# ヒューリスティックとバイアス ## 定義 ヒューリスティックとバイアスは、決定科学(decision science、行動経済学とも呼ばれる)が明らかにした、人間の意思決定が経済学者の想定する合理的行動から系統的に逸脱する様式を指す。Herbert Simon の「有界合理性(bounded rationality)」の問題提起を出発点とし、Daniel Kahneman と Amos Tversky が実験的に発展させた。セキュリティ工学においては、2000年代半ば以降、フィッシングのクリック率からリスク認知の歪みまでを説明する枠組みとして応用されてきた。代表的な要素は以下のとおりである。 - **プロスペクト理論と損失回避**: 人は同額の損失を利得より重く評価する。損失を避けるフレーミングをした働きかけ(「PayPal アカウントが凍結されました」)は行動を誘発しやすい。付随して、アンカリング効果・可用性ヒューリスティック(想起しやすさで確率を判断する)・満足化(satisficing、厳密な計算より「まあ十分」な選択肢を選ぶ)が働く。 - **現在バイアスと双曲割引**: 直近の費用(セキュリティアップデートの手間)を将来の便益より過大評価し、更新を先延ばしにする傾向。プライバシーパラドックス(調査では懸念を表明しつつ行動が伴わない現象)の説明にも用いられる。 - **デフォルトとナッジ**: 人は多くの場合、最も楽な経路(既定の設定)をそのまま使う。Richard Thaler と Cass Sunstein の「ナッジ」概念により、選択アーキテクチャ(choice architecture)の設計が政策・製品双方で意識されるようになった。 - **意図性への既定(default to intentionality)**: 人は物理法則より先に「意図」でものごとを説明しがちである(根本的帰属の誤り)。感情系("heart")が理性系("head")を上書きする局面で強く働く。 - **感情ヒューリスティック(affect heuristic)**: 感情を刺激する問いかけは、確率的判断を鈍らせる。ポルノサイトや教会サイトがマルウェア配布に悪用されやすいのも、この心理と保守の甘さの組み合わせで説明される。 - **認知的不協和**: 矛盾する信念を同時に抱えると人は不快になり、既存の見解を補強する情報を求め、反する情報を退ける。だまされたことを認めるのが苦痛なため、詐欺師はこれを利用する。 - **リスクサーモスタット(risk thermostat)**: John Adams によるモデル。シートベルト着用が運転を慎重にさせるのではなく、知覚リスクを元の水準に戻すまで運転を荒くする(結果として歩行者・自転車の死傷が増える)といった、安全対策が主観的リスクを一定水準に保とうとする調整機構。 (Source: [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] §3.2.5〜§3.2.5.7) ## 横断的知見 - (現時点では [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] 単独からの立ち上げであり、複数ソースの突き合わせによる知見はまだない。本書の他章(§8 Economics のセキュリティ経済学、§26 Surveillance or Privacy? のプライバシーパラドックス論)や他ソースがこの概念に触れた際にここへ積み増す。) ## 未解決の問い - リスクサーモスタット(risk thermostat)は、セキュリティ対策全般(例: 二要素認証の導入がかえって注意を緩めるか)にどこまで一般化できるか。本章は自動車の安全ベルトの事例のみを扱っており、情報セキュリティ領域での実証は示されていない。 - デフォルトとナッジは防御側だけでなく攻撃側(Facebook のプライバシー設定など)にも使われると本章は指摘する。同じ選択アーキテクチャの技法が防御と搾取の両方に転用可能であるという非対称性は、どのような設計原則で防げるか。 - 現在バイアスによるセキュリティアップデートの先延ばしは、更新を「限りなく苦痛のない、ほぼ強制的なもの」にすることで解決されつつあると本章は述べるが、この解決策自体が選択の自由を奪うという別のトレードオフ(ナッジとスラッジの境界)をどう評価すべきか。 ## 関連 - 章: [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] - 実体: [[Daniel Kahneman]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 3, §3.2.5–§3.2.5.7.