「これらの要素はユーザーの行動に動機を与え、変化を促す」（ウォールズ氏）

　Gartnerによると、ユーザーのセキュリティは5つの心理学的な要素に依存しているという。

　ウォールズ氏は、セキュリティについて、ユーザーが適切な選択を行うように働き掛けるには次の項目を理解することに懸かっているという。「どのように思われたいか（評判）」「どの程度の権限と制限があるか（選択）」「同僚とのつながりをどのように考えているか（関係）」「スキルをどのように磨いて維持するか（精通）」「どのように信頼関係を構築するか（品位）」の5つだ。

　この5つの要素を理解すると、セキュリティチームはユーザーのセキュリティを強化するテクニックを利用できるようになるとウォールズ氏はいう。

　ウォールズ氏は例として「機密データを含むメールの送信」と「カビの生えたパンの購入」という行動を比較している。カビの生えたパンの購入が誤った意思決定であることは、すぐに分かるだろう。カビという言葉がマイナスの情報を伝達しているからだ。だが、セキュリティチームは、セキュリティポリシーに違反するユーザーに対して同じように分かりやすい情報を提供できていないことが往々にしてある。

　「毎年四半期ごとにトレーニングを実施している。だが、その効果はなく同じことが繰り返されている。DLP（データ流出防止）システムやSIEM（セキュリティ情報／イベント管理）システムでも同じ情報が明示的に提供されているが、ユーザーの目に入っていない」（ウォールズ氏）

　セキュリティチームは、ユーザーがセキュリティポリシーに違反したり、セキュリティの観点から好ましくない判断を下したりしたときには、タイムリーにフィードバックを返す必要がある。さらに重要なこととして、ユーザーが適切な判断を下したときには陽性強化（好ましい行動を褒め、同じ行動を繰り返させる教育訓練法）を行う必要がある。

　マイナスのフィードバックを返すだけでは、セキュリティチームとユーザーが不仲になる原因を作る可能性がある。また、ユーザーの代わりに第三者がセキュリティを監視していると暗にユーザーに伝えることにもなる。

　ウォールズ氏は次のように語る。「処罰しか行わなければ、ユーザーにとってセキュリティの外部性は強まる。ユーザーはセキュリティが自分の管理下にないというだろう」

　ウォールズ氏は、セキュリティをユーザーにとって「簡単な決断にする」ことを推奨している。それには各ユーザーの頭の中にある「内省的な思考プロセス」と「反応的な思考プロセス」という2つの相反するエネルギーのコンテキストを利用する。これはチップ・ヒース氏とダン・ヒース氏の共著『Switch』に記載されている。

　私たちが行う判断の90％は、反復に基づいた脳の反応が早い反応的な部分で行われる。一方、複雑な判断は、エネルギーが必要で反応が遅い内省的な思考プロセスによって行われる。セキュリティに関する判断では両方の思考プロセスが必要になるとウォールズ氏は述べている。

　そこでウォールズ氏は、この5つの主な心理学的な要素に基づいた提案を行っている。

　ユーザーの評判を上げるには、同僚の評価プログラムを導入することを推奨している。このプログラムでは、情報セキュリティの観点で適切な判断を下したユーザーを公に認めて報酬を与える。

　適切な判断を下すことを学習するために必要な権限がユーザーに与えられている必要があると同氏は補足する。また、安全な環境で間違える機会も提供する必要がある。

　「私たちはサンドボックスを使用している。これは製品やサービスを開発し、クラッシュ／炎上させたり、再コンパイルするために使用するテスト用の領域だ。セキュリティチームは、この作業を日常的に行っている。ユーザーにも同じ経験が必要だ。安心して行動して、問題が起こっても心配ない環境を与える必要があるだろう」（ウォールズ氏）

　ウォールズ氏は、セキュリティとリスクに関するディスカッションを促進して、ユーザーが関係を構築できるようにすることも提案している。あるGartnerのクライアントは、会社のWikiにセキュリティポリシーを掲載した。従業員に一読するように伝え、変更を提案するように指示したという。セキュリティポリシーに対する変更が実際の経験に基づいたものかどうかは重要でない。このWikiの目的は、従業員がセキュリティについて話をすることだからだ。

　最後に、ウォールズ氏は、他の人が積極的にプログラムに従っている状況を認識すると、セキュリティに対する取り組みの品位を信頼するようになる。これは、特に企業のリーダーが率先して行った場合に効果がある。

　ウォールズ氏は次のように話す。「セキュリティを確保するには全てのユーザーの協力が不可欠だ。これには上級管理者以下の管理者も含まれる。立場が上にある人ほど、望ましい行動の模範となる必要がある。全ての行動や判断が情報として公開される。社内の誰かが知り、全社員が知るところとなる」

　講演に参加していた米ワシントンDCで米国の教育協会にITサービスを提供している企業でディレクターを務めるローズ・フシコ氏は、ウォールズ氏の意見に賛同する。セキュリティ風土に影響を与えるにはトップダウン方式が必要になる。

　「セキュリティの意識改革と全スタッフを対象に実施するプログラムに関しては、経営幹部が模範を示して指導する必要がある。また、ユーザーは自分の行動に責任を持つべきだということを認識しなければならない」（フシコ氏）

　ウォールズ氏のアドバイスは多くの情報セキュリティの専門家にとって異質な心理学理論に基づいている。だが、IT部門は長きにわたって心理学とテクノロジーの間にある重要なつながりを見過ごしてきた。その事実を考えると、これは歓迎すべき変化だとフシコ氏はいう。

　フシコ氏は自身の見解を次のように述べている。「解決策／問題とビジネスの変化について考えるとき、問題解決の鍵を握っているのは心理学だ。新しいビジネスプロセスやセキュリティの変化であっても、心理学的な側面を考慮して個人に働きかける必要がある」