サイバーセキュリティと認知バイアス：対策の隙を埋める心理学的アプローチ

1. サイバーセキュリティと認知バイアス 対策の隙を埋める心理学的アプローチ 2024/11/13 伊藤 秀明 CISSP, 情報処理安全確保支援士
2. コグニティブセキュリティ 人間の認知や行動、意思決定に悪影響を与える 情報攻撃から人と社会を守ること 本日のお題 サイバーセキュリティと認知バイアス
3. 認知バイアスとは 人間の思考や判断に影響を与える 心理的な傾向や偏り
4. サイバーセキュリティで見られる認知バイアス（一部） 正常性バイアス 自分にとって都合の良い情報や現状を維 持したいという心理から、異常事態やリス クを過小評価する 過信バイアス 自分の知識や能力、組織のセキュリティ対 策に過度な自信を持つことで、新たな脅威 やリスクを軽視する 確証バイアス 自分の信念や仮説を支持する情報のみを 重視し、それに反する情報を無視または軽 視する アンカリング効果 最初に得た情報や印象に強く影響され、そ の後の判断や意思決定がそれに固定され る 利用可能性ヒューリスティック 直近で得た情報や印象深い出来事に基づ いて判断を下す グループシンク チームや組織内で一致団結を重視するあ まり、異なる意見や批判的な視点が抑制さ れる 現状維持バイアス 変化や新しいものを避け、現在の状態を維 持しようとする フレーミング効果 情報の提示方法や表現によって、意思決定 が影響を受ける サンクコストの誤謬 既に投入したコスト（時間、労力、資金）を 惜しみ、非効率的なプロジェクトや対策を 継続する
5. 電子カルテ・医療機器 向けLAN 犯罪者集団 LockBit インターネット VPN機器 電子カルテ システム バックアップ サーバー 医療機器 パソコン 参考：https://xtech.nikkei.com/atcl/nxt/column/18/01157/041900059/ VPNの脆弱性を利用し て侵入された 電子カルテシステムと バックアップサーバーが 暗号化された 医療機器やパソコンが 使えなくなった バックアップから戻せな くなった ランサムウェアに 感染した 徳島県つるぎ町立半田病院のインシデント（事象説明）
6. 電子カルテ・医療機器 向けLAN 犯罪者集団 LockBit インターネット VPN機器 電子カルテ システム バックアップ サーバー 医療機器 パソコン 参考：https://xtech.nikkei.com/atcl/nxt/column/18/01157/041900059/ 徳島県つるぎ町立半田病院のインシデント （認知バイアス観点①） • サイバー攻撃のリスクを適切に評 価できていなかった • 2年以上にわたってVPN装置の脆 弱性が放置されていた • 脆弱性が公開されても、同じVPN 装置を使い続けていた 楽観主義バイアス 悪い出来事は自分には起こりにくいと考える傾向 現状維持バイアス 変化を避け、現状を維持しようとする傾向
7. 犯罪者集団 LockBit インターネット VPN機器 参考：https://xtech.nikkei.com/atcl/nxt/column/18/01157/041900059/ 徳島県つるぎ町立半田病院のインシデント （認知バイアス観点②） 電子カルテ・医療機器 向けLAN 電子カルテ システム バックアップ サーバー 医療機器 パソコン 確証バイアス 自分の信念を支持する情報のみを重視し、反する情報 を無視する傾向 権威バイアス 専門家や権威者の意見を過度に信頼してしまう傾向 • 病院が「閉域網」という言葉を信 じ、脆弱性のあるVPNを意識しな かった • 病院側がネットワークやシステムの 運用をベンダー側に頼りきってい た
8. 参考：https://softwareisac.jp/wp/?p=19936 徳島県つるぎ町立半田病院のインシデント （認知バイアス観点③） 正常性バイアス 自分にとって都合の良い情報や現状を維持したいと いう心理から、異常事態やリスクを過小評価する傾向
9. 認知バイアスへの対策 認知バイアスの教育 職員に対して認知バイアスの存在とその影響について教育を行う セキュリティ文化の醸成 組織全体でセキュリティの重要性を共有し、 異なる意見や懸念を自由に表明できる環境を作る。 継続的なリスク評価 外部専門家の協力を得て定期的にセキュリティリスクを評価し、 最新の対策を講じる。
10. まとめ 人は自分の信念と相反する事実 を突きつけられると自分の過ち を認めるよりも、事実の解釈を 変えてしまう。 都合の良い言い訳をして、自分 を正当化し、時には事実を完全 に無視してしまう。 客観的に自組織を見る状況を作り、失敗を受け入れる 文化を醸成することが重要。