正解：イ
各選択肢の解説
ア委員全員が同意しているので、発生可能性を「高」とそのまま評価する。
誤り。全員が同じ報道を見て同じ印象を持っていれば、人数が多くても偏りは打ち消されません。 同調が重なると、根拠を確かめないまま評価が固まります。 合意の有無と、見積もりの根拠があるかどうかは別の問題です。
イ印象に残る事例に引きずられているおそれがあるため、発生状況の記録で根拠を確かめる。
正解。思い出しやすい出来事ほど起こりやすく感じるのは、判断する人の側の偏り（認知バイアス）です。 自社や業界の発生状況の記録と照らせば、印象と根拠を切り分けて評価できます。
ウ報道された被害の件数を数え、その多さを発生可能性の評価にそのまま使う。
誤り。報道は大きな被害や目新しい手口ほど取り上げられやすく、起きた件数を偏りなく 映していません。報道件数は集め方の偏り（統計的バイアス）を含むデータで、 印象を数字に置き換えただけになります。
エ評価が過大になるおそれがあるため、ランサムウェアをリスクの一覧から外す。
誤り。偏りを疑うことと、リスクを否定することは違います。ランサムウェアは実際に多くの組織で 被害が出ている脅威で、外せば評価から抜け落ちます。偏りへの対処は、 評価をやめることではなく根拠で確かめ直すことです。
理解を深めるために
「よく思い出せること」は「よく起きること」ではない
飛行機事故のニュースを見た直後は、飛行機が自動車より危なく感じられます。 実際の事故の起きやすさは変わっていないのに、印象の強い出来事が頭に浮かびやすいからです。 このように、データを受け取る人の側の思い込みや先入観で判断がずれることを 認知バイアスといいます。
リスク評価のどこで偏るのか
リスクアセスメントでは、脅威ごとに発生可能性と影響の大きさを見積もります。 発生可能性を経験や印象で見積もると、次のようなずれが生じます。
- 最近の大きな報道があった脅威は、発生可能性を高く見積もりやすい
- 話題になっていない脅威は、実際には多くても低く見積もりやすい
- 会議で最初に出た意見に、後の意見が引き寄せられやすい
担当者は、印象で出た評価を否定するのではなく、自社のインシデント記録や 公的機関・業界団体が公表している被害状況などで根拠を確かめる役を担います。 ランサムウェアの発生可能性が根拠に照らしても高ければ「高」でよく、 大事なのは評価の理由を記録に残せることです。
混同しやすいものとの違い
| 用語・対応 | 何が偏っているか | この場面での扱い |
|---|---|---|
| 認知バイアス | 判断する人の印象や思い込み | 記録と照らして確かめる |
| 統計的バイアス | データの集め方（報道の選ばれ方） | 報道件数をそのまま使わない |
| 同調 | 他の人の意見への引き寄せ | 合意は根拠の代わりにならない |
| リスクから外す | 偏りへの過剰な修正 | 実在する脅威が抜け落ちる |
偏りが「データの側」にあるのか「判断する人の側」にあるのかで、 統計的バイアスと認知バイアスを見分けます。