信息系統(tǒng)安全投資策略及風險管理研究.pdf

1、計算機和網(wǎng)絡技術(shù)的快速發(fā)展，信息系統(tǒng)正成為越來越多企業(yè)運營和管理的支撐工具，信息系統(tǒng)安全變得日漸重要。為了減少由安全事件導致嚴重損失的可能性，很多企業(yè)通常大量購買和運用防火墻、入侵檢測系統(tǒng)等信息系統(tǒng)安全技術(shù)。然而，一個企業(yè)的信息系統(tǒng)安全不但取決于自身的安全措施，而且與外部環(huán)境中的相關企業(yè)和黑客攻擊方式等密切相關。因此考慮企業(yè)在相互依賴風險和黑客多樣化攻擊下的信息系統(tǒng)安全投資策略是企業(yè)信息系統(tǒng)運用過程中迫切需要解決的關鍵問題之一。同時隨著

2、信息系統(tǒng)安全管理服務和信息系統(tǒng)安全保險的出現(xiàn)，如何設計最優(yōu)的激勵機制成為信息安全經(jīng)濟學的重要問題。本文對企業(yè)信息系統(tǒng)安全投資策略及風險管理的相關問題進行了研究。
　　首先，論文研究了信息系統(tǒng)相互關聯(lián)下企業(yè)信息系統(tǒng)安全投資策略，構(gòu)建博弈模型，討論關聯(lián)企業(yè)的互聯(lián)風險和信任風險對信息系統(tǒng)安全投資最優(yōu)策略的影響，并對在非合作博弈條件下信息系統(tǒng)安全投資的均衡水平與社會最優(yōu)的解決方案進行了比較。結(jié)果表明，互聯(lián)風險往往引起企業(yè)信息系統(tǒng)安全投資率

3、低下，而信任風險導致過度重視信息系統(tǒng)安全。在合作條件下企業(yè)信息系統(tǒng)安全投資不一定隨著互聯(lián)風險和信任風險的增大而單調(diào)變化。此外，相對于社會最優(yōu)水平，面臨互聯(lián)風險的企業(yè)是否過度投資完全取決于信任風險大小。
　　其次，分別研究了黑客隨機攻擊和定向攻擊情形下，基于微分博弈的信息系統(tǒng)安全投資水平問題。研究了非合作博弈下信息系統(tǒng)安全投資的最優(yōu)策略選擇，在此基礎上，討論了安全投資效率、黑客學習能力、傳染率、目標替代率以及企業(yè)的信息系統(tǒng)安全事件帶

4、來的損失等因素對信息系統(tǒng)脆弱性和最優(yōu)信息系統(tǒng)安全投資水平的影響。在討論了黑客隨機攻擊和定向攻擊兩種情形下兩企業(yè)合作博弈情形下最優(yōu)策略選擇的基礎上，分別對比了非合作情形下的博弈均衡結(jié)果，得出在黑客隨機攻擊下企業(yè)維持低的投資率，在定向攻擊下維持高的投資率。發(fā)現(xiàn)構(gòu)建一種相互的支付激勵機制可以消除企業(yè)投資不足或者過度的問題，從而使企業(yè)達到合作博弈下的最優(yōu)投資水平，提高兩個企業(yè)的聯(lián)合收益。
　　再次，研究了信息系統(tǒng)安全外包背景下如何通過激勵

5、措施來協(xié)調(diào)信息系統(tǒng)安全管理服務商的投入水平從而有效地控制信息系統(tǒng)安全風險的問題?？紤]信息系統(tǒng)安全特征，提出了三種契約模型，即一般懲罰契約、部分外包契約和獎勵-懲罰契約。在此基礎上對不同契約模型的均衡結(jié)果進行討論和比較。研究結(jié)果表明，部分外包契約優(yōu)于一般懲罰契約，但只有獎勵-懲罰契約能夠誘導信息系統(tǒng)安全管理服務商最優(yōu)投入的同時也使委托企業(yè)獲得最大的回報。進一步，論文運用委托代理模型分析了信息系統(tǒng)安全外包中雙邊道德風險問題。發(fā)現(xiàn)普通賠償契約

6、并不能阻止雙邊道德風險。因此論文提出一種新的契約結(jié)構(gòu)，即關系激勵契約。通過研究發(fā)現(xiàn)在一定的條件下，這種契約能夠規(guī)避雙邊道德風險，促進雙方投入最優(yōu)投入水平，提升社會福利且委托企業(yè)獲得更好的收益。
　　最后，論文結(jié)合風險管理理論和博弈理論研究企業(yè)采用信息系統(tǒng)安全保險時的投資策略及激勵機制設計問題。一方面，為解決正向相互依賴下的信息系統(tǒng)安全投資不足問題，設計一種基于保險免賠額的信息系統(tǒng)安全投資激勵機制。結(jié)果表明，適當?shù)谋ｋU免賠額可以在一

7、定程度上將這種負外部性內(nèi)部化，進而改善了企業(yè)安全水平，有效提高了社會福利。另一方面，通過對比非合作博弈和社會最優(yōu)下的自我防御投資和信息系統(tǒng)安全保險水平，提出相應的補貼協(xié)調(diào)機制。研究結(jié)果表明當風險相互依賴程度趨于很小時，自我防御投資水平隨其潛在安全損失的上升而增大;企業(yè)在進行信息系統(tǒng)安全投資時往往會忽略對其他企業(yè)的邊際外部成本或收益的影響，這種負外部性特征會導致企業(yè)自我防御投資和信息系統(tǒng)安全保險水平均低于社會最優(yōu)化水平。政府通過補貼企業(yè)自