信息安全工程經(jīng)濟模型研究

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了信息安全工程經(jīng)濟模型研究范文，希望能給你帶來靈感和參考，敬請閱讀。

一、引言

現(xiàn)今信息安全的理論研究范疇主要集中在技術和制度建設方面,如加密理論和技術、帶寬資源分配、入侵檢測與取證、網(wǎng)絡監(jiān)控以及法律制度的制定和完善等,從經(jīng)濟學角度開展的信息安全理論研究甚為少見。事實上,作為一種需要詳盡評估成本和收益的工程體系,一個組織信息安全系統(tǒng)的決策和實施并不僅僅取決于其技術的先進性和有效性,更大程度上是決策者和實施者在收益和代價間進行權衡的過程。經(jīng)濟學理論研究的主要內容是社會如何有效管理和分配稀缺資源[1](P112-135)現(xiàn)代經(jīng)濟學理論更多的是研究人們如何決定自己的行為,使得在給定約束條件下最大化自己的偏好。[2](P1-12)為此,經(jīng)濟學家們建立發(fā)一整套完整而深入的工具和理論體系對各種資源配置和行為策略模式進行研究,從而在各種復雜而變化多端的社會形態(tài)下尋求具有最優(yōu)或比較優(yōu)勢的解決方案。一般來說,組織機構在實施信息安全時主要側重于以下幾方面的考慮:(1)保護信息免受非授權用問訪問;(2)使得授權用戶在給定權限范圍內訪問信息;(3)保護信息免受系統(tǒng)內部疏漏的損害;(4)對外來入侵進行偵測以及在必要時恢復受損信息。進行安全研究時一般都假定沒有任何信息系統(tǒng)能夠完全避免外來侵害,也沒有一種措施能夠完全保護系統(tǒng)安全。

二、最優(yōu)模型

(一)收益最大化決策

假定一個組織機構的信息安全的強度可以通過安全級別加以度量,顯然若安全級別為零,即完全不設置安全措施,組織付出的安全成本為最低,同時得到的收益(即企業(yè)由于采取安全措施減少的損失量)亦為零,隨著機構采取的安全強度增加,抵御信息侵害的能力增強,由于減少了信息侵害導致的損失,從而對應的收益增長,但同時為此支付費用也會不斷增加,亦即成本增加。[3]這一變化可以用圖1所示的曲線表示。圖1表示了機構選擇不同安全級別的成本收益變化,橫軸表示從0開始增強的安全級別,縱軸表示成本或收益的貨幣數(shù)量刻度。從圖中可以看出,隨著安全級別的增加,機構付出的成本會不斷增長,但由此減少的損失亦即收益并不會無限制地增長,而是會趨近于一個常數(shù),因此收益曲線會由向上增長而逐漸變?yōu)樗?。假定機構采納不同信息安全級別S的總收益為變量B,總成本為C,兩條曲線相交的部分為凈收益G=B-C(G0),機構最優(yōu)安全級別的選擇方案是使得B-C的差達到最大的一點,亦即圖1中的S′處,其形式化描述為:為使得G(S)=B(S)-C(S)最大,則dGdS=dBdS-dCdS=0(1)也可記為:dBdS=dCdS亦即:邊際收益=邊際成本

(二)成本最小化決策

以上最優(yōu)模型考慮的是機構從信息安全中獲取的收益最大化。另外一種研究方式是考察機構為信息安全所付出的代價。這一方式下的最優(yōu)模型是使得實施信息安全項目的成本加上與之對應安全級別措施缺失時導致的損失數(shù)為最小。[4](P15-43)圖2顯示了這一研究形式的曲線表達。隨著機構信息安全措施級別的增強,機構由于信息安全問題導致的損失L不斷減少,直至趨近于零,相應地用于信息安全建設的開支E也不斷增長,因此,機構的總成本C=L+E會經(jīng)歷一個由下降到上升的過程,機構采納信息安全級別的最優(yōu)方案是使得C最小化,亦即圖中曲線C到達最低點S′處。

三、凈現(xiàn)值NPV模型

以上的經(jīng)濟學最優(yōu)越模型的討論為計劃進行信息安全項目的決策者提供了一種清晰的分析方法,即如何在付出與回報之間找到最佳平衡點。但只是一種理想狀態(tài)下的分析工具,它建立在決策者對未來所有數(shù)據(jù)、包括安全問題發(fā)生的幾率、實施各種安全級別的成本收益等都能夠明確獲取和估算的基礎之上。但這種情況在現(xiàn)實生活中是很少存在的,決策者并不都能準確計算未來會發(fā)生什么情況,相應情況下的損益數(shù)據(jù)也很難準確得出,大多數(shù)情況只能是采取“摸著石頭過河”的方法,即先投資建立一些基本的安全措施,然后在此基礎上評估進一步投資的可行性,即通過計算項目投資實施的時間段內,在給定貼現(xiàn)率下機構的凈現(xiàn)值能否實現(xiàn)預期水平來判斷。凈現(xiàn)值模型就是這一情形下的投資決策的分析工具。該模型也經(jīng)常被用于各種工程項目的可行性分析報告中。設變量B和C分別為機構信息安全的收益和成本,K為貼現(xiàn)率,i為未來年份,則未來n年后的凈現(xiàn)值為:NPV=∑ni=1(Bi-Ci)/(1+k)i(2)公式(2)給出的凈現(xiàn)值計算模型可以將未來若干一段時間收益和成本的不確定性因素加以計算,從而判斷是否值得進一步,若NPV>0,說明方案的投資收益率不僅可以達到預期貼現(xiàn)率下的效益水平,而且還有盈余;若NPV<0,則說明方案投資收益達不到預計的效益水平;若NPV=0,表明投資收益剛好能達到預計的效益水準,包括償還預期貸款、員工報酬和風險報酬等。因此,NPV≥0,則項目方案可行;NPV<0則項目方案不可行。凈現(xiàn)值模型的關鍵是通過引入貼現(xiàn)率k這一變量對未來的不確定因素(亦即風險因素)對的影響加以調整,它不單純是計算計算收益與成本之差,而是考慮了貨幣的時間價值,通過將未來若干年的收益狀況,用貼現(xiàn)的方式轉化為現(xiàn)值,以便全面評價項目的經(jīng)濟效益。因此,通過選定恰當?shù)馁N現(xiàn)率,凈現(xiàn)值模型可以對未來一段時間因素進行量化計算,從而判斷項目可行性。

四、信息安全經(jīng)濟模型中的變量數(shù)據(jù)的獲取

以上經(jīng)濟學模型應用于信息安全分析時的一個主要問題是如何獲取相關變量的量化數(shù)值,包括安全措施等級的確定、安全項目成本與收益的計算方法,這些數(shù)據(jù)目前沒有一個統(tǒng)一的標準當量計算方法,只能通過經(jīng)驗方式獲取。為此,決策者應當采集以下數(shù)據(jù)作為分析依據(jù):

(一)各種信息安全問題發(fā)生的頻度

隨著網(wǎng)絡的普及和各種形式計算機病毒、木馬程序、間諜程序的層出不窮,企業(yè)信息系統(tǒng)的安全問題發(fā)生的頻度越來越高,因此決策者應當根據(jù)企業(yè)業(yè)務特征,收集信息系統(tǒng)在一個時間段內發(fā)生針對不同內容的安全問題的頻度,如病毒爆發(fā)、數(shù)據(jù)損害、硬件故障率、隱私機密泄漏等,以作為未來安全事件發(fā)生幾率的經(jīng)驗推導參考值。

(二)信息安全事故的損失

現(xiàn)在還沒有一個標準計算由于信息安全事故造成的損失,決策者只能以各自標準來統(tǒng)計在實施不同級別安全措施的相應時間段內由于信息安全信息事故造成企業(yè)的各種顯性和隱性損失數(shù)額。由于現(xiàn)代企事業(yè)單位的業(yè)務流程對信息系統(tǒng)的高度依賴,安全事故損失的計量方法已成為信息安全研究的一個重要領域。

(三)實施信息安全項目的投資

這是比較容易獲取的數(shù)據(jù)源,針對不同種類和不同強度的安全應對方案,可以計算出各種費用開支的數(shù)據(jù),包括設備、人員、貸款利息等。

五、結語

以及進一步的研究方向信息現(xiàn)已成為一個國家、地區(qū)或組織最有價值的財富之一。而網(wǎng)絡的普及和廣泛使用既提高了信息本身的價值,同時也帶來了危險,信息系統(tǒng)安全的不確定性變得無時不在。技術層面的各種防護研究已得到廣泛重視,但基于經(jīng)濟學研究角度的研究,國內還鮮有相應成果發(fā)表。筆者認為,所謂經(jīng)濟學方法,實際上是在各種制約因素中計算和尋找均衡點的過程。經(jīng)濟學中存在兩個均衡概念,一個是市場供求平衡,指當邊際收益等于邊際時,達到的市場出清狀態(tài)。另一個是經(jīng)濟個體不再改變自己行為的博弈均衡。本文僅就市場均衡狀態(tài)進行了初步探討,其中相關變量的度量、影響均衡的其他新變量的引入,還需要作進一步的研究。同時,將博弈分析引入信息安全,也存在廣泛的研究空間。