信息安全與經(jīng)濟(jì)學(xué)(編輯修改稿)
2025-02-10 22:55 本頁面
【文章內(nèi)容簡介】 52. 信息安全問題與經(jīng)濟(jì)學(xué)問題 4（激勵機(jī)制）：安全信息共享組織n 在 1998年，業(yè)界的信息共享和分析中心（ ISAC） 出現(xiàn)，其目標(biāo)是共享安全脆弱性信息和解決方案n 2023年 9月 18日美國政府在《 National Strategy To Secure Cyberspace（ Draft）》 中對 ISAC進(jìn)一步加以強(qiáng)調(diào)n ISAC類似貿(mào)易聯(lián)盟n 需要加入 ISAC的激勵機(jī)制n 需要加入 ISAC后如實(shí)全面提供自身信息的激勵機(jī)制24202312152. 信息安全問題與經(jīng)濟(jì)學(xué)問題 4（激勵機(jī)制）：安全信息共享組織n 作為團(tuán)隊(duì) (Team)的 ISACn 團(tuán)隊(duì)的概念：n 共同創(chuàng)造一個(gè)產(chǎn)出n 每個(gè)成員的收益依賴于其他成員的貢獻(xiàn)n 每個(gè)成員的貢獻(xiàn)不能獨(dú)立觀測n 團(tuán)隊(duì)的缺陷：由于存在替代關(guān)系，產(chǎn)生偷懶問題 /搭便車問題。n 解決方案：設(shè)法引入互補(bǔ)關(guān)系，產(chǎn)生正反饋，即某人對團(tuán)隊(duì)做出的貢獻(xiàn)能夠激勵他人對團(tuán)隊(duì)做出更大的貢獻(xiàn)。25202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型1. 模型構(gòu)成：企業(yè)、政府和黑客的三方博弈n N個(gè)組織機(jī)構(gòu)（以企業(yè)為原型）：決定防護(hù)程度n M個(gè)威脅源（以黑客為原型）：決定威脅頻度n 1個(gè)公共管理機(jī)構(gòu)（以政府為原型）：決定處罰力度n 邊際效用遞減規(guī)律福利商品26202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型2. 威脅源分析n 成本函數(shù)： n 威脅源的成本包括兩類：一類是固定成本，即學(xué)習(xí)知識技能、購買相關(guān)設(shè)備的成本；另一類是可變成本，即實(shí)施一次威脅活動的邊際成本。 n 收益函數(shù)：n 威脅源的收益包括兩類：一類是正收益，即由于威脅活動成功造成了信息安全事故而使威脅源獲得的利益；另一類是負(fù)收益，即由于威脅活動沒有成功造成信息安全事故而使威脅源遭受的處罰。27202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型2. 威脅源分析n 優(yōu)化行為：n 當(dāng)處罰力度加大后，活動頻度降低；當(dāng)處罰力度減小后，活動頻度升高n 當(dāng)可變成本加大后，活動頻度降低；當(dāng)可變成本減小后，活動頻度升高n 當(dāng)防范程度加大后，活動頻度降低；當(dāng)防范程度減小后，活動頻度升高28202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型3. 組織機(jī)構(gòu)分析n 成本函數(shù)：n 達(dá)到的信息安全防范程度越高，需要投入的經(jīng)濟(jì)成本越大；當(dāng)防范程度趨近于 1時(shí)，需要投入的經(jīng)濟(jì)成本趨近于無窮大；當(dāng)防范程度趨近于0時(shí)，需要投入的經(jīng)濟(jì)成本趨近于 0。n 達(dá)到的信息安全防范程度越高，進(jìn)一步提高信息安全防范程度的難度越大，投入的經(jīng)濟(jì)成本也就越多。n 收益函數(shù)：n 組織機(jī)構(gòu)在信息安全上的收益函數(shù)刻劃了在一定信息安全防范程度下組織機(jī)構(gòu)的經(jīng)濟(jì)收益。這里簡單地認(rèn)為經(jīng)濟(jì)收益等同于信息安全事故所造成的經(jīng)濟(jì)損失的負(fù)值。 29202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型3. 組織機(jī)構(gòu)分析n 優(yōu)化行為：n 當(dāng)信息安全事故的損失小到忽略不計(jì)時(shí)，組織機(jī)構(gòu)可以不采取任何信息安全防護(hù)措施n 隨著信息安全事故損失的上升，防范程度應(yīng)當(dāng)上升，但防范程度上升的速度在減慢n 隨著信息安全措施成本的下降，防范程度應(yīng)當(dāng)上升，但防范程度上升的速度在減慢n 隨著威脅源收益的上升，防范程度應(yīng)當(dāng)上升，但防范程度上升的速度在減慢n 隨著威脅源威脅成本的下降，防范程度應(yīng)當(dāng)上升，但防范程度上升的速度在減慢30202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型4. 公共管理機(jī)構(gòu)分析n 處罰成本函數(shù)：n 優(yōu)化目標(biāo)：社會財(cái)富損失n +信息安全事故的損失n +組織機(jī)構(gòu)的信息安全防范成本n —威脅源收益n +威脅源成本n +公共管理機(jī)構(gòu)的處罰成本31202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型4. 公共管理機(jī)構(gòu)分析n 優(yōu)化行為： Fn 隨著威脅源收益的上升，處罰力度應(yīng)當(dāng)上升n 隨著威脅源威脅可變成本的下降，處罰力度應(yīng)當(dāng)上升n 隨著信息安全事故損失的上升，處罰力度應(yīng)當(dāng)上升n 隨著信息安全措施成本的下降，處罰力度應(yīng)當(dāng)下降n 隨著處罰成本比例系數(shù)的下降，處罰力度應(yīng)當(dāng)上升32202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型5. 模型的進(jìn)一步討論n 問題 1：在現(xiàn)實(shí)世界中，在政府、企業(yè)和黑客三者之間并不存在單向因果關(guān)系，而是交叉互動。n 問題 2：信息不完備，例如威脅源只能猜測組織機(jī)構(gòu)的信息安全防護(hù)力度n 黔之驢：龐然大物 (偷看 )?叫（逃走） ?踢（吃）n 優(yōu)化信息安全活動的響應(yīng)周期（不是你不明白，只因?yàn)槲易兓?，剛好比你?)n 病毒特征庫和入侵檢測特征庫更新n 安全策略的定期審查33202312153. 信息安全的一個(gè)經(jīng)濟(jì)學(xué)模型5. 模型的進(jìn)一步討論n 問題 3：考慮到內(nèi)部人威脅（失職或者惡意）問題，必須刻畫內(nèi)部人的經(jīng)濟(jì)學(xué)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1