Shuichiro Ogawa
English

ノート · updated 2026-10-24 · Markdown 版

個人情報の漏えいが続くとき、デザイナーは何ができ、どこで付加価値を出せるか（学術研究から）

個人情報の漏えいが続くなかで、デザイナーに何ができ、どこで付加価値を出せるかを、使えるセキュリティとプライバシーの研究（SOUPS、CHI、USENIX Security、IEEE S&P、PoPETs、CSCW）とデザインの倫理の研究の 36 件で整理した。出発点は、利用者を弱い環とみる見方を退けた研究である。

目次（7）
  1. 問いと、この note の範囲
  2. 利用者は弱い環か
  3. 画面と手順のどこで、何が効いたか
  4. 同意の画面とダークパターン
  5. デザイナー自身は何に阻まれているか
  6. デザイナーの付加価値はどこにあるか
  7. 研究がまだ答えていないこと

問いと、この note の範囲

情報セキュリティの話になると、デザイナーは脇役に置かれやすい。 暗号、脆弱性、アクセス制御はエンジニアの領分で、デザイナーに回ってくるのは、決まった仕組みに画面をかぶせる仕事だと思われがちである。 しかし、使えるセキュリティとプライバシーの研究（usable security、usable privacy）は、25 年以上前から逆のことを言ってきた。 安全の仕組みが破られる場所の多くは、人が仕組みに触れる場所であり、そこは設計の対象だ、という主張である。

この note は、デザイナー（UX/UI、サービス、プロダクトのデザイナー）が漏えいとプライバシーの問題に何をでき、そこでどう付加価値を出せるかを、学術研究の範囲で整理する。 問いは三つに分ける。 利用者は本当に弱い環なのか。 画面と手順のどこで、どの設計が効いたと示されたか。 デザイナー自身は、その仕事を阻むどんな条件の中にいるのか。 三つめの問いの答えから、付加価値の在りかを考える。 公的機関の資料と当事者の証言による整理は、産業版の 個人情報の漏えいが続くとき、デザイナーは何ができ、どこで付加価値を出せるか（産業界の資料から） にある。

使ったのは、使えるセキュリティとプライバシーの査読論文（SOUPS、CHI、USENIX Security、IEEE S&P、PoPETs、CSCW）、デザインの倫理と実践の研究、arXiv で採択が記された論文の 36 件である。 本文が取れなかった論文（ACM のサイトが取得を拒んだものなど）は、要旨に書かれた範囲だけで扱い、本文で「要旨は」と断っている。

利用者は弱い環か

セキュリティでは長く、人が最も弱い環だと言われてきた。 Adams と Sasse は 1999 年に、この見方の向きを変えた。 要旨によれば、安全の仕組みは人が設計し、実装し、使い、破るので、人の要因を設計で考えなければならず、攻撃者のほうが設計者より人という環に注意を払っていると論じた（Adams と Sasse 1999、要旨）。

Herley は 2009 年に、利用者が安全の助言を拒むのは怠けているからではなく、経済的に合理的だからだと論じた（Herley 2009）。 助言は攻撃の直接の費用から守る代わりに、手間という間接の費用を全員に課す。 Herley の試算では、利用者が毎日 1 分ずつ URL を読んでフィッシングを避けると、その時間の費用はフィッシングの損失の総額より 2 桁大きい。 証明書の誤りの警告は 100% が誤警報に見えるとも書いた。 年に 0.01% の人が受ける損害を防ぐために全員に毎日の作業を課す助言は、得にならない。

Cranor は、人を含む系の失敗を整理する枠組みで、設計者の側の責任を明確にした（Cranor 2008）。 できる限り、安全な系の設計者は人を判断の輪の外に置く方法を探すべきで、人に代わる手段がない作業では、人がうまく役割を果たせるように系を作るべきだとした。 枠組みは、人を伝達を受け取って処理する者とみなし、伝達が届かない、理解されない、動機がない、といった失敗の場所を順に点検する。

Zimmermann と Renaud は、政府、産業、ハッカーの語りを分析し、人を問題の源とみる前提そのものを問い直して、善意の人を解決の担い手とみる「Cybersecurity, Differently」を提案した（Zimmermann と Renaud 2019）。

ここまでの研究は、弱い環という見方を、設計の失敗の言い換えとして退けている。 人に気をつけさせる前に、人に判断を求めない設計ができないか、判断を求めるならその判断を支えられるかを問う。 これは、デザイナーの仕事の問いそのものである。

画面と手順のどこで、何が効いたか

最初に研究が集まったのは警告である。 Dhamija らは、22 人に 20 のサイトの真偽を判断させ、23% がアドレスバーや安全の表示を見ず、その人たちは 40% の割合で判断を誤ったと報告した（Dhamija ほか 2006、要旨）。 Sunshine らは、409 人の調査と 100 人の実験から、SSL の警告は改善できるが、安全でない接続をそもそも止め、問題のない場面の警告をなくして、警告の数自体を減らすほうがよいと結論した（Sunshine ほか 2009）。 Akhawe と Felt は、ブラウザーの 2,500 万回の警告の表示を測り、Firefox のマルウェアとフィッシングの警告では約 1 割、Chrome の SSL の警告では 70.2% の利用者が警告を越えて進んだと報告した（Akhawe と Felt 2013）。 警告の作りによって、越える割合は大きく違った。

警告を作り直した研究は、理解と行動が別物であることを示した。 Felt らは、警告の研究の推奨に沿って Chrome の SSL 警告を作り直し、理解を上げるという目標には届かなかったが、安全な側を選ぶ人は全体で約 30% 増えた（Felt ほか 2015）。 著者はこれを、安全な選択を視覚的に推す「opinionated design」の効果とし、案はそのまま Chrome の警告として出荷された。 Reeder らは、実際に警告を見た 6,000 人超にその場で理由を尋ね、理由は多様で文脈ごとに違い、慣れのような単一の支配的な失敗は見つからなかったとした（Reeder ほか 2018、要旨）。 警告の改善は、文脈ごとの小さな誤解を一つずつ解く作業になる。

認証では、パスワードをなくす技術が普及しない理由が組織の側から調べられた。 Lassak らは、CISO や認証の担当者など 28 人に聞き、パスキーの導入を阻むのはアカウントの回復、利用者の摩擦、技術の問題、規制の要件、セキュリティの文化だとした（Lassak ほか 2024）。 このうちアカウントの回復は、鍵を失くした利用者をどう戻すかという導線の問題で、デザインの対象になる。

通知とラベルの研究は、伝え方の設計の幅を示した。 Schaub らは、プライバシーの通知を、出す時機、経路、様式、利用者に与える操作の四つの次元で整理した設計空間を示した（Schaub ほか 2015）。 Zhang らは、iPhone の利用者 24 人に聞き、iOS のプライバシーラベルは、分かりにくい構造、なじみのない用語、権限の設定と連動しないことのために誤解と不満を生んでいたと報告した（Zhang ほか 2022）。 Zou らは、企業が送った漏えいの通知 161 通を分析し、要旨によれば、通知は長く高い読解力を要し、影響を受けた可能性やリスクを小さく見せ、取るべき行動を長い段落に埋め、行動の緊急度や優先順位をほとんど示していなかった（Zou ほか 2019、要旨）。 Habib らは、24 人に 9 つのサイトでメールの配信停止やデータの削除を探させ、アカウントの設定の頁にある操作はプライバシーポリシーの中の操作より使いやすかったが、多くの人がヘルプを見るか問い合わせをしたと報告した（Habib ほか 2020、要旨）。

同意の画面とダークパターン

同意の画面は、設計で決定が大きく動くことが最もはっきり示された場所である。 Utz らは、ドイツのサイトで 8 万人を超える利用者に三つの実験を行い、二択で示すと、目的ごとや事業者ごとに選ばせるより多くの人が追跡に同意したと報告した（Utz ほか 2019）。 Nouwens らは、英国の上位 1 万サイトのうち同意管理の仕組みを使う 680 サイトで、EU の法が求める最低限を満たすのは 11.8% だけだと示した（Nouwens ほか 2020）。 同じ研究の実験では、最初の頁から拒否のボタンを外すと同意が 22〜23 ポイント増え、細かい選択肢を最初の頁に置くと同意が 8〜20 ポイント減った。 Habib らは、191 の同意画面を五つのダークパターンの基準で点検し、1,109 人の実験で 12 の案を比べ、要旨によれば、画面を覆う同意の窓に選択肢を並べ、後から決定を変えられるボタンを常に置く案が複数の設計目標をもっともよく満たした（Habib ほか 2022、要旨）。 Bielova らは、フランスの 3,947 人の実験で、拒否を目立たせる「bright pattern」が決定に大きく効き、設計の効果は後で中立な画面を見たときの選択にも残ったと報告した（Bielova ほか 2024）。

同意の画面の研究は、二つのことを同時に示している。 画面の作りは同意の率を数十ポイント動かす。 そして、その力は利用者を守る向きにも使える。

ダークパターンは個々の画面の問題にとどまらない。 Mathur らは、約 1 万 1,000 の通販サイトの約 5 万 3,000 頁から 15 種、1,818 件のダークパターンを見つけ、183 のサイトが欺く手法を使い、22 の第三者の事業者がダークパターンを既製品として提供していたと報告した（Mathur ほか 2019）。 Mathur らは別の論文で、心理学、経済学、倫理学、哲学、法学からダークパターンを評価する規範の視点を整理し、画面への主観的な批判を超えて測る道を示した（Mathur ほか 2021）。 Gray らは、規制と研究の 10 の分類を統合して、64 の型を三つの水準で定義する体系を作り、研究、規制、実務が同じ言葉で話せるようにした（Gray ほか 2024）。

デザイナー自身は何に阻まれているか

ダークパターンの研究は、デザイナーを作る側として問い始めた。 Gray らは、実務家が挙げたダークパターンの事例を分析し、要旨によれば、多様な倫理の問題が一つの語にまとめられていること、そして UX デザイナーが操作的な実践にたやすく加担しうるという共通の懸念があることを示した（Gray ほか 2018、要旨）。

デザイナーの倫理の判断は、個人の良心だけでは決まらない。 Gray と Chivukula は、3 人の実務家の観察と聞き取りから、組織の慣行、自分の倫理の原則、案件の性質が倫理の判断を媒介すると記述した（Gray と Chivukula 2019、要旨）。 Chivukula らは、11 人の実務家への聞き取りから、倫理の結果に効く五つの次元を、個人、協働、方法のそれぞれにわたって見いだした（Chivukula ほか 2020、要旨）。 Beattie らは、ニュージーランドの UX 実務家への聞き取りで、要旨によれば、デザイナーは自分の「道徳の羅針盤」で倫理的に振る舞おうとするが、商業の圧力と案件の範囲の狭さに阻まれ、その倫理の理解は研究者の判断と一致していなかったと報告し、独立した規制と倫理の教育を提案した（Beattie ほか 2024、要旨）。

デザイナーは、ほかのデザイナーのダークパターンにも寛容になりうる。 Zhang-Kennedy らは、23 人の実務家に他人が作ったプライバシーのダークパターンを見せ、要旨によれば、参加者は「慣習に従った」などの共感的な理由づけをし、その解釈が自分の実践にも影響していたと報告した（Zhang-Kennedy ほか 2024、要旨）。 Nelissen と Funk は、学生と職業のデザイナー 33 人に架空の依頼主を相手にプライバシーの UX を設計させ、デザイナーがたやすく倫理の線を越え、自分の線さえ越えてダークパターンを正当化しうることを示した（Nelissen と Funk 2022）。

セキュリティでは、デザイナーがそもそも呼ばれないことがある。 Chalhoub らは、スマートホームのカメラを作る 3 社の 20 人に聞き、UX はプライバシーの新しい工夫には使われたが、セキュリティには確立された実績のある方法が求められて UX が使われなかったと報告した（Chalhoub ほか 2020）。 Chalhoub と Flechais は、利用者、デザイナー、経営者の三者を調べ、デザイナーと経営者がデータ保護の適切な方法を見つけて当てはめることに苦労し、近道や経験則の「割引のデータ保護」で済ませていたと報告した（Chalhoub と Flechais 2022）。 Gutfleisch らは、開発者やデザイナーなど 25 人への聞き取りから、使えるセキュリティが製品に入るかどうかは、関係者の圧力、専門家がいるかどうか、協働の文化という文脈に左右されると示した（Gutfleisch ほか 2022）。 Hadar らは、開発者がプライバシーの問題をデータセキュリティの言葉で捉え、そのせいでプライバシーを組織の外からの脅威に狭めて理解していたと報告した（Hadar ほか 2018）。 開発者がそう捉えるなら、利用者から見たプライバシーを持ち込む役は、組織の別の誰かに残る。

デザイナーの付加価値はどこにあるか

阻む条件の研究と並んで、価値を擁護する人の研究もある。 Tahaei らは、ソフトウェアチームでプライバシーを擁護する 12 人に聞き、要旨によれば、障壁は弱いプライバシーの文化、優先順位の衝突、乏しい道具、評価の指標がはっきりしないこと、技術の複雑さで、擁護する人は非公式の議論、経営の後ろ盾、関係者との対話、文書とガイドラインを使っていた（Tahaei ほか 2021、要旨）。 コードレビューと実践的な訓練は、一般的な啓発の研修より役に立つと受け止められていた。 Wong は、米国の大手テック企業の UX の専門職への聞き取りと UX の集まりの観察から、UX の専門性が価値を扱う余地を作る、価値をほかの関係者に見えるようにする、組織の手順を変える、という三つの目標に向けた戦術を特定した（Wong 2021）。 その戦術は業界の論理に寄りかかる「ソフトな」抵抗だが、価値に向けた変化を起こしうるとした。 Yao らは、プライバシーを擁護する UI/UX デザイナー 12 人に聞き、要件ではなかったが「法律よりよくしたかった」という発言を含め、デザイナーが事業の目標、チーム、技術の制約と調整しながらプライバシーを優先していたことを報告した（Yao ほか 2026）。 Maloku らは、専門家 15 人への聞き取りと文献から、UI/UX のプライバシーの設計の考慮事項 14 と要因 14 をまとめ、パターンの目録にした（Maloku ほか 2026）。

Wong と Mulligan は、プライバシー・バイ・デザインの「デザイン」が狭く理解されてきたと論じた（Wong と Mulligan 2019、要旨）。 要旨によれば、HCI の文献から、デザインの目的、誰がデザインするか、誰のためのデザインか、という次元を取り出し、問題を解く道具としてのデザインに加えて、価値や批判を前に出すデザインがプライバシーの問題の範囲を定める役を担えるとした。

ここまでの研究から、デザイナーの付加価値を三つの場所に見いだせる。 一つめは、人を判断の輪から外せないところで、人の判断を支える設計を、証拠で選ぶことである（Cranor 2008、Felt ほか 2015）。 警告の文言を磨くより、安全な選択を推す設計と、警告の数を減らす設計のほうが効いた例がある（Sunshine ほか 2009）。 二つめは、法の要件を、画面で確かめられる基準に変えることである。 最低限の要件を満たす同意画面が 11.8% しかなかった研究と、ダークパターンを共通の言葉で定義した研究は、その翻訳の材料になる（Nouwens ほか 2020、Gray ほか 2024）。 三つめは、組織の中で利用者の価値を見えるようにすることである（Wong 2021、Tahaei ほか 2021）。 ただし、この三つめの仕事はデザイナーの肩書きだけでは得られない。 セキュリティの場ではデザイナーが呼ばれず（Chalhoub ほか 2020）、デザイナー自身もダークパターンを正当化しうる（Nelissen と Funk 2022、Zhang-Kennedy ほか 2024）。 付加価値を出せるのは、セキュリティの議論に入り、自分の案を他人の基準で点検されることを引き受けるデザイナーである。

研究がまだ答えていないこと

デザイナーがセキュリティやプライバシーの設計に加わったことが、漏えいの件数や被害を減らしたかを測った研究は見つからなかった。 画面の効果は、警告を越えた割合や同意の率のような途中の指標で測られており、漏えいという結果までは追われていない。 デザイナーを対象にした研究は 3〜33 人の聞き取りが多く、米国と欧州に偏り、日本のデザイナーを対象にした研究は見つからなかった。 日本の漏えい等報告で多い紙の書類の誤交付や郵送の誤送付（産業版を参照）を、サービスの設計の問題として扱った研究も、この調査では見つからなかった。

関連ノート

未検証事項

主要主張に未検証の記述は残していない。 ACM のサイトなどで本文を 3 経路以上試して取れなかった 13 件（Adams と Sasse、Dhamija ほか、Reeder ほか、Zou ほか、Habib ほか 2020 と 2022、Gray ほか 2018、Gray と Chivukula、Chivukula ほか、Beattie ほか、Zhang-Kennedy ほか、Tahaei ほか、Wong と Mulligan）は、要旨の範囲だけで書き、本文中で「要旨」と断った。 Lederer ほか 2004（デザイナーのための五つの落とし穴）は本文も要旨も取れず、参照から外した。

参照文献

書いた人：小川 修一郎（デザイン研究者／デザインコンサルタント） 経歴を見る →