劉文臣，朱建明

（中央財經(jīng)大學(xué)信息學(xué)院，北京100081）

企業(yè)信息安全投資的博弈分析

劉文臣，朱建明

（中央財經(jīng)大學(xué)信息學(xué)院，北京100081）

隨著信息技術(shù)的快速發(fā)展，人們對信息和網(wǎng)絡(luò)的依賴程度越來越大，信息安全對企業(yè)的發(fā)展起著重要的作用。由于信息共享和網(wǎng)絡(luò)互連特點，企業(yè)的信息安全投資決策存在策略依賴性。用博弈論的方法，建立兩企業(yè)和多企業(yè)的博弈模型并進行均衡分析，通過對多企業(yè)博弈的仿真模擬，可以發(fā)現(xiàn)企業(yè)信息安全投資策略與網(wǎng)絡(luò)安全環(huán)境之間的關(guān)系，即企業(yè)投資的閥值與外部風(fēng)險成正相關(guān)關(guān)系，與未投資的企業(yè)數(shù)量成正相關(guān)關(guān)系，而且最終企業(yè)投資信息安全的比例會趨于一個平衡。

信息安全；信息安全投資；博弈分析

IT技術(shù)的發(fā)展把人類帶入了信息時代，信息在現(xiàn)代經(jīng)濟生活中的作用越來越大，已經(jīng)成為市場競爭的重要手段。然而由于環(huán)境的開放性以及信息系統(tǒng)自身的缺陷等因素，導(dǎo)致信息面臨著巨大的安全隱患。

信息安全不僅是技術(shù)上的問題，更是管理方面的問題。為降低安全風(fēng)險，企業(yè)進行的信息安全投入越來越多。尤其是以互聯(lián)網(wǎng)為基礎(chǔ)的企業(yè)，風(fēng)險成本支出在企業(yè)管理成本中占有很大的比例。企業(yè)采取何種策略最小化風(fēng)險管理的成本，是每個管理者所關(guān)心的問題。實際上，企業(yè)對信息安全進行投資不僅與風(fēng)險損失和投資成本有關(guān)系，還與互聯(lián)網(wǎng)的安全環(huán)境有關(guān)系，與其他企業(yè)的信息安全的投資策略有關(guān)。企業(yè)的信息安全投資策略依賴于其他企業(yè)的投資策略，這是一種博弈關(guān)系。下面將從博弈論的角度對組織的風(fēng)險投資進行探討。

一、信息安全投資的研究現(xiàn)狀

目前對于信息安全問題投資的研究主要集中在技術(shù)領(lǐng)域，相對于快速發(fā)展的信息技術(shù)，信息安全投資尚處于剛起步階段。國內(nèi)外對信息安全投資的研究主要是從集中在以下幾個方面進行：風(fēng)險管理角度、經(jīng)濟學(xué)角度、基于Gordon-Loeb模型的研究以及博弈論的角度。

伴隨著博弈理論的發(fā)展及應(yīng)用的逐步成熟，使用博弈論研究信息安全投資逐漸增多。對信息安全投資的博弈研究可以分成三個角度。一是采用非合作博弈來研究進攻和防守的策略，比如Huseyin Cavusoglu的文章研究企業(yè)和黑客的攻防博弈[1]，內(nèi)容較少，研究還有較大差距。二是研究參與者相互依賴關(guān)系的合作博弈，Howard Kunreuther在文章“Interdependent Security”中，從兩個參與對象的完美博弈入手，進而擴展研究多人博弈，提出IDS模型[2]。其文章主要研究航空安全領(lǐng)域，與信息安全投資有不同的特點。三是社會整體效益和個體投資效益的問題，如Jens Grossklags、Nicolas Christin等發(fā)表的文章“Secure or Insure?A Game-theoretic Analysis of Information Security Games”，將收益轉(zhuǎn)變成信息安全投資與保險，通過網(wǎng)絡(luò)范圍、攻擊類型、損失與投資成本要素將個體收益與整體的效益進行博弈研究[3]。

在國內(nèi)采用博弈來分析信息安全投資的文獻中，呂俊杰在文章“基于相互依賴性的信息安全投資博弈”中討論了病毒單次侵入和多次侵入對企業(yè)造成的損失，分析了企業(yè)信息安全投資對外部環(huán)境的依賴性[4]。而孫薇在博士論文“組織信息安全風(fēng)險投資中的博弈問題研究”中探討了企業(yè)投資信息安全時的攻防博弈[5]。他們在博弈分析中以病毒在企業(yè)中的傳播感染為背景，假定企業(yè)如果投資信息安全的話則自身風(fēng)險降為零，由于外部風(fēng)險以一定概率存在，企業(yè)仍然存在一定的損失。

這種假定并不能反映實際情況。企業(yè)面臨的風(fēng)險既有企業(yè)內(nèi)部的風(fēng)險，還有企業(yè)的外部環(huán)境（如其他企業(yè)）帶來的風(fēng)險。2002年FBI和CSI通過對484家公司的調(diào)查發(fā)現(xiàn)：有超過85%的安全威脅來自企業(yè)內(nèi)部，而只有5%是來自黑客的攻擊[6]。進行信息安全投資后，通過對內(nèi)部人員的有效管理和培訓(xùn)，可以降低內(nèi)部風(fēng)險；通過安全設(shè)備的采購及合理配置，也會大大降低外部入侵風(fēng)險。

為了使研究更貼近實際，我們假定進行信息安全投資后，內(nèi)部風(fēng)險和外部風(fēng)險全部可以降低至忽略不計。而沒有投資的企業(yè)，內(nèi)部面臨風(fēng)險，外面的風(fēng)險也存在，對外也會構(gòu)成威脅。

二、信息安全投資的博弈模型的建立

1.博弈的基本假設(shè)

假設(shè)參與者為各企業(yè)組織，其中企業(yè)i的正常收益為E，企業(yè)投資信息安全的成本為C。企業(yè)在沒有投資信息安全時自身可能引發(fā)風(fēng)險，造成損失，包括生產(chǎn)上的損失、信譽上的損失等，用L表示。為研究方便，假定損失不再疊加。不考慮其他企業(yè)，獨立的企業(yè)遭受到安全事件，從而引起風(fēng)險的概率記為p，由于網(wǎng)絡(luò)互聯(lián)，企業(yè)i受到其他未投資信息安全的企業(yè)的傳染而引發(fā)風(fēng)險的概率為q。如果企業(yè)i投資信息安全后，外部風(fēng)險忽略不計。

2.兩個企業(yè)間的投資博弈

為研究眾多互聯(lián)網(wǎng)企業(yè)的投資博弈情況，首先需要研究只有兩個企業(yè)的情況。當(dāng)兩企業(yè)都投資信息安全時，企業(yè)收益均為E-C；當(dāng)兩個企業(yè)都不投資信息安全時，企業(yè)此時既有內(nèi)部因素帶來的風(fēng)險損失p-L，也有其他企業(yè)帶來的風(fēng)險損失qL，由于風(fēng)險的不可疊加性，這一損失為pL+(1-p)qL；而當(dāng)一個企業(yè)投資另一個企業(yè)不投資時，投資的企業(yè)風(fēng)險不計，收益為E-C，不投資的企業(yè)只面臨內(nèi)部風(fēng)險，此時收益為E-pL，建立兩個企業(yè)的投資博弈模型，如表1所示。

（表1） 兩個企業(yè)信息安全投資的博弈模型

3.多個企業(yè)的投資博弈

網(wǎng)絡(luò)中有多家企業(yè)進行投資博弈，有的企業(yè)已經(jīng)進行信息安全的投資，有的企業(yè)沒有進行投資。我們假定共有n家企業(yè)，其中有s家已經(jīng)做了投資。根據(jù)前面的假設(shè)，這s家企業(yè)本身不存在風(fēng)險，也不會對其他企業(yè)產(chǎn)生威脅。對于一個企業(yè)考慮是否進行投資，要考慮的是其他剩下的n-s-1家企業(yè)間的相互影響。如果投資的話，不存在這個威脅，收益依然是E-C；如果不進行投資的話，自身面臨的損失為pL，下面分析外部n-s-1家企業(yè)對他的影響。由于損失的不可疊加性，只要有一家企業(yè)對這個企業(yè)產(chǎn)生風(fēng)險損失，其他企業(yè)對他的影響就不再計算，這n-s-1家企業(yè)都沒有對他產(chǎn)生風(fēng)險影響的概率是（1-q）n-s-1，從而得出至少有一家企業(yè)對他產(chǎn)生風(fēng)險影響的概率就是1-（1-q）n-s-1。這就是外部的影響，加上自身的影響及不可疊加特性，該企業(yè)在未進行投資時的收益為E-pL-(1-p)［1-（1-q）n-s-1］*L。

三、信息投資博弈的均衡分析

1.兩個企業(yè)投資博弈的均衡分析

對兩個企業(yè)進行信息安全投資的博弈矩陣進行均衡分析，利用純策略納什均衡和混合策略納什均衡兩種方法進行分析。

在純策略納什均衡中，要想達到兩個企業(yè)都進行投資的納什均衡，充分必要條件是無論在何種情況下，投資所獲得的收益均優(yōu)于不投資時的收益，即

也就是說當(dāng)投資成本小于內(nèi)部風(fēng)險帶來的損失時，企業(yè)愿意進行投資。

下面分三種情況對均衡進行討論：

（1）當(dāng) C＜pL 時

這時信息安全投資成本小于自身風(fēng)險所引發(fā)的損失，進行投資是最佳的選擇。此時的博弈均衡是（投資，投資）。

（2）當(dāng) pL≤C≤pL+（1-p）qL 時

此時的博弈存在兩個純策略納什均衡，同時也存在一個混合策略納什均衡。純策略納什均衡是（投資，不投資）以及（不投資，投資）。在混合策略納什均衡中，博弈雙方以一定的概率分布選擇投資還是不投資。假定企業(yè)i以1-x的概率選擇投資，以1-x的概率選擇不投資，則在混合策略納什均衡中，這種策略必須使得另一企業(yè)j所獲得的期望收益相等，即

同樣，企業(yè)j與企業(yè)i是對稱的，所以企業(yè)j也是同樣的策略。

（3）當(dāng) C＞pL+（1-p）qL 時

信息企業(yè)投資成本高于內(nèi)外風(fēng)險所引發(fā)的風(fēng)險損失，所以此時的納什均衡是（不投資，不投資）。

2.多個企業(yè)投資決策的均衡分析

在眾多的企業(yè)中，要使得信息安全投資成為最優(yōu)的策略，必須要使企業(yè)在進行信息安全投資時獲得的期望收益大于不投資是的期望收益，即

對式子進行整理化簡，得到

這個式子的含義是信息投資成本必須小于“至少發(fā)生一次安全事件”所造成的期望損失，令

從數(shù)學(xué)公式可知，當(dāng)自身風(fēng)險p增加或是外部風(fēng)險q增加時，均會使得企業(yè)的受到的風(fēng)險增加，企業(yè)會更傾向于投資信息安全。同樣道理，當(dāng)n值增加，或是s值減小時，不投資的企業(yè)數(shù)量會增加，企業(yè)的外部環(huán)境變壞，企業(yè)會傾向于進行安全投資。

四、算例分析及仿真模擬

1.兩企業(yè)投資博弈的算例分析

首先討論兩個企業(yè)進行投資博弈的情況。假設(shè)企業(yè)i和企業(yè)j是正要進行信息安全投資決策的兩個同質(zhì)企業(yè)。企業(yè)的正常收益為40（萬元），企業(yè)在遭受信息安全風(fēng)險時損失的數(shù)額達20（萬元）。兩個企業(yè)因內(nèi)部原因而發(fā)生的安全事件的概率p均為0.4。如果兩企業(yè)均不投資的話，企業(yè)會面臨外部的安全威脅，外部威脅對企業(yè)影響的概率為q，設(shè)為0.2。將上述數(shù)據(jù)代入兩企業(yè)投資博弈模型中，得出以下的結(jié)果，如表2所示。

（表2） 兩企業(yè)信息安全投資博弈的模型算例

兩企業(yè)的投資均衡為（投資，投資）的充分必要條件是對方不論采取什么策略，選擇投資都是最優(yōu)的，即

上式表明，當(dāng)信息安全投資的成本小于8萬元時，兩個企業(yè)都會投資于信息安全，達到理想的均衡。

2.多個企業(yè)投資博弈的仿真分析

對企業(yè)安全投資的閥值U和外部風(fēng)險q做個仿真模擬。假設(shè)變量p=0.4，L=30，n=80，s=69，閥值U=［1－（1－p）（1－q）n-s－1］L 與變量 q 的仿真模擬結(jié)果如圖 1 所示。

可以得出，在多企業(yè)進行信息安全投資博弈時，保持其他的條件不變的情況下，閥值U=［1－（1－p）（1－q）n-s－1］L與企業(yè)間的外部影響概率q呈正相關(guān)的關(guān)系。

對于U與q之間的關(guān)系，還可以通過閥值U與n-s的仿真圖中得到進一步的驗證。假設(shè)變量p=0.4，L=30 時，對比 q=0.2 和 q=0.05 時的情況，仿真模擬的結(jié)果如圖 2 所示。

圖2也說明當(dāng)q值較大時，閥值也較高，企業(yè)投資意愿也會加大。這與前面結(jié)果是一致的。

下面對投資的閥值與未投資的企業(yè)數(shù)量關(guān)系做一個仿真模擬，假設(shè)變量p=0.4，L=30，q=0.2，對閥值U與n-s的關(guān)系進行仿真模擬，得到圖3所示的結(jié)果。

（圖1） 閥值U與外部影響因素q的仿真模擬圖

（圖2） 閥值U與n-s的仿真模擬圖

（圖3） 閥值U與未投資的企業(yè)數(shù)量n-s之間的仿真模擬圖

當(dāng)n-s數(shù)量增加時，閥值增大，說明成本的約束條件變松，企業(yè)更傾向于進行信息安全的投資。

于是可以得出，在多企業(yè)間進行信息安全投資博弈時，保持其他的條件不變的情況下，閥值U=［1-（1-p）（1-q）n-s-1］L與互聯(lián)網(wǎng)環(huán)境未投資信息安全的企業(yè)的數(shù)量呈正相關(guān)的關(guān)系。

假設(shè)當(dāng)前互聯(lián)網(wǎng)上共有n家企業(yè)，其中有s家企業(yè)已經(jīng)投資信息安全。如果有些未投資的企業(yè)進行投資的話，投資的企業(yè)數(shù)量增加，根據(jù)公式 U=［1-（1-p）（1-q）n-s-1］L，從而引起閥值減小，閥值的減少降低了企業(yè)投資的意愿，對于其他企業(yè)的投資又形成了約束；同理，當(dāng)投資的企業(yè)數(shù)量減少時，會引起閥值的增大，結(jié)果又會促進企業(yè)進行投資。因此互聯(lián)網(wǎng)中企業(yè)由于信息不對稱的原因，投資的數(shù)量會不斷發(fā)生變化，但總體上會圍繞一個平衡點上下波動。

因此，在多企業(yè)間進行信息安全投資博弈時，保持其他的條件不變的情況下，投資信息安全的企業(yè)數(shù)所占比例經(jīng)過不斷地演化博弈，最終會趨于一個平衡值。

[1]Cavusiglu H，Mishra B.A Model for Evaluation IT Security Investments[J].Communications of the ACM，2004，47（7）.

[2]Kunreuther H，Heal G.Interdependent Security[J].Journal of Risk and Uncertainty，2003，26（2－3）.

[3]Grossklags J，Christin N，Chuang J.Secure or insure?A game-theoretic analysis of information security games[R].Proceedings of the 17th international world wide web conference，China，2008.

[4]呂俊杰.基于相互依賴性的信息安全投資博弈[J].中國管理科學(xué)，2006，14（3）.

[5]孫薇.組織信息安全投資中的博弈問題研究[D].大連：大連理工大學(xué)，2008.

[6]張澤虹，趙冬梅.信息安全管理與風(fēng)險評估[M].北京：電子工業(yè)出版社，2010.

C931

A

1001－4799（2012）03－0138－04

2012-01-30

教育部科學(xué)技術(shù)研究重點資助項目：109016

劉文臣（1974-），男，山東招遠人，中央財經(jīng)大學(xué)信息學(xué)院2009級博士研究生；朱建明（1965-），男，山西太原人，中央財經(jīng)大學(xué)信息學(xué)院教授、博士生導(dǎo)師，主要從事信息安全、電子商務(wù)安全和信息系統(tǒng)可生存性研究。

雷 丹］