セキュリティはなぜやぶられたのか

最初にクイズをひとつ：次のリストは、アメリカで1年間に死ぬ人の死因をランダムに並べたものだが、このうちリスクが最大と最小のものは何だろうか？

　1．飛行機事故
　2．ハリケーン
　3．洪水
　4．列車事故
　5．ソファ類（引火）
　6．保育製品（ゆりかごなど）
　7．鹿（自動車と衝突）

答はコメント欄に書いた（本書p.45参照）が、当たった人は少ないだろう。これぐらい、リスクの評価というのは主観的なのだ。アメリカ人が1年間に自動車事故で死ぬ確率は1/7500だが、アメリカ政府が数千億ドルを費やしているテロで死ぬ確率は、1/60万だ。今では、これよりも「対テロ戦争」で死ぬ確率のほうが大きい。

変な邦題がついているが、原題は"Beyond Fear"。原著は9・11の後、シリコンバレーのベンチャーはセキュリティがらみばかりという「セキュリティ・バブル」の時期に出たもので、リスクを過剰に恐れないで客観的に評価し、それを防ぐ方法を合理的に考えようという、セキュリティについての定評ある解説書だ。

著者は暗号技術の専門家として有名だが、実際にはセキュリティの問題のほとんどは技術ではなく、経済問題だという。リスクをゼロにするのは簡単だ。ハイジャックのリスクをゼロにするには、飛行機を飛ばさなければよい。だから問題はセキュリティを最大にすることではなく、どういうリスクをどこまで減らすかという目標を設定し、それに必要なコストを計算して、そのトレードオフの中でどこをとるのかという選択なのである。

主観的なリスク評価にもとづいて、コストを考えないで「絶対安全」を求めるほど有害なことはない。当ブログでも取り上げたように、BSEやダイオキシンの対策は何の意味もないし、パスポート電子申請システムやe-Taxは、だれも使わない税金の浪費になってしまった。

リスク評価を歪める最大の原因は、事件・事故を興味本位で取り上げるマスメディアのバイアスだが、それにあおられて人気取りのために過大なセキュリティを求める政治家と、保身のためにコストを考えないで闇雲に高いセキュリティを実装させる官僚、そしてそれを食い物にするITゼネコンが、問題をさらに悪化させている。愚かな電子政府を運用している霞ヶ関の人々には、ぜひ本書を読んでほしいものだ。