正解：ア
各選択肢の解説
ア規則性は仮説として扱い、別の期間のログや個別の事例で、不正との関係を確かめる。
正解。データマイニングが見つけるのは「一緒に起きやすい」という関連で、理由までは 教えてくれません。仮説として扱い、別のデータや事例で確かめてから対策に使います。
イ大量のデータから得られた結果なので、深夜のログインを不正の原因と判断する。
誤り。データの量が多いと偶然の一致は減りますが、関連が因果であることまでは保証しません。 夜勤のある部署の利用者が、勤務の合間にパスワードを忘れやすいだけかもしれません。 「よく一緒に起きる」と「一方が他方を引き起こす」は別の主張です。
ウ確かめる前に検知ルールへ組み込み、当てはまる利用者のアカウントを自動で止める。
誤り。規則性が不正と関係するかを確かめないまま遮断に使うと、夜勤者など正当な利用者を 大量に止めてしまいます。業務への影響が大きい対策ほど、根拠を確かめてから入れます。 発見と対策の間に、検証の段階を挟むのが要点です。
エ事前に立てた仮説から得た結果ではないので、偶然とみなして分析から外す。
誤り。仮説を持たずに大量のデータから想定外の規則性を掘り出すのが、データマイニングの 役割です。仮説が先にないことは捨てる理由になりません。仮説を確かめる仮説検定と 取り違えると、手法の意味を失います。
理解を深めるために
掘り出した規則性は「答え」ではなく「手がかり」
鉱山で掘り出した石は、磨いて調べるまで宝石かどうか分かりません。データマイニングも同じで、 大量のデータから見つかった規則性は、調べる価値のある手がかりにとどまります。 「深夜のログイン」と「翌週のパスワード再設定」がよく一緒に起きるという結果は、 不正ログインの兆候かもしれませんし、夜勤の部署の事情にすぎないかもしれません。
なぜ確かめてから使うのか
データマイニングは、人が仮説を立てていなかった関連を見つけられる点が強みです。 その一方で、次の限界があります。
- 見つかるのは「一緒に起きやすい」という関連で、原因と結果の向きは分からない
- 両方を動かしている別の要因（勤務形態など）が隠れていることがある
- 同じデータを何通りも調べると、偶然の一致も規則性として拾ってしまう
そこで、別の期間のログで同じ傾向が出るか、該当した利用者の事例を個別に見て 不正と結びつくかを確かめます。確かめられた部分だけを検知ルールに反映すれば、 正当な利用者を止める誤検知を抑えられます。
情報セキュリティの担当者は、ログ分析の結果から監視や遮断のルールを作る場面があります。 ルールは業務を止める力を持つので、発見をそのまま対策にしないことが大切です。
混同しやすいものとの違い
| 扱い方 | 何をしているか | この場面での問題 |
|---|---|---|
| 仮説として検証する | 関連を手がかりに、別のデータで確かめる | なし |
| 因果と断定する | 関連を原因と結果に読み替える | 隠れた要因を見落とす |
| すぐ遮断に使う | 検証を飛ばして対策にする | 正当な利用者を止める |
| 偶然として捨てる | 仮説がないことを理由に外す | データマイニングの意義を失う |
データマイニングは「見つける」手法、仮説検定は「確かめる」手法です。 見つけた規則性を対策に使う前に、確かめる段階を挟むかどうかで判断します。