3.3 で考察したセキュリティ対策の状況をモデル化し定式化するため、組織内でのセ キュリティ対策の推進と実施をゲームとしてあらわす。ゲームは、あるひとつのセキュ
リティ対策の推進について考える。本論文では繰り返しや混合戦略を考えない非協力の 戦略型ゲームを考える。
3.4.1プレーヤプレーヤプレーヤプレーヤ
本論文では、3.3.1 で考察したように、セキュリティ対策を指示し推進する立場であ る「推進部門」とセキュリティ対策を実行する「従業員」との2プレーヤのゲームを考 える。推進部門はセキュリティ対策の選定と組織内への実施の指示を行う立場であり、
従業員は自らの業務の遂行を目的としつつ推進部門からのセキュリティ対策を実施する よう求められる立場である。
実際の組織では、推進部門が階層構造となっていたり個々の従業員によって判断が異 なったりグループを形成したりして、三者以上のプレーヤが相互に影響を及ぼしあう形 態もあるが、それらの分析は今後の課題とする。
3.4.2 戦略戦略戦略戦略
3.3.1、3.3.5 で考察したように、現実の組織では、個々のセキュリティ対策の採用を
個別に判断する。すなわち、ある一つのセキュリティ対策について推進部門が取り得る 戦略は、その対策の実施についての「指示」と「非指示」の二つとなる。
一方、3.3.2 で考察したように、一般の従業員は、そのセキュリティ対策の業務への
影響や実施の手間、指示の有無を勘案し、自らの判断により対策を実施するか実施しな いかを選択する。すなわち一般の従業員の戦略は、セキュリティ対策の「実施」と「非 実施」である。
3.4.3 推進部門推進部門の推進部門推進部門のののペイオフペイオフペイオフペイオフG1
推進部門のペイオフG1について考える。
（１）推進部門の任務職責
3.3.2 で考察したように、推進部門の任務職責は、組織内のセキュリティ対策の推進
である。このため、セキュリティ対策を指示することにより、推進部門は利得を得る。
この利得の値をMとする。Mは正の値である。指示しない場合は利得は0である。利得 を金額に換算したものをMの値とする。
（２）事故が発生したときの対処コストの負担
3.3.3 で考察したように、従業員がセキュリティ対策を行わず、その結果セキュリテ
ィ事故が発生したとき、推進部門は業務の一環として事後対策を行う。推進部門が認識 しているセキュリティ事故が発生する確率をP1、事後対策にかかる費用をSpとすると、
事故が発生した場合に推進部門はP1Spのコストを負担することになる。このとき、もし
も推進部門がセキュリティ対策の実施を指示したにもかかわらず従業員が実行しなかっ た場合、推進部門は自らの任務職責は果たしたものの事故が発生した際に事後対策のコ ストを負担することになり、M－P1Spの負担となる。
この M－P1Sp の値は通常は負の値となる。なぜなら、対策をすすめるために推進部 門に与えられる利得Mよりもセキュリティ事故による損害P1Spが小さいのであれば、
そのセキュリティ対策を指示したほうが全体としての出費が大きい、すなわち、何も対 策をしないほうが損失が少ない状態となり、そもそもその施策自体の意味がないからで ある。また、これが正の値であるとすると、それは、セキュリティ推進部門が、その組 織において実際のセキュリティ被害が出ることよりも、推進部門がセキュリティ対策の 指示を行うこと自体のほうに大きな利得を感じる、すなわち、事故の発生を防ぐことよ りも、自らが指示を行うことのほうを重要と判断するということであり、このような、
セキュリティ対策の指示そのものの利得が大きく指示自体が自己目的化してしまってい るような状態は、明らかに正常な組織のあり方ではない。
そこで本論文では、利得MよりもP1Spの値のほうが大きい、すなわち、M－P1Spが 負の値である状況を考える。
（３）推進部門のペイオフG1の値
推進部門のペイオフの値は推進部門自身のとる戦略と従業員の取る戦略の組み合わ せにより変わる。あるセキュリティ対策に関する推進部門のペイオフG1を、
G1（推進部門の戦略：従業員の戦略）
で表記する。G1は、3.4.3.(1)、4.3.(2)の議論より、従業員がとる戦略と推進部門がと る戦略の組み合わせによって以下のようになる。
G1（非指示：実施）=0 …(1) G1（非指示：非実施）=－P1Sp …(2) G1（指示：実施）= M …(3) G1（指示：非実施）=M－P1Sp …(4)
3.4.4 従業員従業員の従業員従業員ののペイオフのペイオフペイオフペイオフG2
従業員のペイオフG2について考える。
（１）セキュリティ対策を実施することによる業務効率の低下
本来セキュリティ対策は通常の業務に影響を与えないのが理想である。しかし、現実 には、セキュリティ対策を行うことによって業務効率の低下を招くことが多い。たとえ ば、USBメモリの利用を禁止したりノートPCの持ち出しを禁止したりすることは、デ ータの受け渡しの利便性の低下やモバイルコンピューティングの活用による業務の効率 化を阻害することになる。実際、情報セキュリティを強化すると業務効率が下がるとの
意見がそれを否定する意見やその他の意見を上回ったという上場企業の従業員へのアン ケート調査の結果も報告されている[富士通総研 07]。
本論文では、セキュリティ対策を実施したときのそれによる業務効率の低下をコスト として金額に換算したものをYdとする。
（２）セキュリティ対策を実施しないときのペイオフ
従業員は、セキュリティ対策を実施しないとある確率で事故が発生し、その時に自分 の業務に損失が発生すると考える。この従業員が考える事故の発生確率をP2、損失の値 をY2とする。セキュリティ対策を実施しないときに従業員が感じるコストはP2 Y2であ る。
（３）推進部門の指示に従う際の従業員のコスト
推進部門がセキュリティ対策を指示した場合、従業員がそれに従う際には対応に必要 なコストが発生する。
たとえば、実際の対策として、外部に持ち出すノートPCやUSBメモリを貸し出し制 にしてそのつど借用と返却を管理するルールを制定したり、職場への出入りに際しての ノート PC の守衛への届出を行うルールを制定したりする例がある。これらは従業員に とって負担となり、コストとして認識される。ノートPCやUSBメモリの管理を推進部 門からの指示によらずその部門内で行っている場合、通常は貸し出しノートへの記帳等 の作業が普通であり、そのような方策でもセキュリティ対策として効果がある。しかし、
推進部門がそれを推進する場合、組織内での統一書式の制定や推進部門への報告書の作 成、部門の上司や責任者の承認印等を求めることが多いため、従業員にとって手間がか かったり上司の不在の間は承認が受けられず持ち出しが出来なかったりして負担となり、
コストとして認識される。
この、推進部門がセキュリティ対策を指示した際に従業員がそれに従うのに必要な従 業員の負担、すなわち従業員にとっての推進部門に指示されマネジメントされる負担を、
対応コストCaとする。
（４）推進部門が従業員に与えるペナルティ
推進部門は組織内のセキュリティ対策推進の責任と権限を負っている。このため、
3.3.2 で考察したように、実施を指示したにもかかわらず従業員が実施しなかった場合、
従業員に対してペナルティを与えることがある。従業員に対するペナルティは推進部門 にとって直接の利益とはならないため、推進部門のペイオフには影響しないが、従業員 にとっては負担となる。この、推進部門が従業員に与えるペナルティを金額に変換した ものをVとする。
しかし、ペナルティVは、従業員にそのままかかるわけではない。一般に、従業員が
指示を正しく守っているかどうかを推進部門が常に正確に把握する事は容易ではない。
多くの場合、従業員が指示に従わなくてもそれは推進部門にはわからず、実際に事故が 発生してからそれが判明する。つまり従業員からみれば、ペナルティVによるコストは、
事故発生の確率P2を乗じた値P2Vとなる。
（５）従業員のペイオフG2の値
従業員のペイオフの値も、推進部門自身のとる戦略と従業員の取る戦略の組み合わせ により変わる。あるセキュリティ対策に関する従業員のペイオフG2を、G１の場合と同 様に、
G2（推進部門の戦略：従業員の戦略）
で表記する。3.4.4 (1)から3.4.4 (4)までの議論により、従業員のペイオフG2は以下の ようになる。
G2（非指示：実施）= －Yd …(5) G2（非指示：非実施）= －P2 Y2 …(6) G2（指示：実施）= －Yd－Ca …(7) G2（指示：非実施）= －P2 Y2－P2V …(8)
以上の議論で用いた変数をまとめたものを表3-1に示す。
表 3-1 変数一覧 記号
G1
P1
Sp M 記号
G2
P2
Yd
Y2
Ca V
a
値の意味 従業員のペイオフ
従業員が認識する事故の発生確率 事故が発生したときの損失量
セキュリティ対策の実施による業務効率の低下 従業員が受けるペナルティの量
従業員が受けるインセンティブの量 推進部門のパラメータ
値の意味 推進部門のペイオフ
推進部門のペイオフ
事故が発生した場合の事後対策にかかる費用 従業員のパラメータ
セキュリティ対策実施による業務効率の低下量 セキュリティ対策を指示することの利得
3.4.5 セキュリティセキュリティ対策推進セキュリティセキュリティ対策推進対策推進対策推進ゲームゲームゲームゲームののの利得構造の利得構造利得構造利得構造
3.4.3、3.4.4で議論したG1、G2のペイオフの値から、セキュリティ対策推進ゲームの
ペイオフマトリックス（利得表）は表 3-2のようになる。このゲームの構造は3.5 で考