信息安全工程經(jīng)濟模型研究

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了信息安全工程經(jīng)濟模型研究范文，希望能給你帶來靈感和參考，敬請閱讀。

一、引言

現(xiàn)今信息安全的理論研究范疇主要集中在技術(shù)和制度建設(shè)方面,如加密理論和技術(shù)、帶寬資源分配、入侵檢測與取證、網(wǎng)絡(luò)監(jiān)控以及法律制度的制定和完善等,從經(jīng)濟學(xué)角度開展的信息安全理論研究甚為少見。事實上,作為一種需要詳盡評估成本和收益的工程體系,一個組織信息安全系統(tǒng)的決策和實施并不僅僅取決于其技術(shù)的先進性和有效性,更大程度上是決策者和實施者在收益和代價間進行權(quán)衡的過程。經(jīng)濟學(xué)理論研究的主要內(nèi)容是社會如何有效管理和分配稀缺資源[1](P112-135)現(xiàn)代經(jīng)濟學(xué)理論更多的是研究人們?nèi)绾螞Q定自己的行為,使得在給定約束條件下最大化自己的偏好。[2](P1-12)為此,經(jīng)濟學(xué)家們建立發(fā)一整套完整而深入的工具和理論體系對各種資源配置和行為策略模式進行研究,從而在各種復(fù)雜而變化多端的社會形態(tài)下尋求具有最優(yōu)或比較優(yōu)勢的解決方案。一般來說,組織機構(gòu)在實施信息安全時主要側(cè)重于以下幾方面的考慮:(1)保護信息免受非授權(quán)用問訪問;(2)使得授權(quán)用戶在給定權(quán)限范圍內(nèi)訪問信息;(3)保護信息免受系統(tǒng)內(nèi)部疏漏的損害;(4)對外來入侵進行偵測以及在必要時恢復(fù)受損信息。進行安全研究時一般都假定沒有任何信息系統(tǒng)能夠完全避免外來侵害,也沒有一種措施能夠完全保護系統(tǒng)安全。

二、最優(yōu)模型

(一)收益最大化決策

假定一個組織機構(gòu)的信息安全的強度可以通過安全級別加以度量,顯然若安全級別為零,即完全不設(shè)置安全措施,組織付出的安全成本為最低,同時得到的收益(即企業(yè)由于采取安全措施減少的損失量)亦為零,隨著機構(gòu)采取的安全強度增加,抵御信息侵害的能力增強,由于減少了信息侵害導(dǎo)致的損失,從而對應(yīng)的收益增長,但同時為此支付費用也會不斷增加,亦即成本增加。[3]這一變化可以用圖1所示的曲線表示。圖1表示了機構(gòu)選擇不同安全級別的成本收益變化,橫軸表示從0開始增強的安全級別,縱軸表示成本或收益的貨幣數(shù)量刻度。從圖中可以看出,隨著安全級別的增加,機構(gòu)付出的成本會不斷增長,但由此減少的損失亦即收益并不會無限制地增長,而是會趨近于一個常數(shù),因此收益曲線會由向上增長而逐漸變?yōu)樗?。假定機構(gòu)采納不同信息安全級別S的總收益為變量B,總成本為C,兩條曲線相交的部分為凈收益G=B-C(G0),機構(gòu)最優(yōu)安全級別的選擇方案是使得B-C的差達到最大的一點,亦即圖1中的S′處,其形式化描述為:為使得G(S)=B(S)-C(S)最大,則dGdS=dBdS-dCdS=0(1)也可記為:dBdS=dCdS亦即:邊際收益=邊際成本

(二)成本最小化決策

以上最優(yōu)模型考慮的是機構(gòu)從信息安全中獲取的收益最大化。另外一種研究方式是考察機構(gòu)為信息安全所付出的代價。這一方式下的最優(yōu)模型是使得實施信息安全項目的成本加上與之對應(yīng)安全級別措施缺失時導(dǎo)致的損失數(shù)為最小。[4](P15-43)圖2顯示了這一研究形式的曲線表達。隨著機構(gòu)信息安全措施級別的增強,機構(gòu)由于信息安全問題導(dǎo)致的損失L不斷減少,直至趨近于零,相應(yīng)地用于信息安全建設(shè)的開支E也不斷增長,因此,機構(gòu)的總成本C=L+E會經(jīng)歷一個由下降到上升的過程,機構(gòu)采納信息安全級別的最優(yōu)方案是使得C最小化,亦即圖中曲線C到達最低點S′處。

三、凈現(xiàn)值NPV模型

以上的經(jīng)濟學(xué)最優(yōu)越模型的討論為計劃進行信息安全項目的決策者提供了一種清晰的分析方法,即如何在付出與回報之間找到最佳平衡點。但只是一種理想狀態(tài)下的分析工具,它建立在決策者對未來所有數(shù)據(jù)、包括安全問題發(fā)生的幾率、實施各種安全級別的成本收益等都能夠明確獲取和估算的基礎(chǔ)之上。但這種情況在現(xiàn)實生活中是很少存在的,決策者并不都能準確計算未來會發(fā)生什么情況,相應(yīng)情況下的損益數(shù)據(jù)也很難準確得出,大多數(shù)情況只能是采取“摸著石頭過河”的方法,即先投資建立一些基本的安全措施,然后在此基礎(chǔ)上評估進一步投資的可行性,即通過計算項目投資實施的時間段內(nèi),在給定貼現(xiàn)率下機構(gòu)的凈現(xiàn)值能否實現(xiàn)預(yù)期水平來判斷。凈現(xiàn)值模型就是這一情形下的投資決策的分析工具。該模型也經(jīng)常被用于各種工程項目的可行性分析報告中。設(shè)變量B和C分別為機構(gòu)信息安全的收益和成本,K為貼現(xiàn)率,i為未來年份,則未來n年后的凈現(xiàn)值為:NPV=∑ni=1(Bi-Ci)/(1+k)i(2)公式(2)給出的凈現(xiàn)值計算模型可以將未來若干一段時間收益和成本的不確定性因素加以計算,從而判斷是否值得進一步,若NPV>0,說明方案的投資收益率不僅可以達到預(yù)期貼現(xiàn)率下的效益水平,而且還有盈余;若NPV<0,則說明方案投資收益達不到預(yù)計的效益水平;若NPV=0,表明投資收益剛好能達到預(yù)計的效益水準,包括償還預(yù)期貸款、員工報酬和風(fēng)險報酬等。因此,NPV≥0,則項目方案可行;NPV<0則項目方案不可行。凈現(xiàn)值模型的關(guān)鍵是通過引入貼現(xiàn)率k這一變量對未來的不確定因素(亦即風(fēng)險因素)對的影響加以調(diào)整,它不單純是計算計算收益與成本之差,而是考慮了貨幣的時間價值,通過將未來若干年的收益狀況,用貼現(xiàn)的方式轉(zhuǎn)化為現(xiàn)值,以便全面評價項目的經(jīng)濟效益。因此,通過選定恰當?shù)馁N現(xiàn)率,凈現(xiàn)值模型可以對未來一段時間因素進行量化計算,從而判斷項目可行性。

四、信息安全經(jīng)濟模型中的變量數(shù)據(jù)的獲取

以上經(jīng)濟學(xué)模型應(yīng)用于信息安全分析時的一個主要問題是如何獲取相關(guān)變量的量化數(shù)值,包括安全措施等級的確定、安全項目成本與收益的計算方法,這些數(shù)據(jù)目前沒有一個統(tǒng)一的標準當量計算方法,只能通過經(jīng)驗方式獲取。為此,決策者應(yīng)當采集以下數(shù)據(jù)作為分析依據(jù):

(一)各種信息安全問題發(fā)生的頻度

隨著網(wǎng)絡(luò)的普及和各種形式計算機病毒、木馬程序、間諜程序的層出不窮,企業(yè)信息系統(tǒng)的安全問題發(fā)生的頻度越來越高,因此決策者應(yīng)當根據(jù)企業(yè)業(yè)務(wù)特征,收集信息系統(tǒng)在一個時間段內(nèi)發(fā)生針對不同內(nèi)容的安全問題的頻度,如病毒爆發(fā)、數(shù)據(jù)損害、硬件故障率、隱私機密泄漏等,以作為未來安全事件發(fā)生幾率的經(jīng)驗推導(dǎo)參考值。

(二)信息安全事故的損失

現(xiàn)在還沒有一個標準計算由于信息安全事故造成的損失,決策者只能以各自標準來統(tǒng)計在實施不同級別安全措施的相應(yīng)時間段內(nèi)由于信息安全信息事故造成企業(yè)的各種顯性和隱性損失數(shù)額。由于現(xiàn)代企事業(yè)單位的業(yè)務(wù)流程對信息系統(tǒng)的高度依賴,安全事故損失的計量方法已成為信息安全研究的一個重要領(lǐng)域。

(三)實施信息安全項目的投資

這是比較容易獲取的數(shù)據(jù)源,針對不同種類和不同強度的安全應(yīng)對方案,可以計算出各種費用開支的數(shù)據(jù),包括設(shè)備、人員、貸款利息等。

五、結(jié)語

以及進一步的研究方向信息現(xiàn)已成為一個國家、地區(qū)或組織最有價值的財富之一。而網(wǎng)絡(luò)的普及和廣泛使用既提高了信息本身的價值,同時也帶來了危險,信息系統(tǒng)安全的不確定性變得無時不在。技術(shù)層面的各種防護研究已得到廣泛重視,但基于經(jīng)濟學(xué)研究角度的研究,國內(nèi)還鮮有相應(yīng)成果發(fā)表。筆者認為,所謂經(jīng)濟學(xué)方法,實際上是在各種制約因素中計算和尋找均衡點的過程。經(jīng)濟學(xué)中存在兩個均衡概念,一個是市場供求平衡,指當邊際收益等于邊際時,達到的市場出清狀態(tài)。另一個是經(jīng)濟個體不再改變自己行為的博弈均衡。本文僅就市場均衡狀態(tài)進行了初步探討,其中相關(guān)變量的度量、影響均衡的其他新變量的引入,還需要作進一步的研究。同時,將博弈分析引入信息安全,也存在廣泛的研究空間。