セキュリティ入門 07｜たぶん大丈夫です：技術的な回答に出てくる四つの曖昧な言い方

エンジニアや取引先に訊くたびに——うちのバックアップは本当に戻せるのか。昨日の脆弱性はうちに関係があるのか。退職した同僚の権限は止めたのか。返ってきた答えがこう始まるなら——本来は問題ありません、たぶん動いています、理論上は該当しません、普通ならもう止まっています——うなずいて会話を終わらせるのはまだ早いです。

この四つの言い方は、同時に出ようと単独で出ようと、平たく言えば一つの意味しかありません。相手は記憶か論理的な推測で答えており、システムを開いて自分の目で見てはいない。セキュリティ入門の第 7 回です。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかと技術がわからない経営者が、エンジニアの話が本当か見極める方法で、ひとつの原則を書きました。技術を自分で理解する必要はないが、相手が出しているのが推測か事実かは聞き分けられる必要がある、という原則です。

技術者がこの四つの言葉を添えたくなる理由

まずエンジニアの側を公平に言っておきます。この四つを口にする人は、必ずしもあなたをあしらっているのでも騙しているのでもありません。ソフトウェアのシステムでは、当初きちんと設定したことと、今日も正常に動いていることのあいだに、静かに変わりうる無数の結び目があります——サーバーのディスクが満杯になった、拡張機能の自動更新が失敗した、証明書が期限切れになった、ある改版で設定を上書きしてしまった。

英国サイバーセキュリティセンター（NCSC）がガイダンス『10 Steps to Cyber Security: Vulnerability management』で注意しているとおりです。組織は自動更新や既存の設定だけに頼ってはならず、更新の状態を継続的に監視し、どういう場合に更新が失敗するか（保存容量の不足、バージョンの差が大きすぎる、手動で再起動しないと反映されない、など）を自ら把握し、更新方針に誰が実行し誰が確認するのかを明記しなければなりません。

会議やメッセージで突然質問を投げられたとき、相手の手元に管理画面とログが開いていなければ、頭に浮かぶのは当初こう設計したという記憶で、本来は問題ありませんと口から出ます。それは自分の記憶ではこうだという正直な反映ですが、記憶を現状として扱うことが、多くのセキュリティ事故の出発点です。

四つの言い方を分解する：本人が思っていること vs. 実際に起きうること

この四つを分けて見ると、それぞれの裏に典型的な死角が隠れています：

• 第一：たぶん（たぶんバックアップはあります、たぶん影響は受けていません）——数か月前の記憶に基づいています。公開時に確かにスケジュールを設定しましたが、最新のバックアップファイルがいつ生成されたかを今日は見ていません。少し前にディスク容量が満杯でバックアップが毎日失敗していれば、記憶のなかの「たぶんある」は、今日は「まったくない」です。
• 第二：理論上は（理論上は外から入れません、理論上はこの脆弱性は届きません）——教科書や構成図の設計の話をしており、本番の実際の状態ではありません。構成図ではデータベースは外に開いていないことになっていますが、少し前に緊急の不具合を急いで直すために誰かが一時的にファイアウォールの規則を開けてテストし、直したあと戻すのを忘れているかもしれません。
• 第三：普通なら（普通ならシステムが自動更新します、普通なら通知が飛びます）——外部の条件がすべて完璧な状態にあると仮定しています。しかしセキュリティの事故が起きるのは、まさに普通でないときです。通知を受けるメールボックスはとうに溢れ、通知を出すボットの鍵は期限切れ、自動更新は互換性の問題で途中で止まっている。
• 第四：本来は（本来は業者が処理します、本来は退職したらログインできません）——常識で他人の動きを推測しており、権限の一覧や契約の条項を誰も実際に照合していません。あなたは業者が本来見るはずだと思い、業者はあなたの側が見ると思い、そのあいだが誰も手を入れない空き地になります。

曖昧な推測を確認済みの事実に変える一枚の表

この四つを聞いたとき、相手の専門性を疑う必要はなく、その場の空気を固くする必要もありません。技術がわからない経営者が、エンジニアの話が本当か見極める方法に書いた原則（「一問ごとの理屈を覚える必要はありません。よい答えには三つあると覚えておけば十分です：具体的な人、具体的な時間、具体的な退路」）に沿って、当初どう設定したかから今実際にどうなっているかへ、穏やかに引き戻せます：

調べる時間は渡す。ただし調べていない答えは受け取らない

技術者が曖昧な言葉で答える理由は、多くの場合、経営者が会話のなかで、今すぐ問題ないと聞きたいという圧をかけているからです。安心できる答えを急いで求めるとき、相手がもっとも早く出せるのは、たぶん大丈夫ですなのです。

この習慣を変えるのにもっとも効くのは、今すぐ答えることと調べて確かめることを分けることです。次にこの四つを聞いたら、こう言えます。今すぐ記憶で答えなくていいので、少し時間を取って管理画面を見てきてください。確認できたら、今のバージョン番号かスクリーンショットを送ってくれれば十分です。あなたが見たいのは今日システムを開いて調べた結果だと相手が分かれば、曖昧な推測は自然に具体的な時間、数字、記録に変わります。

恩梯科技（Nerd Technic）はカスタム開発出身のシステムソフトウェア会社で、今やっているのは AI システムの長期保守です。技術がわからない経営者が、エンジニアの話が本当か見極める方法にこう書きました。「健康診断の結論は三つだけです：そのまま引き継げる、整理してから引き継ぐ、つくり直したほうが安い。どちらとも取れる答えは出しません。」長期保守で見るべきは、事故からどれくらいで応答があるか、セキュリティ更新をどの頻度で行うかで、どちらも契約に明記されるべきことです。システムの状況を訊くたびに「たぶん大丈夫です」しか返ってこないことにうんざりしているなら、システム健康診断から始められます。システム健康診断を予約する