調整ゲームをしようか？

調整ゲームをしようか？ 「季節は移ろい、互いの信頼と安全が欠けることで、私たちは共に収穫を失う。」——デイヴィッド・ヒューム『人間本性論』 以前にも述べたように、セキュリティは製品として扱われるべきです。つまり、組織に利益をもたらすプロセスを通じて生み出される「何か」として。あらゆる製品には目的があり、それがユーザーの達成を助けようとする何かがあります。もしセキュリティが製品であるならば、その目的は何でしょうか？それはユーザー、つまり組織が何を達成するのを助けようとしているのでしょうか？この目的がなければ、セキュリティは目的を失い、「セキュリティそれ自体のためのセキュリティ」という悲惨な罠にはまってしまう可能性があります。もしセキュリティをビジネスイネーブラーとして扱うなら、どのような結果になるでしょうか？多くのテクノロジー組織において、最も重要なビジネスイネーブラーはソフトウェアデリバリーのパフォーマンスです。したがって、セキュリティはソフトウェアデリバリーのパフォーマンスに焦点を当てる関連するステークホルダー、特にエンジニアリング組織（通称DevOps機能）と協力すべきです。業界でよく議論されているように、セキュリティとDevOpsの関係は、協力どころか協調とは程遠く、しばしば困難で、冷淡で、敵対的であると表現されます。これには文化的な理由がありますが、本稿では扱いません。代わりに、行動経済学に依拠し、ゲーム理論における協力ゲームとモラルハザードの概念をレンズとして用いて、セキュリティとDevOpsの関係をよりよく理解しようと思います。それでは、調整ゲームを始めましょうか？深く掘り下げていきましょう。 **協力への障壁 協力ゲーム** 人生におけるほとんどの関係は、「ゲーム」という概念、すなわち特定のルールや条件を伴う意思決定者間の行動的関係を通じて考察できます。情報セキュリティがDevOpsの同僚とプレイするゲームをどのように考えるかの背景として、ゲームの異なる潜在的な属性を探る価値があります。ゲームは協力的なものと非協力的なものがあります。非協力ゲームでは、ゲームのプレイヤー間に協力を行わせる外部の権限がなく、プレイヤー間の競争が含まれ、その結果、同盟の機会はありません。攻撃者と防御者の間のゲームは非協力ゲームと見なすことができます。協力ゲームは、当然のことながら、競争ではなく協力を含みます。プレイヤーは連合を形成して戦略を調整し、潜在的な報酬を共有することができます1。より有名な協力ゲームの1つは囚人のジレンマであり、2人の囚人が自白するか沈黙を保つかを決定しなければならない非ゼロサム協力ゲームです。非ゼロサムゲームとは何でしょうか？ゼロサムゲームでは、ゲーム内のすべてのプレイヤーの総報酬はゼロになります。つまり、あるプレイヤーの利益は他のプレイヤーの損失とまったく同じになります。現実世界のシナリオでゼロサムゲームを含むものはほとんどありませんが、ポーカーゲームはその一例です。したがって、非ゼロサムゲームとは、すべてのプレイヤーの総報酬がゼロにならないゲームであり、あるプレイヤーの利益が他のプレイヤーの同等の損失をもたらさないゲームです。自由貿易は、すべてのプレイヤーがウィンウィンのシナリオで利益を得ることができる非ゼロサムゲームの一例です。前述の囚人のジレンマは非ゼロサムであり、ウィンウィンまたはルーズルーズのシナリオになる可能性があります。 情報は、戦略的相互作用の中心にあるため、すべてのゲームの不可欠な要素です。特に、ゲームにおける他のプレイヤーの意思決定に関する情報です。完全情報ゲームでは、すべてのプレイヤーは他のプレイヤーが以前に行ったすべての決定を知っています。ご想像のとおり、現実世界では、三目並べやチェスのようなゲームを除いて、そのような全知はめったに許されません。不完全情報は私たちの存在に共通しており、プレイヤーはゲーム内の他のプレイヤーによる以前の意思決定をすべて見ることができません。完全情報と不完全情報は、ゲームのもう一つの情報特性です。完全情報ゲームでは、プレイヤーは潜在的な報酬、リスク許容度、戦略、他のプレイヤー間のプレイヤーの「タイプ」を理解しています。繰り返しになりますが、完全情報は現実世界では largely unrealistic です。代わりに、不完全情報ゲームは人間の相互作用で最も一般的であり、プレイヤーは他のプレイヤーの好み、動機、その他の戦略的情報を識別できません。真のゲーム理論家を驚かせるかもしれませんが、明瞭さのために、これらの情報ベースの特性を情報非対称性という概念に要約します。これは、プレイヤーが他のプレイヤーがアクセスできない関連情報を所有していることを意味します。通常、情報非対称性は取引のレンズを通して分析されますが、私はそれがすべて関連するプレイヤー間の意思決定に戻ると主張します。私はDevOpsと情報セキュリティの関係を情報非対称性のある調整ゲームと見なすことができると信じています。私はそれが非協力ゲームであるとは思いません。なぜなら、情報セキュリティとDevOpsが連携を形成する十分な余地があり、組織が協力の外部の執行者として機能する可能性があるからです。DevOpsも情報セキュリティも、互いの意思決定プロセスを完全に把握しておらず、関連するすべての情報（その多くは暗黙的で部族知識と見なされるかもしれない）にアクセスできないため、情報非対称性も存在します。DevOpsと情報セキュリティの関係が調整ゲームであるという仮定で進む場合、私たちの目標は、集団的な報酬を最大化するために協力をどのように奨励するかを理解することです。これにより、重要な疑問が生じます。調整の失敗につながるものは何でしょうか？1つの要因は、プレイヤー間の戦略的不確実性、つまり彼らの目標が一致していることに気づいていないことです。おそらく当然のことながら、目標の不一致も協力ゲームにおける摩擦を引き起こす可能性があります。したがって、好みが一致している場合には協力を促進し、好みが一致していない場合には協力を強制するためのメカニズムが必要です。興味深いことに、経験的証拠は、人間が伝統的なゲーム理論が予測するよりもはるかに本質的に協力的であることを示唆しています。実際、予測値をはるかに超えるゲーム内での協力を示す豊富なデータポイントは、学者たちに協力の本質を深く掘り下げさせ、このパターンがなぜ維持されるのかの答えを探させてきました。協力が依然として合理的行動の範囲内に収まると証明しようとする人々は、協力がより戦略的な非合理性を表していると主張する人々と意見が分かれています。その哲学的ニュアンスについてはここでは扱いません。人間は本質的に協力的であるにもかかわらず、意思決定権と情報所有が不平等な場合に生じる可能性のある潜在的な問題があります。これはモラルハザードとして知られており、これについては現在検討します。 **モラルハザード** モラルハザードは、ある人が何らかの方法でリスクの影響から保護されているために、自分のリスク露出を増やすときに発生します。これはプリンシパル-エージェント問題に関連しており、ある人（エージェント）が別の人（プリンシパル）に代わって意思決定を行うことができ、エージェントがプリンシパルの利益にならない自己中心的な行動をとる可能性が生じます。情報非対称性は、一方の当事者が他方の当事者がアクセスできない情報を所有している場合、搾取のインセンティブを生み出すため、モラルハザードの問題を悪化させます。モラルハザードの具体的な例は保険です。セキュリティインシデントによる潜在的なすべての損失に対して完全な補償付きの保険に加入した場合、理論的には、強力なセキュリティプログラムに投資するインセンティブが低下すると示唆されます。保険会社はあなたが現在の保護レベルを維持すると仮定するかもしれませんが、あなたは彼らに秘密の情報、つまりそうするつもりがないという情報を持っています。したがって、あなたはリスクの影響から保護されているため、より多くのリスクを受け入れることをいとわないでしょう。これにより、#yolosec戦略2を追求する力を得る可能性があります。情報セキュリティとDevOpsに目を向けると、ほとんどの組織のチーム構造を考えると、モラルハザードの可能性があります。DevOpsはセキュリティ関連のリスクへの露出を増やす可能性があります。なぜなら彼らは責任を負わないためです... (記事本文はここで途切れています。)