Day 118 見えない壁 :楽観バイアスという静かな妨害者 A Hidden Barrier: Optimism Bias
[シリーズ構造] 柱D｜脅威の現実
セキュリティ議論を静かに崩すのは、「うちは大丈夫」という思い込み。根拠のない安心が、危険を小さく見せ、現実の攻撃経路を机上の話にしてしまう。対策は規則を増やすことではありません。 仕組みが何を可能にし、どんな条件で悪用され、なぜ実行されるのかを具体的に描き、損失・停止・信用への影響まで落とし込むこと。目的は恐れさせることではない。 見えている状態で、構造に基づいて判断するためです。
▶ シリーズ概要： シリーズ全体マップ：人間のしなやかさ ― サイバー判断力のために
▶ 柱E｜脅威の現実 関連記事：
- Day 59 | 攻撃者をステークホルダーとしてデザインする
- Day 60 | セキュリティトレーニングが失敗する理由
- Day 61 | 経験の科学
- Day 61 | すべてを変えた数字
- Day 63 | AIが攻撃者になる時
- Day 63 | 攻撃を学ぶことの倫理
- Day 65 | 理論から実践へ
- Day 66 | 手法 1: レッドチェア・テクニック
- Day 67 | 手法2: ユースケースの隣に、アビューズケースを置く
- Day 68 | 手法3 : STRIDE
- Day 105 | 手法4：セキュリティ・チャンピオン・ネットワーク
- Day 106 | 手法5: ハンズオン攻撃トレーニング
- Day 107 | 手法 6: セキュリティのガードレールを「デフォルト」にする
- Day 108 | 手法7：セキュア設計・チェックリスト
- Day 109 | 手法8：セキュリティ設計レビュー・テンプレート
- Day 110 | 方法9：責めない事後検証
- Day 111 | 実装ロードマップ
- Day 112 | 敵対的思考が「本当に効いている」と分かる方法
- Day 113 | 三層変革
- Day 114 | レイヤー1：個人の行動変容
- Day 115 | ２層目（レベル２）：システムデザインを変える
- Day 116 | ３層目（レベル３）：組織文化の変容
- Day 117 | AIのひねりは、概念では終わらない
- Day 118 | 見えない壁 :楽観バイアスという静かな妨害者
見えない壁 :楽観バイアスという静かな妨害者
セキュリティの議論を、いちばん静かに、でも確実に崩していく心理があります。
こんな言葉です。
「うちはちゃんとしているから。」
「うちは他と違うから。」
「それは、うちでは起きない。」
悪気はありません。むしろ真面目です。自信もあります。でも、そのパターンには名前があります。楽観バイアス（optimism bias）。根拠があるわけではないのに、「悪いことは自分には起きにくい」と無意識に信じてしまう傾向です（Weinstein, 1980; Sharot, 2011）。
サイバーの世界では、こう現れます。
- インシデントの確率を、つい低く見積もる
- 悪用シナリオを「レアケース」として脇に置く
- 実在する攻撃経路を「理論上の話」にしてしまう
そして、十分に検証されないまま、機能は自信とともに承認される。事故が起きる、その直前まで。
楽観バイアスは、ポリシーを増やしても消えません。弱まるのは、リスクが「具体」になったときです。そこで効いてくるのが、abuse case思考とMOMフレームです。
- Means（手段） -- この仕組みは、実際に何を可能にしているか
- Opportunity（機会） -- どんな条件で悪用が現実になるか
- Motive（動機） -- なぜ誰かが、それをやるのか
ふわっとした安心感を、検証可能なシナリオに置き換える。さらに、それをビジネス影響に翻訳する。
- 金銭的損失
- 業務停止
- 信頼の毀損
ここまで落としたとき、「うちは大丈夫」という反射は、少しだけ揺らぎます。目的は、怖がらせることではありません。安心のまま決めるのではなく、見えている状態で決めること。
リスクは、脅しではありません。判断材料です。そして判断は、"気分"ではなく、"構造"で支えるものです。
------
[Series Structure] Pillar D | Threat Reality
One of the quietest disruptors of security conversations is optimism bias, the belief that "it won't happen to us."It leads teams to underestimate incident likelihood, dismiss abuse cases, and treat real attack paths as hypothetical. Policies alone don't fix this. Optimism bias weakens when risk becomes concrete.
▶ Series overview: Series Map - Human Flexibility for Cyber Judgment
▶ Other posts in Pillar E (Pillar D | Threat Reality):
- Day 59 | Design with Attacker as Stakeholder
- Day 60 | Why Security Training Fails
- Day 61 | The Science of Experience
- Day 62 | The Numbers That Changed Everything
- Day 63 | When AI Becomes the Attacker
- Day 64 | The Ethics of Learning to Attack
- Day 65 | From Theory to Practice
- Day 66 | Method 1 :The Red Chair Technique
- Day 67 | Method 2: Abuse Cases Alongside Use Cases
- Day 68 | Method 3: STRIDE
- Day 105 | Method 4: Security Champions Network
- Day 106 | Method 5: Hands-On Attack Training
- Day 107 | Method 6: Security Guardrails as Defaults
- Day 108 | Method 7: The Secure Design Checklist
- Day 109 | Method 8: The Security Design Review Template
- Day 110 | Method 9: The Blameless Security Post‑Mortem
- Day 111 | The Implementation Roadmap
- Day 112 | Measuring Progress and Mindset Change
- Day 113 | The Three-Layered Transformation
- Day 114 | Level 1: Individual Behavior Transformation
- Day 115 | Level 2: System Design Transformation
- Day 116 | Level 3: Organizational Culture Transformation
- Day 117 | The Transformation That Matters Most
- Day 118 | A Hidden Barrier: Optimism Bias
A Hidden Barrier: Optimism Bias
There's one psychological force that quietly derails more security conversations than most teams realize. It sounds like this:
"We're careful."
"We're different."
"That won't happen to us."
That pattern has a name: optimism bias, the tendency to believe, without evidence, that negative events are less likely to happen to us than to others (Weinstein, 1980; Sharot, 2011).
In cybersecurity, optimism bias shows up as the belief that breaches happen elsewhere, but our organization will somehow avoid them--not because of data or design, but because it feels reasonable.
It pushes teams to:
- underestimate the likelihood of incidents,
- dismiss abuse cases as "edge scenarios,"
- treat real attack paths as hypothetical.
And it helps explain why features get approved with confidence, right up until an incident proves otherwise.
Optimism bias doesn't go away with more policies. It weakens when risk becomes concrete.
That's where abuse cases (a.k.a. misuse/abuse-case thinking) and the MOM framing help. By spelling out:
- Means- what the system actually enables,
- Opportunity- when misuse can realistically occur,
- Motive- why someone would exploit it,
...you replace vague reassurance with specific, testable scenarios (Van Ruitenbeek et al., 2010; Sindre & Opdahl, 2005; McDermott & Fox, 1999).
And when those scenarios are translated into business impact, financial loss, operational disruption, reputational damage, the "that won't happen to us" reflex starts to crack.
The goal isn't to scare people.
It's to help them see risk as it truly is--so decisions are made with clarity, not comfort.
ーーー
References 出典・参照文献
Alnifie, K. M., & Kim, C. (2023). Appraising the manifestation of optimism bias and its impact on human perception of cyber security: A meta analysis. Journal of Information Security, 14, 93-110. https://doi.org/10.4236/jis.2023.142007 (PDF: https://www.scirp.org/pdf/jis_2023022209434506.pdf)
McDermott, J., & Fox, C. (1999). Using abuse case models for security requirements analysis. In Proceedings of the 15th Annual Computer Security Applications Conference (ACSAC '99) (pp. 55-66). IEEE. https://doi.org/10.1109/CSAC.1999.816013 (abstract record: https://ui.adsabs.harvard.edu/abs/1999csac.conf....9M/abstract)
OWASP Foundation. (n.d.). Threat modeling cheat sheet. OWASP Cheat Sheet Series. Retrieved February 21, 2026, from https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html
Rhee, H.-S., Ryu, Y. U., & Kim, C.-T. (2012). Unrealistic optimism on information security management. Computers & Security, 31(2), 221-232. https://doi.org/10.1016/j.cose.2011.12.001 (ScienceDirect: https://www.sciencedirect.com/science/article/abs/pii/S0167404811001441)
Sharot, T. (2011). The optimism bias. Current Biology, 21(23), R941-R945. https://doi.org/10.1016/j.cub.2011.10.030
Sindre, G., & Opdahl, A. L. (2005). Eliciting security requirements with misuse cases. Requirements Engineering, 10(1), 34-44. https://doi.org/10.1007/s00766-004-0194-4
Van Ruitenbeek, E., Keefe, K., Sanders, W. H., & Muehrcke, C. (2010). Characterizing the behavior of cyber adversaries: The means, motive, and opportunity of cyberattacks. University of Illinois at Urbana-Champaign (PERFORM). https://www.perform.illinois.edu/Papers/USAN_papers/10VAN01.pdf
Weinstein, N. D. (1980). Unrealistic optimism about future life events. Journal of Personality and Social Psychology, 39(5), 806-820. https://doi.org/10.1037/0022-3514.39.5.806