インシデント対応でリーダーを誤らせる「判断の魔」と、取り戻すための「間」
判断と決断の分かれ道
「至急、全システムを止めろ」
「原因を特定して、すぐ報告してくれ」
「誰の判断でこうなったのか」
インシデントの第一報を受けた直後、こうした指示が発せられる場面は珍しくありません。だが、セキュリティ事故の初動において、こうした反射的な指示はしばしば状況を悪化させます。
理由は明確です。
初動で最も重要なのは、即断そのものではなく、状況認識の精度を確保することだからです。
インシデント対応の現場では、「早く決めること」が評価されがちです。しかし実務上、本当に重要なのは、何を決めるかより前に、何が起きているのかをどこまで正確に把握できているかです。NISTのインシデント対応ガイドでも、対応は「分析」と「適切な行動」を通じて損失や影響を抑える活動として整理されており、検知・分析・優先付け・対応が一連の流れとして位置付けられています [3]。
本稿では、インシデント対応におけるリーダーの失敗を、「判断」と「決断」の混同として捉え直し、その混同を引き起こす心理的・認知的要因、そしてそれを抑制するための実務的な技法としての「間」について考えます。
「判断」と「決断」は別の行為である
インシデント対応の現場では、この2つがしばしば同じ意味で扱われます。ですが、実務では分けて考える必要があります。
判断とは、断片的な情報を評価し、状況を解釈し、「いま何が起きているのか」を見極める行為です。
一方の決断は、その判断結果を踏まえて、複数の選択肢の中から一つを選ぶ行為です。
例えば、
- このアラートは真正な侵害兆候なのか
- 影響範囲は単一端末か、認証基盤か、業務系まで波及しているのか
- これは事実として確認されたものか、それとも相関関係からの推測か
といった問いに向き合うのが判断です。
その上で、
- ネットワーク隔離を行うか
- 外部公開システムを停止するか
- CSIRTの権限を引き上げるか
- 経営報告・法務連携・対外公表の準備に入るか
を選ぶのが決断です。
この順序が逆転すると、組織は「不十分な認識のまま、強いアクションだけを選ぶ」状態に陥ります。
それはスピードではなく、認識不足のまま行う高コストな賭けです。
初動で起きる失敗の多くは、技術の問題ではなく認知の問題である
インシデント初動でよく見られる失敗は、技術的な能力不足だけで起きるわけではありません。むしろ多くは、高ストレス環境での認知の歪みから始まります。
神経科学の研究では、急性ストレス下では前頭前野の機能が低下し、複雑な判断、ワーキングメモリ、認知的柔軟性が損なわれやすくなる一方で、より反射的・情動的な回路が優位になりやすいことが示されています [1]。また、急性ストレスがワーキングメモリや認知的柔軟性に悪影響を与えやすいことは、メタ分析でも示されています [2]。
インシデント対応に当てはめると、これは極めて実務的な意味を持ちます。
つまり、リーダー本人が焦っているときほど、
- 早く何か言わなければならない
- 強い統制を示さなければならない
- 原因や責任者を即座に明らかにしなければならない
という衝動が強まりやすいのです。
この状態では、リーダーは「判断している」つもりでも、実際には不安に反応しているだけになりやすい。
本稿ではこの状態を、便宜上「判断の魔」と呼びます。
「判断の魔」が組織にもたらす3つの悪影響
この"魔"が厄介なのは、リーダー個人の思考を乱すだけでなく、組織全体の情報品質を下げる点にあります。
- 事実と推測が混線する
初動では情報が断片的です。ログ、EDRアラート、運用担当者の観測、ベンダー通知、利用部門からの異常申告など、粒度も確度も異なる情報が一気に流れ込みます。
この状況でリーダーが「つまり何が起きているんだ」「結論だけ先に言ってくれ」と迫ると、現場は空白を埋めようとして推測を事実のように語り始めます。
- 現場が萎縮し、報告が"上向き最適化"される
「まだ分からない」と言いにくい空気ができると、現場は精度より安心感を優先します。
結果として、上に上がる情報は「正しい情報」ではなく、「上司が落ち着きそうな情報」に変質します。
これはインシデント対応において最も危険な兆候の1つです。
- 高コストな決断が早まり、復旧や調査をむしろ難しくする
不十分な判断のまま全停止・強制隔離・一斉パスワード変更・広範な遮断を行うと、確かに一時的な安心感は得られます。
しかし、証跡保全、影響範囲把握、業務継続、対外説明の整合性を損なうこともあります。
強いアクションは必要ですが、認識の質を置き去りにした強いアクションは、しばしば二次被害を生むのです。
リーダーが最初にやるべきことは、命令ではなく「場の安定化」である
NISTは、現代のインシデント対応を一部門の単発作業ではなく、組織横断で継続的に改善されるべきリスクマネジメント活動として位置付けています [3]。
この考え方に立てば、リーダーの役割は単純な指示役ではありません。
リーダーの第一の役割は、組織が正しく判断できる状態を維持することです。
そのために必要なのは、初動で自らの反射を抑え、現場の報告が劣化しない空気をつくることです。
ここで有効なのが、「間」です。
「間」は遅延ではない。認知を整えるための制御動作である
日本文化における「間」は、単なる空白ではありません。空間、沈黙、時間の余白に意味を持たせ、全体の質を整える考え方です [4]。
これをインシデント対応に置き換えると、「間」とは精神論ではなく、認知を整えるための制御動作と考えられます。
例えば、重大インシデントの第一報を受けた直後に、
- すぐに断定しない
- すぐに犯人探しに向かわない
- すぐに最大アクションを叫ばない
代わりに、数秒でよいので呼吸を整え、発話を遅らせる。
この短い停止は、実務上かなり意味があります。急性ストレスが複雑な判断機能を損ないやすい以上 [1][2]、意図的に"一拍置く"ことは、リーダーの認知品質を守る具体策になります。
重要なのは、「間」を感覚的な美徳で終わらせないことです。
実務では、以下のように定義しておくと使いやすくなります。
間＝反応の前に、状況認識を整えるための短い制御時間
この定義なら、SOC責任者、CSIRTマネージャー、CISO、事業責任者のいずれにも適用できます。
実務で使える初動フレーズ：「事実」と「推測」を分けてください
「間」を取った後、リーダーが最初に発する言葉は非常に重要です。
ここで命令口調に入ると、現場の思考は再び萎縮します。
初動で有効なのは、例えば次の一言です。
状況を整理したい。現時点で確認できている事実と、そこから考えている推測を分けて報告してください。
この問いには、少なくとも4つの効果があります。
- 情報の構造化
混在していた観測事実、相関、仮説、懸念が分離されます。 - 報告品質の向上
「まだ分からない」を許容しつつ、分かっている範囲を明確にできます。 - 判断材料の透明化
どこから先が推定なのかが明確になり、後続の決断の説明責任を果たしやすくなります。 - 現場の認知負荷の低減
何を整理して報告すべきかが明確になるため、混乱の中でも思考が戻ります。
これは単なるコミュニケーション技法ではありません。
インシデント対応の本質である「分析して、優先順位を付け、適切に対応する」ための土台そのものです [3]。
リーダーが初動5分で確認すべきこと
初動のリーダーは少なくとも次の4点を整理する必要があります。
- 何が観測事実か
- どのログ、アラート、通知、業務影響が確認済みか
- 誰が、どの時点で、何を見たのか
- 再現性や裏取りはあるか
- 何が仮説か
- 侵入経路
- 横展開の有無
- データ流出や暗号化の可能性
- 攻撃者の意図や攻撃種別
- いま必要な決断は何か
- 証跡保全を優先するのか
- 被害拡大防止を優先するのか
- 業務継続を優先するのか
- 社内報告線をどこまで引き上げるのか
- 次の報告時点をいつにするか
- 15分後
- 30分後
- 60分後
初動で全てを確定させる必要はありません。
むしろ重要なのは、不確実性を見える化したまま前に進めることです。
リーダーの役割は「最も早く決める人」ではなく、「最も遅く取り乱す人」
インシデント対応において、リーダーには決断が求められます。
しかし、より本質的には、判断の精度を支える環境を維持する役割が求められます。
- 現場が「まだ分からない」と言えること
- 事実と推測が分けられていること
- 仮説が仮説として扱われること
- 強いアクションの前に、影響と目的が言語化されること
この状態を保てるかどうかで、インシデント対応の成否は大きく変わります。
AIの普及によって、分析、要約、通知、報告の速度はさらに上がっていきます。
その結果、組織にはこれまで以上に「即時性」の圧力がかかるでしょう。
だからこそ、今後のセキュリティリーダーには、さらに速く反応する能力ではなく、反応と判断のあいだに認知的余白をつくる能力が必要になります。
そのとき、「間」は古風な精神論ではなくなります。
それは、高速環境で判断品質を守るための運用技術になります。
まとめ
インシデント対応の初動で重要なのは、勇ましい決断ではない。
まず必要なのは、状況認識を整えるための判断です。
その判断を壊すのが、ストレスと焦燥による「判断の魔」です。
そして、それに対抗する最もシンプルで実務的な方法が、「間」を置くことです。
ほんの数秒、発話を遅らせる。
その上で、「事実」と「推測」を分けて確認する。
この基本動作だけで、現場の報告品質も、その後の決断品質も大きく変わります。
インシデント対応におけるリーダーの役割は、
単に「決めること」ではありません。
組織が正しく判断できる状態を守ること。
そこにこそ、現代のセキュリティリーダーシップの本質があります。
参照
[1] Arnsten, A. F. T. "Stress signalling pathways that impair prefrontal cortex structure and function." Nature Reviews Neuroscience 10, 410-422 (2009).
https://pmc.ncbi.nlm.nih.gov/articles/PMC2907136/
[2] Shields, G. S., Sazma, M. A., McCullough, A. M., Yonelinas, A. P. "The Effects of Acute Stress on Core Executive Functions: A Meta-Analysis and Comparison with Cortisol." Neuroscience & Biobehavioral Reviews 68 (2016): 651-668.
https://pmc.ncbi.nlm.nih.gov/articles/PMC5003767/
[3] NIST. NIST SP 800-61r3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management (2025).
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf
[4] JAPAN HOUSE Los Angeles. "A Perspective on the Japanese Concept of 'Ma'."
https://www.japanhousela.com/articles/a-perspective-on-the-japanese-concept-of-ma/