原因究明の目的は何か？：「再発防止」と「責任追及」
情報通信への依存度が高まるに比例して、安全にかつ安心して使いこなすための「情報セキュリティ
が重要になっている。事前対策はもちろんだが、問題発生後の対処（被害拡大防止、再発防止など）も重要だ。想定外とは言っていられない。
中でも、何か問題が発生した時には「原因究明」は大切だ。この「原因究明」には２つの目的があるが、皆さんは違いを意識しておられるか。２つは互いに矛盾することがあるからやっかいだ。
(1) 「原因究明」の必要性
「情報セキュリティ事故」が発生した時には原因の究明が必要である。第一に、再発防止のための既存対策の改善点の発見、新たな対策の導入などが可能となる。事故原因とその対策に関する情報を共有することで、他所でも同種事故が生じることを防ぐことができる。
第二に、故意・過失の有無を調べ、責任の所在をはっきりさせることで、組織としての規律を保つことになる。これは、構成員の綱紀粛正を通じて再発防止にも役立つだろう。たとえ過失であっても、その責任を不問にすることは弛緩怠慢をはびこらせることになる。民事上の損害賠償や刑事責任を問うことも時に必要である。
(2) 「責任追及」と「原因究明」の間に存する悩ましい矛盾
「責任追及」のための調査は、「再発防止」のための「原因究明」を妨げることがある点を認識しなければならない。
第１に、故意・過失の有無は「原因究明」の一環ではあるが、すべてではない。責任追及に重点を置きすぎると、再発防止のために必要な調査が抜け落ちる可能性*1 がある。
※1: 「新しい事故原因究明機関のあり方についての意見書」（2010年８月18日 全国消費者行政ウォッチねっと）では、「事故が複合的要因に基づくものである以上，そのうちの一つである過失の有無を個人責任という形で追及しようとする刑事捜査は，本来の事故原因調査と相容れない側面を持っています。（中略）私たちは，個人の過失責任を追及するのみでは事故の再発防止にはつながらず，むしろ事故に結びつく他の要因を見落とす結果につながりかねない…（以下略）」と指摘している。
第２に、責任を追及される者の沈黙を促すことになる。責任を免れるため、事実を黙るだけでなく嘘をつくこともあり得る。正直に話してもらえれば再発防止に役立つ情報はたくさんあるだろう。
第３に、責任の所在が明確になるまで、途中の調査結果が伏せられる*2 ことがある。新たな攻撃手法など、早期に情報共有が必要な場合には、このタイムラグは被害を拡大することになりかねない。
※2: エレベーター事故の例であるが、次のようなものがある。「対策の検討は、事故発生直後から国土交通相の審議会で始められていたが、警察からの情報提供がなく、新聞などのマスコミ情報を中心に対策を議論したという。捜査段階で情報が外に漏れれば、証拠の隠蔽や口裏合わせの可能性もあるため、警察から情報提供されなかったためだ。」（「再発防止より、責任追及が優先？ 原因究明なきまま繰り返される『エレベーター事故』のナゾ」ダイヤモンドオンライン2009年10月2日 ＮＨＫ「追跡！ＡｔｏＺ」取材班 ）
(3) 「責任追及」も「再発防止」もどちらも重要：どうすべきか？
再発防止のために有意義な原因究明には、故意・重過失でない限り、正直に事実を話す者に対する優遇を考える必要がある。
組織内でルールを破った者を強く譴責すると隠そうとする。誰でも過ちはある。初回は、責任追及よりも再発防止策を考える*3 べきだ。ルール上もその趣旨を明確化すべきではなかろうか。規律が緩むリスクはあるが、同種の過ちが繰り返された際に厳しい対応を取れば足りる。
問題が発生した場合は、個々の人というより、技術上の対策、管理体制、セキュリティポリシーなど、組織全体で複合的問題があることが多い。個々の責任追及の必要性を否定するつもりはない。しかし、多岐にわたっての再発防止策を重視する姿勢が好ましい。
※3: 刑事事件の場合、我が国には米国のような司法取引制度がないので、免責・責任軽減を条件に、事実に関する情報提供を得ることは困難である。
(4) 他分野ではどうしているのか。
「再発防止」と「責任追及」のジレンマは他の分野でもある。再発防止のための調査機関として、航空機・鉄道などの運輸事故ついては運輸安全委員会*4 が設けられている。また、医療事故についても、厚生労働省の検討会のとりまとめ*5 では、事故調査の目的を「原因究明及び再発防止を図り、これにより医療の安全と医療の質の向上を図る」として、新たな法制度の導入が提言されている。刑事責任を追及する組織である警察とは別に、「再発防止」のために特別な調査権限を付与した組織を設ける例である。
運輸事故や医療事故の場合には、生命・身体に危険が及ぶ可能性が高いので、再発防止の必要性は切実である。人的被害の危険は低い情報セキュリティの場合には特別の組織までは難しいだろう。
※4: 「運輸安全委員会は、航空事故、鉄道事故及び船舶事故並びに重大インシデントの原因を科学的に究明し、公正・中立の立場から事故や重大インシデントの防止と被害の軽減に寄与するための独立した常設機関として、従来の航空・鉄道事故調査委員会と海難審判庁の原因究明部門を再編して発足」したもので、「徹底した原因究明を行うとともに、再発防止並びに被害軽減策を講じるため、事故等調査の結果は、報告書としてとりまとめ、国土交通大臣に提出するとともに公表する」（同委員会ＷＥＢより。）
※5: 「医療事故に係る調査の仕組み等のあり方に関する検討部会」のとりまとめ。
(5) まとめ
関係者は、原因究明の２つの目的を明確に意識し、分けて考えなければならない。場面に応じてどちらかを優先することがあるだろう。しかし、無意識に混同してしまうと、適切な成果を得られなくなることを肝に銘じるべきである。
関 啓一郎
東京大学教授