【正文】 老師們認真負責的工作態(tài)度，嚴謹?shù)闹螌W精神和深厚的理論水平都使我收益匪淺。從這里走出，對我的人生來說，將是踏上一個新的征程，要把所學的知識應用到實際工作中去。 首先，我要特別感謝我的知道郭謙功老師對我的悉心指導，在我的論文書寫及設(shè)計過程中給了我大量的幫助和指導，為我理清了設(shè)計思路和操作方法，并對我所做的課題提出了有效的改進方案。 本人愿意按照學校要求提交學位論文的印刷本和電子版，同意學校保存學位論文的印刷本和電子版，或采用影印、數(shù)字化或其它復制手段保存設(shè) 計（論文）；同意學校在不以營利為目的的前提下，建立目錄檢索與閱覽服務系統(tǒng)，公布設(shè)計（論文）的部分或全部內(nèi)容，允許他人依法合理使用。對本文的研究做出重要貢獻的個人和集體，均已在文中以明確方式注明并表示感謝。理論的長青來自于對現(xiàn)實的清晰有力的解釋，而視角的創(chuàng)新、學科的交 叉實際上又反過來極大地豐富和發(fā)展了經(jīng)濟博弈論的思想。將網(wǎng)絡 信息安全投資決策分析與經(jīng)濟學新技術(shù) — 博弈論相結(jié)合，為今后這個領(lǐng)域的進一步研究打下了基礎(chǔ)。這樣做，可以用最少的社會成本改變不可占優(yōu)解得狀況，最終達到最大化社會效用?？紤]所有企業(yè)都不進行網(wǎng)絡信息安全投資這種極端情況，必然會非常容易造成網(wǎng)關(guān)的癱瘓，從而影響所有企業(yè)的利益總合。以上這個結(jié)論顯然是不符合實際的。因此， A1和 A2感染病毒的概率分別為 1（ 1p1）（ 1p21） =p1+p21p1p21和 1（ 1p2）（ 1p12） =p2+p12p2p12。 1． 當 2 個企業(yè)同時投資的時候， 2 個企業(yè)都不會感染病毒，也不會負擔網(wǎng)關(guān)的損失，只有投資造成的成本，因此每個企業(yè)的期望受益為Yici(見圖 52)。病毒有兩種侵入方式，直接侵入和間接侵入，也就是說即使投資于安全措施，企業(yè)仍有可能面臨 由其他企業(yè)“傳染” 的病毒所帶來的破壞。為了使信息安全風險模型更加逼近真實的網(wǎng)絡結(jié)構(gòu)，本文將在原模型基礎(chǔ)上 引入所有企業(yè)共同負擔的因素 —— 網(wǎng)絡中的網(wǎng)關(guān)，從而對網(wǎng)絡安全投資與 博弈策略進行再研究，并給出政府激勵引導個體企業(yè)的博弈策略，從而達到社會效用的最優(yōu)。總之，按照一個理想的標準，企業(yè)管理人員對信息安全投資做決策時，應讓邊際收益與邊際成本相等。在前面最大化收益或最小化信息安全的總成本中則沒有明確地考慮風險。因此，應用嚴格的成本收益分析對技術(shù)感興趣的企業(yè)通常假設(shè)一定的資源正在被所考慮的信息安全項目使用，并且應用凈現(xiàn)值模型分析不斷增加的費用。用圖41 來表示 : 17 圖 41 信息安全的成本與收益 （五） 信息安全投資的經(jīng)濟學決策模型 在信息安全建設(shè)中，需要權(quán)衡安全、成本、效率三者的關(guān)系。 我們試著建立設(shè)備買進前后期的成本 (當信息安全事件存在 )，并分析何種條件下花費是有利可圖。企業(yè)的信息安全管理人員在爭取信息安全預算時有時會用到投資回報率，但只是粗略地整體地估算，還沒有精確具體到一個防火墻的投資回報率是多少的程度。就像火災隱患一樣，即使從沒有發(fā)生過火災的地方，也不能說是絕對安全。 但對于信息安全問題而言，存在著“網(wǎng)絡結(jié)點越多網(wǎng)絡越脆弱”的規(guī)律。例如流行的混合型威脅，通過使用多種漏洞機制、有效負載和傳播方法，很可能避開企業(yè)花費高額資金部署的信息安全防線 [3]。建立計算機信息系統(tǒng)能不僅能以快捷的方式管理信息，而且能提高工作效率。他們兩人都是在坦白與抵賴策略上首先想到自己，這樣他們必然要服長的刑期。對 A 來說，無論 B 選擇什么， A 選擇“坦白”總是最優(yōu)的。 在博弈論中，含有占優(yōu)戰(zhàn)略均衡的一個著名例子是 “囚徒困境”博弈模型。等待者不得食，而多勞者多得。結(jié)果是小豬大豬都不去踩踏板了。如果改變一下核心指標，豬圈里還會出現(xiàn)同樣的“小豬躺著大豬跑”的景象嗎 ?試試看。如果有一只豬去踩踏板，另一只豬就有機會搶先吃到另一邊落下的食物。 基于不同抽象水平，形成三種博弈表述方式，標準 型、擴展型和特征函數(shù)型利用這三種表述形式，可以研究形形色色的問題。在納什均衡點上，每一個理性的參與者都不會有單獨改變策略的沖動。 :一局博弈結(jié)局時的結(jié)果稱為得失。什么是博弈論 ?簡單的說，就是研究個體如何在錯綜復雜的相互影響中得出最合理的策略。計算機犯罪案件也急劇上升，計算 5 機犯罪己經(jīng)成為普遍的國際性問題。 5． 信息泄漏或丟失 信息泄漏或丟失指敏感數(shù)據(jù)被有意或無意地泄漏出去或者丟失。黑客的攻擊和計算機犯罪就屬于這一類。信息安全主要包括以下五方面的內(nèi)容，即需保證信息的 真實性 、 保密性、完整性、未授權(quán)拷貝和所寄生系統(tǒng)的安全性。 論文的主要貢獻 。所以，構(gòu)建安全的信息系統(tǒng)日益受到國家和組織機構(gòu)的重視，網(wǎng)絡信息安全方面的投資問題也成為研究的熱點。 關(guān)鍵詞： 信息安全；博弈論；投資；均衡 Reserch In Investment And Game Strategies Of Network Security Abstract： With the rapid development of information technology, each anization have need of information and more and security more and more get the attention of the enterprise, information security investment also became the focus of research, this paper researches were bined with new technology economics game theory to analysis between enterprise work information safety investment strategy. Thus to correct and efficient way to speed up the decision of the enterprise39。從而以正確、高效的決策方式來加快企業(yè)信息化的步伐 。除了文中特別加以標注引用的內(nèi)容外，本論文不包含任何其他個人或集體已經(jīng)發(fā)表或撰寫的成果作品。對本研究提供過幫助和做出過貢獻的個人或集體，均已在文中作了明確的說明并表示了謝意。 涉密論文按學校規(guī)定處理。由于網(wǎng)關(guān)的引入 ,使得網(wǎng)絡中的博弈 企業(yè)依賴自身的風險偏好有了更多的變數(shù) ,針對出現(xiàn)的多重納什均衡狀態(tài)所產(chǎn)生的社會問題做了探討。 隨著信息時代的到來，每個組織所擁有和需要的信息越來越多。 網(wǎng)絡安全投資決策中的傳統(tǒng)經(jīng)濟學模型都是從單個組織的成本效益出發(fā)，沒有考慮到 網(wǎng)絡信息安全的經(jīng)濟外部性這個因素，因此本章結(jié)合了經(jīng)濟學新技術(shù)博弈論來分析組織間的網(wǎng)絡信息安全投資策略。 3 二、 信息安全概論 20 世紀 40 年代，伴隨著計算機的出現(xiàn)，計算機安全問題也隨之產(chǎn)生。用戶口令選擇不慎 。這兩種攻擊均可對計算機網(wǎng)絡造成極大的危害，并導致機密數(shù)據(jù)的泄漏。其中存貯、傳輸和處理的信息有許 多是重要的政府宏觀調(diào)控決策、商業(yè)經(jīng)濟信息、銀行資金轉(zhuǎn)帳、股票證券、能源資源數(shù)據(jù)、科研數(shù)據(jù)等重要信息。如何減少企業(yè)的信息安全損失，更好地保護和管理自身的信息資產(chǎn)正成為一個嚴峻的挑戰(zhàn)，因此，在信息完全投資的方面已經(jīng)很必要。只有兩個局中人的博弈現(xiàn)象稱為“兩人博弈”，而多于兩個局中人的博弈稱為“多人博弈”。 均衡又存在納什均衡，它是一穩(wěn)定的博弈結(jié)果。 靜態(tài)博弈 :指參與者同時采取行動，或者盡管有先后順序，但后行動者不知道先行動者的策略。用通俗的話說，這個著名的最小最大定理所體現(xiàn)的基本“理性”思想是“抱最好的希望，做最壞的打算”。反觀大豬，已明知小豬是不會去踩動踏板的，自己親自去踩踏板總比不踩強吧，所以只好親力親為。反正對方不會一次把食物吃完，競爭意識不會很強。 改變方案三 :減量加移位方案。但是對于社會而言，因為小豬未能參與競爭，小豬搭便車時的社會資源配置并不是最佳狀態(tài)。如果兩人都抵賴，則警方因證據(jù)不足不能判兩人的偷竊罪，但可以以私入民宅的罪名將兩人各判入獄 1 年。 沒有人會主動改變自己的策略以便使自己獲得更大利益。但前提是人所不欲勿施于我。這反映出企業(yè)安全策略規(guī)劃上的問題，還有很重要的一點，就是安全威脅在技術(shù)和形式上的變化。例如對于政府來說某種信息安全水平已經(jīng)足夠了，但對于金融證券行業(yè)來說，這種信息安全水平是危險的。 在信息系統(tǒng)的生命周期中，信息安全事故雖然可以避免，但是難于完全或者絕對避免。這一切措施旨在保護信息系統(tǒng)的數(shù)據(jù)安全。從安全防護手段看信息安全的成本 :技術(shù)成本和管理成本。當安全性提高時，收益也相應提高，但當安全性到了一定程度時，收益再難提高。 理想數(shù)學模型，顧明思議只是理想的模型，它 是試圖最大化收益 或者 最小化成本，在事先采取安全措施的基礎(chǔ)上，根據(jù)不同的信息、安全標準做出優(yōu)化的信息安全規(guī)劃是可能的。如果 NPV=0，接受還是拒絕都無關(guān)緊要。另外，這種類型的模型需要考慮與入侵檢測成本、信息安全破壞修正成本 (也就是不論信息安全現(xiàn)在采用的是多高的標準，都假設(shè)某種信息安全破壞會出現(xiàn) )及信息安全保險概念有關(guān)的一些因素 [9]。 網(wǎng)絡中的信息安全具備一個重要特性，即經(jīng)濟外部性。設(shè) pi為企業(yè) i 從外界直接感染病毒的概率，其中 pi1，代表企業(yè) i 有可能不采取安全措施，也不會感染病毒。設(shè) p 為網(wǎng)關(guān)遭受病毒侵害時損壞的概率， pO；網(wǎng)關(guān)的成本為 c， c0[8]。 23 企 業(yè) A 2企 業(yè) A 1不 投 資 ， 直 接 威 脅 為P 2 L 2投 資 ( 成 本 為 C 1 ) 無 直 接 威 脅有 間 接 威 脅 為 P 2 1 L 1無 間 接 威 脅網(wǎng) 關(guān) （ 成 本 為 C ）Y1 c1 p2 1L1Y2 P2L2 p c負 擔 為 P C 圖 53 A1投資， A2不投資 3． 同理，當 A2投資，而 A1不投資時，可推出 A1的期望收益為 Y1p1L1pc，A2的期望收益 為 Y2c2 p12L2(見圖 54)。 由式 (52)可得： c1 p1L1(1p21)+pc/2 式（ 54） 將式 (54)與式 (53)比較可知，在 A2不投資時， A1可能會受到 A2的傳染，并且有 A2共同負擔網(wǎng)關(guān)損失，使得 A1投資的約束條件變緊，投資的動機也因此降低。從對兩個企業(yè)的分析我們?nèi)菀淄瞥觯寒斊渌髽I(yè)都不進行網(wǎng)絡信息安全投資時， Am會遇到非常嚴重的網(wǎng)絡外部性侵害，并且在面對網(wǎng)關(guān)損失問題時會有最小的負擔 (因為共同負擔網(wǎng)關(guān)損失的企業(yè)數(shù)最大 )，因此 Am只會在網(wǎng)絡信息安全投資成本足夠小的情況下占優(yōu)投資，其他大多數(shù)情況下 Am都會傾向不進行網(wǎng)絡信息安全投資。這樣一來，避免不進行網(wǎng)絡信息安全投資的企業(yè)形成一定的規(guī)模顯得十分的重要了，換句話說，政府或者權(quán)力組織應采取適當?shù)募顏砭S持進行網(wǎng) 絡信息安全投資的企業(yè)的規(guī)模很有必要的。 總結(jié)了信息安全投資的現(xiàn)狀和傳統(tǒng)投資決策采用的經(jīng)濟學模型 。同時本文在政府如何影響企業(yè)進行信息安全投資決策行為時只做了定 性研究。Gaming,2020,26:779802 [3]呂俊杰，邱苑華 .王元卓網(wǎng)絡安全投資外部性及博弈策略 [J].北京航空航天大學學報 ,2020,32(12):14991502 [4]Davis,[J].Computersamp。對本文的研究做出重要貢獻的個人和集體均已在文中以明確方式標明。經(jīng)過這次畢業(yè)設(shè)計，我的能力有了很大的提高，比如操作能力、分析問題的能力、合作精神、嚴謹?shù)墓ぷ髯黠L等方方面面都有很大的進步。 另外，我還要感謝大學四年和我一起走過的同學朋友對我的關(guān)心與支持，與他們一起學習、生活，讓我在大學期間生活的很充實，給我留下了很多難忘的回憶。 在我的十幾年求學歷程里，離不開父母的鼓勵和支持，是他們辛勤的勞作，無私的付出，為我創(chuàng)造良好的學習條件，我才能順利完成完成學業(yè)，感激他們一直以來對我的撫養(yǎng)與培育。 。 學友情深，情同兄妹。再次對周巍老師表示衷心的感謝。本次畢業(yè)設(shè)計大概持續(xù)了半年，現(xiàn)在終于到結(jié)尾了。 論文密級： □公開 □保密（