サイバーセキュリティの意思決定における人間のミス

サイバーセキュリティは最近の大きな懸念事項で、特に物理プロセスとデジタル技術を組み合わせたシステムに関して。悪意のある人たちによって攻撃される可能性があるから、責任者はそれを効果的に守る必要がある。この保護の重要な側面は、攻撃者がどのように考えて行動するかを理解すること。多くの場合、守る側（ディフェンダー）と攻撃者は、利用可能な全ての情報に基づいて完全に合理的な決定を下すと思いがちだけど、実際には人間は必ずしも論理的には行動しないことが多い。

この記事では、守る側が攻撃者から2つのサイトを守ろうとするシナリオについて話してる。守る側は各サイトのセキュリティにお金をかけられるけど、総予算を超えることはできない。攻撃者は、どのサイトを攻撃するかを守る側にとって最も損失が大きくなるサイトを基に決める。守る側の選択はリスクの理解やセキュリティに投資する意欲に影響されるけど、よく使う完璧なモデルとは違って、実際の人の決定は間違いをしがち。

#ゲームの設定

このシナリオには、ディフェンダーと攻撃者の2人のプレイヤーがいる。ディフェンダーは2つのサイトを守るための予算を持ってる。攻撃者はディフェンダーがどれくらい投資するかを見て、どのサイトを狙うかを決める。ディフェンダーの目的は損失を最小限に抑えることで、攻撃者はその損失を最大化することを目指す。

ディフェンダーは各サイトにお金を振り分けることができるけど、総予算を超えた支出はできないから、決定は慎重にバランスを取る必要がある。攻撃者は投資状況が見えるから、ディフェンダーにとって最も大きな損失をもたらすサイトを攻撃することを選ぶ。

#セキュリティにおける意思決定

歴史的に、セキュリティに関する研究は、両者が合理的に行動し、損失を最小限に抑えたり利益を最大化したりしようとする前提があった。ディフェンダーのためには、予想される損失を減らすように投資すべきだということ。一方で、攻撃者はディフェンダーの選択に基づいて最高の利益を提供するオプションを探す。

でも、心理学や行動経済学の研究では、人間が完全に合理的な決定を下すことは少ないってことが示されてる。人は間違いを犯すことが多くて、特に複雑な選択をする時やプレッシャーがかかっている時には。これが最適でない決定につながって、真に最善の選択を反映しないこともある。

この不完全な意思決定の考え方を「制約された合理性」と呼ぶ。この概念をモデルに取り入れることで、ディフェンダーと攻撃者の両方におけるこれらの不完全性がセキュリティゲームにどう影響を与えるかを探る。

#クワンタル応答均衡

クワンタル応答均衡（QRE）は、制約された合理性の考え方を取り入れた概念。モデル内では、プレイヤーは常に最良の選択をするわけじゃなくて、確率に基づいてオプションを選ぶこともある。選択肢がより良い予想結果を持っていれば選ばれやすいけど、間違いやランダム性のために悪い選択をする可能性も常にある。

私たちの分析では、QRE概念を使ったフレームワークを設定した。主に、ディフェンダーが予想される結果に基づいて予算をどこに割り当てるかについての意思決定に焦点を当てている。このプロセスの重要な側面は、ディフェンダーが投資選択の不確実性だけでなく、攻撃者がどのように反応するかによる不確実性にも直面する可能性があることを認識すること。

#ディフェンダーの選択と行動バイアス

ディフェンダーが投資戦略を選ぶ際に、どれだけ最良の選択をしやすいかを考慮する。もしディフェンダーの投資戦略が予想損失を最小化しているなら、その選択をする可能性が高い。しかし、行動バイアスが高くなると、ディフェンダーは選択に対して不確実であったり一貫性が欠けたりして、投資判断が悪化することがある。

つまり、ディフェンダーのバイアスが増えると、最も効果的な投資を行う確率が下がる可能性がある。ディフェンダーの感情的反応や認知的限界、リスクに対する誤解は、リソースの誤配分に繋がることがある。

#損失値の影響

攻撃からの潜在的な損失は、ディフェンダーの投資戦略において重要な役割を果たす。もしあるサイトの損失値が高ければ、ディフェンダーはその点を考慮して予算をどこに使うかを決める必要がある。損失値とディフェンダーの投資の関係は、ゲームの結果に大きな影響を与える。

例えば、あるサイトを守る価値が他よりも高ければ、ディフェンダーはそのサイトを守るためにもっとリソースを割くべきだ。攻撃からの潜在的な損失が大きいから。しかし、ディフェンダーがサイトの価値を誤って判断したりリスクを過小評価したりすると、リソースを効率的に配分できないかもしれない。

#クワンタル無秩序の価格

ディフェンダーの行動が理論的な最適な結果とどれだけ効果的かを評価する方法の一つが、クワンタル無秩序の価格（PoQA）という概念。これは、ディフェンダーが行動バイアスに基づいて決定するときの非効率性を測定するのに役立つ。

PoQAは、合理的なディフェンダーがするだろう行動（完璧な選択をする人）と、バイアスのある決定をするディフェンダーの平均的な成果との差を見ている。PoQAが高いほど、非効率性が大きいことを示していて、行動上のエラーがディフェンダーだけでなく、システム全体のセキュリティにも悪影響を及ぼすことを強調してる。

#数値シミュレーション

私たちは、ディフェンダーの選択がバイアスやサイトの損失値にどう影響されるかを示すために数値シミュレーションを行った。異なる損失値や行動レベルでさまざまなシナリオをテストして、これらの要因が最適な投資をする確率にどう影響するかを観察した。

結果は、行動バイアスが増えると、ディフェンダーが最適なセキュリティ投資を選ぶ可能性が減少することを示した。つまり、ディフェンダーがクリアに考えられなかったり、衝動的に行動しすぎたりすると、より高い予想損失につながる悪い決定をすることになる。

さらに、シミュレーションはサイト間の損失値の変化が投資戦略に大きな影響を与えることを示した。ある場合では、1つのサイトの損失を増やすことが、そのエリアでの投資を良くする結果となる一方、他のシナリオでは、あるサイトに過度に集中するともう一方をおろそかにすることになる。

#結論

まとめると、この分析はサイバーセキュリティシナリオにおける意思決定の複雑さに光を当てている。行動バイアスをフレームワークに統合することで、人間のエラーがセキュリティの結果にどう影響するかをより深く理解できる。研究結果は、サイバー物理システムを効果的に守るには、合理的な選択モデルに基づく最適な戦略だけでなく、人間の意思決定の欠陥の影響も考慮することが重要であることを示唆している。

クワンタル無秩序の価格のような概念を導入することで、セキュリティ投資の非効率性を定量化する貴重な方法が提供される。今後の研究では、より複雑なシステムを調べたり、さまざまな攻撃者の行動レベルを導入したりして、これらのダイナミクスをより深く理解できるようにすることができる。

人間の行動とセキュリティにおける意思決定の相互作用をよりよく理解することで、悪意のある攻撃からシステムを守るためのより効果的な戦略を開発でき、最終的には関係者全体のセキュリティが向上することにつながる。