようにすることも不可欠であるということを、この研究は示しています。