セキュリティの敵「アクションバイアス」の正体と回避策【後編】

「サイバー攻撃を二度と受けない」が“最悪の目標”であるこれだけの根拠

強いストレスを感じる状況に置かれ、すぐに行動する衝動を抑え切れない「アクションバイアス」。企業はサイバー攻撃を受けたとき、どうすればアクションバイアスを避け、冷静に対処できるのか。

公開 2021年09月27日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　世界各国に急速に広がっているランサムウェア（身代金要求型マルウェア）攻撃。ランサムウェアがシステムを暗号化したり、ロックしたりするとビジネス活動ができなくなるので、被害企業がすぐにアクションを起こそうとするのはごく人間的な行動だ。しかし攻撃を受けたときの対処方法として、こうした「アクションバイアス」に基づく行動は適切とは言えない。アクションバイアスとは、攻撃を受けたという大きなストレスにさらされ、「とにかくアクションを起こしたい」と思ってしまう心理現象のことだ。

　前編「ランサムウェア被害の企業が、バックアップを取っていても身代金を払ってしまう“心理的理由」に続く後編となる本稿は、アクションバイアスを避けるためのヒントを探る。

併せて読みたいお薦め記事

知っておきたいインシデント対策

ランサムウェア攻撃は後を絶たない

「攻撃を二度と発生させない」ことを目標に掲げるのは、なぜ“危険”か？

　米国家安全保障局（NSA）サイバーセキュリティコラボレーションセンターのテクニカルフェロー、ジョサイア・ダイクストラ氏によると、企業はランサムウェア攻撃を受けたとき、冷静に状況を分析せず、身代金を支払ったり、システムを遮断したりするなど、即座に行動を起こす傾向にある。だが「これらが最善の行動になることはまずない。それよりも適切で賢明な対応ができるはずだ」と、2021年8月開催のセキュリティカンファレンス「Black Hat 2021」の講演でダイクストラ氏は語った。

　ダイクストラ氏によると、米国の企業文化から考えれば、攻撃を受けたという“失敗”は、最高情報セキュリティ責任者（CISO）や他のリーダーにとって解雇のリスクを伴う。そのため彼らは迅速な対処によって自分の腕を見せて、解雇されることを必死に避けようとする。こうした行動こそがアクションバイアスの結果だ。

　同じくBlack Hat 2021で講演したジョンズ・ホプキンス大学公衆衛生学大学院（Johns Hopkins Bloomberg School of Public Health）シニアアソシエイトのダグラス・ハフ氏は、「攻撃を二度と発生させないことを目標に掲げるのは危険だ」と述べた。企業はその目標達成のために何でもしようとするからだ。リソースを不当に費やしたり、従業員に無用なストレスを与えたりするため、かえって攻撃のリスクが高まる恐れがある。

　ハフ氏とダイクストラ氏によると、攻撃の被害を最小限に抑えるために、時間をかけて対策を進めることが最善の方法だ。時間をかけることは「何もしない」ことではない。ダイクストラ氏は、攻撃を受ける前からセキュリティ担当者は対処計画を打ち出し、訓練をすることが有効だと説明する。そうすれば攻撃を受けたときも冷静を保ち、アクションバイアスを防ぐことができるということだ。

　アクションバイアスの認識は「解決の第一歩だ」と、ハフ氏とダイクストラ氏は語る。企業はアクションバイアスを踏まえた上で準備を整え、合理的な行動に結び付くプランを立てることが重要だ。ダイクストラ氏は「計画を実践するに当たり、不測の事態に備える必要がある。セキュリティの世界は何が起こるかを全て予想することはできないからだ」と語る。