信息系統(tǒng)安全投資策略及風(fēng)險(xiǎn)管理研究.pdf

1、計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，信息系統(tǒng)正成為越來(lái)越多企業(yè)運(yùn)營(yíng)和管理的支撐工具，信息系統(tǒng)安全變得日漸重要。為了減少由安全事件導(dǎo)致嚴(yán)重?fù)p失的可能性，很多企業(yè)通常大量購(gòu)買和運(yùn)用防火墻、入侵檢測(cè)系統(tǒng)等信息系統(tǒng)安全技術(shù)。然而，一個(gè)企業(yè)的信息系統(tǒng)安全不但取決于自身的安全措施，而且與外部環(huán)境中的相關(guān)企業(yè)和黑客攻擊方式等密切相關(guān)。因此考慮企業(yè)在相互依賴風(fēng)險(xiǎn)和黑客多樣化攻擊下的信息系統(tǒng)安全投資策略是企業(yè)信息系統(tǒng)運(yùn)用過(guò)程中迫切需要解決的關(guān)鍵問(wèn)題之一。同時(shí)隨著

2、信息系統(tǒng)安全管理服務(wù)和信息系統(tǒng)安全保險(xiǎn)的出現(xiàn)，如何設(shè)計(jì)最優(yōu)的激勵(lì)機(jī)制成為信息安全經(jīng)濟(jì)學(xué)的重要問(wèn)題。本文對(duì)企業(yè)信息系統(tǒng)安全投資策略及風(fēng)險(xiǎn)管理的相關(guān)問(wèn)題進(jìn)行了研究。
　　首先，論文研究了信息系統(tǒng)相互關(guān)聯(lián)下企業(yè)信息系統(tǒng)安全投資策略，構(gòu)建博弈模型，討論關(guān)聯(lián)企業(yè)的互聯(lián)風(fēng)險(xiǎn)和信任風(fēng)險(xiǎn)對(duì)信息系統(tǒng)安全投資最優(yōu)策略的影響，并對(duì)在非合作博弈條件下信息系統(tǒng)安全投資的均衡水平與社會(huì)最優(yōu)的解決方案進(jìn)行了比較。結(jié)果表明，互聯(lián)風(fēng)險(xiǎn)往往引起企業(yè)信息系統(tǒng)安全投資率

3、低下，而信任風(fēng)險(xiǎn)導(dǎo)致過(guò)度重視信息系統(tǒng)安全。在合作條件下企業(yè)信息系統(tǒng)安全投資不一定隨著互聯(lián)風(fēng)險(xiǎn)和信任風(fēng)險(xiǎn)的增大而單調(diào)變化。此外，相對(duì)于社會(huì)最優(yōu)水平，面臨互聯(lián)風(fēng)險(xiǎn)的企業(yè)是否過(guò)度投資完全取決于信任風(fēng)險(xiǎn)大小。
　　其次，分別研究了黑客隨機(jī)攻擊和定向攻擊情形下，基于微分博弈的信息系統(tǒng)安全投資水平問(wèn)題。研究了非合作博弈下信息系統(tǒng)安全投資的最優(yōu)策略選擇，在此基礎(chǔ)上，討論了安全投資效率、黑客學(xué)習(xí)能力、傳染率、目標(biāo)替代率以及企業(yè)的信息系統(tǒng)安全事件帶

4、來(lái)的損失等因素對(duì)信息系統(tǒng)脆弱性和最優(yōu)信息系統(tǒng)安全投資水平的影響。在討論了黑客隨機(jī)攻擊和定向攻擊兩種情形下兩企業(yè)合作博弈情形下最優(yōu)策略選擇的基礎(chǔ)上，分別對(duì)比了非合作情形下的博弈均衡結(jié)果，得出在黑客隨機(jī)攻擊下企業(yè)維持低的投資率，在定向攻擊下維持高的投資率。發(fā)現(xiàn)構(gòu)建一種相互的支付激勵(lì)機(jī)制可以消除企業(yè)投資不足或者過(guò)度的問(wèn)題，從而使企業(yè)達(dá)到合作博弈下的最優(yōu)投資水平，提高兩個(gè)企業(yè)的聯(lián)合收益。
　　再次，研究了信息系統(tǒng)安全外包背景下如何通過(guò)激勵(lì)

5、措施來(lái)協(xié)調(diào)信息系統(tǒng)安全管理服務(wù)商的投入水平從而有效地控制信息系統(tǒng)安全風(fēng)險(xiǎn)的問(wèn)題。考慮信息系統(tǒng)安全特征，提出了三種契約模型，即一般懲罰契約、部分外包契約和獎(jiǎng)勵(lì)-懲罰契約。在此基礎(chǔ)上對(duì)不同契約模型的均衡結(jié)果進(jìn)行討論和比較。研究結(jié)果表明，部分外包契約優(yōu)于一般懲罰契約，但只有獎(jiǎng)勵(lì)-懲罰契約能夠誘導(dǎo)信息系統(tǒng)安全管理服務(wù)商最優(yōu)投入的同時(shí)也使委托企業(yè)獲得最大的回報(bào)。進(jìn)一步，論文運(yùn)用委托代理模型分析了信息系統(tǒng)安全外包中雙邊道德風(fēng)險(xiǎn)問(wèn)題。發(fā)現(xiàn)普通賠償契約

6、并不能阻止雙邊道德風(fēng)險(xiǎn)。因此論文提出一種新的契約結(jié)構(gòu)，即關(guān)系激勵(lì)契約。通過(guò)研究發(fā)現(xiàn)在一定的條件下，這種契約能夠規(guī)避雙邊道德風(fēng)險(xiǎn)，促進(jìn)雙方投入最優(yōu)投入水平，提升社會(huì)福利且委托企業(yè)獲得更好的收益。
　　最后，論文結(jié)合風(fēng)險(xiǎn)管理理論和博弈理論研究企業(yè)采用信息系統(tǒng)安全保險(xiǎn)時(shí)的投資策略及激勵(lì)機(jī)制設(shè)計(jì)問(wèn)題。一方面，為解決正向相互依賴下的信息系統(tǒng)安全投資不足問(wèn)題，設(shè)計(jì)一種基于保險(xiǎn)免賠額的信息系統(tǒng)安全投資激勵(lì)機(jī)制。結(jié)果表明，適當(dāng)?shù)谋ｋU(xiǎn)免賠額可以在一

7、定程度上將這種負(fù)外部性內(nèi)部化，進(jìn)而改善了企業(yè)安全水平，有效提高了社會(huì)福利。另一方面，通過(guò)對(duì)比非合作博弈和社會(huì)最優(yōu)下的自我防御投資和信息系統(tǒng)安全保險(xiǎn)水平，提出相應(yīng)的補(bǔ)貼協(xié)調(diào)機(jī)制。研究結(jié)果表明當(dāng)風(fēng)險(xiǎn)相互依賴程度趨于很小時(shí)，自我防御投資水平隨其潛在安全損失的上升而增大;企業(yè)在進(jìn)行信息系統(tǒng)安全投資時(shí)往往會(huì)忽略對(duì)其他企業(yè)的邊際外部成本或收益的影響，這種負(fù)外部性特征會(huì)導(dǎo)致企業(yè)自我防御投資和信息系統(tǒng)安全保險(xiǎn)水平均低于社會(huì)最優(yōu)化水平。政府通過(guò)補(bǔ)貼企業(yè)自