王秦，朱建明

?

基于Gordon-Loeb模型的信息安全投資博弈研究

王秦，朱建明

（中央財(cái)經(jīng)大學(xué)信息學(xué)院，北京 100081）

為了研究信息安全投資外部性的影響，將Gordon-Loeb模型擴(kuò)展到多組織博弈環(huán)境下，分別得出在正負(fù)外部性下，面對不同類型的攻擊時(shí)，最優(yōu)信息安全投資與脆弱性、潛在損失和投資效率的關(guān)系，并且比較了與社會(huì)最優(yōu)條件下最優(yōu)信息安全投資的差別。結(jié)果表明，正外部性條件下的信息安全投資變化規(guī)律與單一組織的情況相比存在一定相似之處，但負(fù)外部性下的信息安全投資改變較大，總體更加謹(jǐn)慎，并且攻擊類型對于信息安全投資有著重要影響。

信息安全投資；Gordon-Loeb模型；外部性；攻擊類型

1 引言

網(wǎng)絡(luò)時(shí)代計(jì)算機(jī)系統(tǒng)的互聯(lián)方便了信息的傳播，但也使信息安全漏洞更加難以防范。業(yè)務(wù)上相互有來往的組織，特別是關(guān)系密切的組織往往會(huì)建立便捷的溝通渠道，甚至在這些渠道上沒有進(jìn)行信息加密等防護(hù)手段。攻擊者可以通過被劫持的主機(jī)向與其相連的主機(jī)發(fā)起攻擊，也能輕易地從安全性較高的攻擊目標(biāo)轉(zhuǎn)移到安全性較低的個(gè)體上。信息安全投資決定了組織的安全水平，在網(wǎng)絡(luò)互連的情況下，組織的安全水平會(huì)互相影響，因此，信息安全投資具有顯著的外部性，進(jìn)行投資時(shí)必須考慮主體間相互聯(lián)系的特點(diǎn)。另一方面，不同類型的攻擊，如拒絕服務(wù)攻擊、病毒、木馬等發(fā)生概率和產(chǎn)生的損失差別很大，進(jìn)行信息安全投資必須考慮攻擊的特點(diǎn)。

然而，以上研究或是針對單一組織的研究，或雖然研究的是多個(gè)組織互相影響的情況，但沒有使用博弈論方法，無法分析組織間復(fù)雜的策略互動(dòng)。在現(xiàn)有的基于Gordon-Loeb模型的博弈研究中，Gordon等[8]基于Gordon-Loeb模型分析了信息共享的效應(yīng)，假設(shè)其他組織的信息安全投資可以對本組織的投資起到一定的補(bǔ)充作用，主要從社會(huì)福利的角度進(jìn)行分析，并沒有深入探討外部性的影響。鞏國權(quán)等[9]研究了雙寡頭壟斷競爭條件下信息安全投資如何影響市場需求和企業(yè)利潤，但并沒有考慮最優(yōu)信息安全投資與脆弱性、潛在損失等關(guān)鍵變量的關(guān)系。Lelarge[10]基于Gordon-Loeb模型分析網(wǎng)絡(luò)用戶的動(dòng)機(jī)協(xié)調(diào)問題，研究重點(diǎn)在于如何獲得信息安全投資的單調(diào)性條件以及如何確保各主體達(dá)到更高的安全水平。Wu等[11]基于Gordon-Loeb模型分析了在考慮攻擊類型和網(wǎng)絡(luò)脆弱性時(shí)的信息安全投資博弈模型，然而并沒有考慮到信息安全投資的負(fù)外部性，也沒有考慮損失的可疊加程度以及最優(yōu)投資與投資效率的關(guān)系。

對于信息安全投資的研究除了主流的與Gordon-Loeb模型相關(guān)的文獻(xiàn)外，還包括少數(shù)單獨(dú)基于博弈論[12]、效用理論[13]和財(cái)務(wù)分析[14]等方法的研究。然而，以上文獻(xiàn)的共同缺點(diǎn)是缺乏在外部性環(huán)境中對于最優(yōu)信息安全投資與安全屬性關(guān)系的研究。本文將Gordon-Loeb模型移植到相互影響的組織間的信息安全投資問題上，使用博弈論刻畫投資的外部性，考慮不同的攻擊類型。本文重點(diǎn)回答了在組織相互依賴的條件下最優(yōu)信息安全投資額如何隨潛在損失、脆弱性和投資效率等參數(shù)變化，旨在得出不同的外部性對信息安全投資規(guī)律的影響，并加深關(guān)于攻擊類型對信息安全投資影響的理解。

2 Gordon-Loeb模型及信息安全投資的外部性

2.1 Gordon-Loeb模型及其假設(shè)

Gordon-Loeb模型研究了風(fēng)險(xiǎn)中立組織如何得出用于保護(hù)某一信息集的最優(yōu)信息安全投資額，以及脆弱性、潛在損失與最優(yōu)信息安全投資額的關(guān)系[2]。Gordon-Loeb模型指出，最優(yōu)信息安全投資隨潛在損失的增大而提高，并且在潛在損失給定的情況下，組織不一定必須將投資集中于高脆弱性的信息集上，因?yàn)榇藭r(shí)保護(hù)該信息集的代價(jià)過大，組織應(yīng)該重點(diǎn)保護(hù)中等脆弱性的信息集，并且，根據(jù)文中給出的2種漏洞概率函數(shù)，最優(yōu)信息安全投資額遠(yuǎn)遠(yuǎn)小于沒有信息安全投資時(shí)的預(yù)期損失。

式(1)說明當(dāng)=0時(shí)，信息集將處于絕對安全的狀態(tài)，此時(shí)無論外在威脅和信息安全投資為何值，攻擊都必將失敗。式(2)說明當(dāng)信息安全投資=0時(shí)，漏洞風(fēng)險(xiǎn)應(yīng)當(dāng)?shù)扔谕庠谕{與脆弱性的乘積。式(3)和式(4)說明漏洞風(fēng)險(xiǎn)隨信息安全投資以遞減的速度下降，即信息安全投資必須符合邊際報(bào)酬遞減規(guī)律。式(5)說明不斷增長的信息安全投資最終能夠?qū)踩L(fēng)險(xiǎn)降至接近于0。

不同的漏洞概率函數(shù)代表不同的攻擊類型。Gordon-Loeb模型中使用的漏洞概率函數(shù)主要包含2種類型，分別為目標(biāo)攻擊和機(jī)會(huì)攻擊。

圖1 漏洞風(fēng)險(xiǎn)與脆弱性的關(guān)系

圖2 漏洞風(fēng)險(xiǎn)與信息安全投資額的關(guān)系

從圖1可以看出，對于目標(biāo)攻擊，漏洞風(fēng)險(xiǎn)隨脆弱性線性增長；對于機(jī)會(huì)攻擊，當(dāng)脆弱性較小時(shí)，漏洞風(fēng)險(xiǎn)隨脆弱性增長較慢，而高脆弱性對漏洞概率函數(shù)的影響很大，這也反映出高脆弱性信息集很難抵御機(jī)會(huì)攻擊的事實(shí)。從圖2可以看出，在外在威脅以及脆弱性相等的情況下，等量的信息安全投資對于機(jī)會(huì)攻擊的抵御效果更好，顯示目標(biāo)攻擊相較機(jī)會(huì)攻擊更難防范。

2.2 信息安全投資的外部性

在網(wǎng)絡(luò)環(huán)境下，組織的信息安全投資會(huì)不可避免地相互影響，產(chǎn)生溢出效應(yīng)。信息安全投資的外部性可以分為正外部性和負(fù)外部性。

在多數(shù)現(xiàn)實(shí)情況中，信息安全投資外部性的表現(xiàn)以正外部性為主。然而，有時(shí)信息安全投資會(huì)呈現(xiàn)負(fù)外部性，此時(shí)，攻擊者無法通過組織間的聯(lián)系實(shí)現(xiàn)間接入侵，并且當(dāng)某一組織的信息安全投資增加時(shí)，其安全程度的提高會(huì)促使攻擊者將目標(biāo)轉(zhuǎn)移到安全程度更低的組織上，因此，更多的信息安全投資反而對其他組織有害。假設(shè)在包含2個(gè)組織的情況下，當(dāng)信息安全投資出現(xiàn)負(fù)外部性時(shí)，組織1的信息集被攻破的概率為

3 基于Gordon-Loeb模型的博弈模型構(gòu)建

假設(shè)博弈在2個(gè)同質(zhì)的參與方之間展開，即組織1和組織2面臨的外在威脅、脆弱性、預(yù)期損失和投資效率相等。博弈同時(shí)在進(jìn)行。組織1和組織2在考慮對方信息安全投資的情況下，選擇信息安全投資額以最大化其凈收益。2個(gè)組織之間的博弈關(guān)系如圖3所示。

圖3 組織信息安全投資博弈關(guān)系

組織1的凈收益為信息安全投資的預(yù)期收益減去成本，即

組織1的最優(yōu)信息安全投資的一階條件為

由式(11)可知，對于正外部性的情況，一階條件為

對于負(fù)外部性的情況，一階條件為

該一階條件也是組織1對組織2的反應(yīng)曲線。同理可得組織2對組織1的反應(yīng)曲線。為了保證納什均衡的存在，必須有

在納什均衡下，由于2個(gè)組織是同質(zhì)的，根據(jù)對稱性，必有

信息安全投資規(guī)律要受外部性和攻擊類型的制約。接著，分別討論在正外部性和負(fù)外部性下對不同類型的攻擊時(shí)，最優(yōu)信息安全投資隨潛在損失、脆弱性和投資效率的變化情況。

4 正外部性下的最優(yōu)信息安全投資

因此，可得

因此，對于目標(biāo)攻擊和機(jī)會(huì)攻擊分別必須滿足

4.1 正外部性下的最優(yōu)信息安全投資與潛在損失

分別對式(21)和式(22)應(yīng)用隱函數(shù)的求導(dǎo)法則，可得

根據(jù)式(18)和式(19)，有

因此，可得到以下定理。

定理1 在相互博弈的2個(gè)組織之間呈現(xiàn)正外部性的情況下，面對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)最優(yōu)信息安全投資與潛在損失呈正相關(guān)關(guān)系。

4.2 正外部性下的最優(yōu)信息安全投資與脆弱性

同理，應(yīng)用隱函數(shù)的求導(dǎo)法則可得

因此，可得到以下定理。

定理2 在相互博弈的2個(gè)組織之間呈現(xiàn)正外部性的情況下，當(dāng)面對機(jī)會(huì)攻擊時(shí)，最優(yōu)信息安全投資隨脆弱性的提高先增大后減??；當(dāng)面對目標(biāo)攻擊時(shí)，若入侵的可疊加程度、感染概率以及外在威脅較小，則最優(yōu)信息安全投資始終隨脆弱性的提高而增大，反之，若入侵的可疊加程度、感染概率以及外在威脅較大，則最優(yōu)信息安全投資隨脆弱性的提高先增大后減小。

面對機(jī)會(huì)攻擊和目標(biāo)攻擊時(shí)，最優(yōu)信息安全投資與脆弱性關(guān)系的表現(xiàn)并不相同。機(jī)會(huì)攻擊相比目標(biāo)攻擊，其攻擊以大規(guī)模、隨機(jī)化為特點(diǎn)，當(dāng)信息集的脆弱性較低時(shí)，攻擊較易被抵御，少量的信息安全投資即能起到很好的效果。然而，當(dāng)脆弱性大于一定值時(shí)，機(jī)會(huì)攻擊將變得很難被抵御。組織進(jìn)行信息安全投資需要平衡考慮收益與成本。過大的脆弱性使新增的安全投資難以將安全漏洞概率降低到一定程度，反而會(huì)帶來成本的提高，因此，組織將選擇不再增加安全投資。目標(biāo)攻擊只針對某些對象，并且造成的傷害較大，若入侵的可疊加程度、感染概率以及外在威脅較小，組織必須隨著脆弱性的升高持續(xù)增加信息安全投資。若入侵的可疊加程度、感染概率以及外在威脅較大，在高脆弱性下新增信息安全投資同樣將變得不劃算。

由此可見，在博弈環(huán)境下，組織在面對機(jī)會(huì)攻擊和目標(biāo)攻擊時(shí)同樣都會(huì)出現(xiàn)信息安全投資隨脆弱性下降的情況。組織有必要對所處環(huán)境進(jìn)行詳細(xì)分析，準(zhǔn)確判斷攻擊類型以及信息安全投資隨脆弱性變化的臨界點(diǎn)。當(dāng)脆弱性較大時(shí)，組織應(yīng)考慮將重點(diǎn)轉(zhuǎn)移到如何降低被攻破后的損失上，并在后續(xù)工作中努力降低信息集的脆弱性。

4.3 正外部性下的最優(yōu)信息安全投資與投資效率

之前的研究均假設(shè)信息安全投資能夠順利展開，有效降低安全風(fēng)險(xiǎn)。然而由于客觀因素的限制，現(xiàn)實(shí)中信息安全投資往往呈現(xiàn)出不同的投資效率。本節(jié)將研究投資效率對最優(yōu)信息安全投資的影響。

分別對式(21)和式(22)應(yīng)用隱函數(shù)的求導(dǎo)法則，可得

根據(jù)式(18)和式(19)，有

因此，可得到以下定理。

定理3 在相互博弈的2個(gè)組織之間呈現(xiàn)正外部性的情況下，當(dāng)面對目標(biāo)攻擊時(shí)，最優(yōu)信息安全投資隨投資效率的提高而增大；當(dāng)面對機(jī)會(huì)攻擊時(shí)，最優(yōu)信息安全投資隨投資效率的提高先增大后減小。

當(dāng)投資效率較小時(shí)，為了更好地抵御攻擊，伴隨著不斷增長的投資效率，組織需要持續(xù)追加信息安全投資。當(dāng)投資效率超過一定臨界點(diǎn)，對于目標(biāo)攻擊，由于其更難被抵御的特點(diǎn)，組織仍需繼續(xù)增加投資，而對于機(jī)會(huì)攻擊，由于信息安全投資對其的防御效果更好，并且投資對安全風(fēng)險(xiǎn)的降低作用一直處于不斷下降的趨勢，因此，在高投資效率下組織將選擇不再追加信息安全投資。

5 負(fù)外部性下的最優(yōu)信息安全投資

根據(jù)式(6)、式(7)、式(13)和式(14)，在2個(gè)組織之間呈現(xiàn)負(fù)外部性的情況下，為保證納什均衡的存在，面對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)分別必須滿足

因此，可得

因此，對于目標(biāo)攻擊和機(jī)會(huì)攻擊分別必須滿足

5.1 負(fù)外部性下的最優(yōu)信息安全投資與潛在損失

分別對式(37)和式(38)應(yīng)用隱函數(shù)的求導(dǎo)法則，可得

根據(jù)式(34)和式(35)，有

因此，可得到以下定理。

定理4 在相互博弈的2個(gè)組織之間呈現(xiàn)負(fù)外部性的情況下，面對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)最優(yōu)信息安全投資與潛在損失呈負(fù)相關(guān)關(guān)系。

5.2 負(fù)外部性下的最優(yōu)信息安全投資與脆弱性

同理，應(yīng)用隱函數(shù)的求導(dǎo)法則可得

根據(jù)式(34)和式(35)，有

因此，可得到以下定理。

定理5 在相互博弈的2個(gè)組織之間呈現(xiàn)負(fù)外部性的情況下，當(dāng)面對目標(biāo)攻擊時(shí)，最優(yōu)信息安全投資隨脆弱性的提高而減??；當(dāng)面對機(jī)會(huì)攻擊時(shí)，若信息安全投資效率較小，則最優(yōu)信息安全投資隨脆弱性的提高而增大，反之，若信息安全投資效率較大，則最優(yōu)信息安全投資隨脆弱性的提高先減小后增大。

在面對目標(biāo)攻擊時(shí)，由于其受高脆弱性的影響相比機(jī)會(huì)攻擊更小，在信息安全投資已經(jīng)較高并且存在約束的條件下，最優(yōu)信息安全投資將隨脆弱性的提高而減小。在面對機(jī)會(huì)攻擊時(shí)，若信息安全投資效率較小，由于高脆弱性帶來的嚴(yán)重影響，組織必須隨脆弱性的提高而追加信息安全投資。從式(35)可以看出，若信息安全投資效率較大，則信息安全投資面臨的約束也更緊，在低脆弱性的情況下，組織將隨脆弱性的提高而降低信息安全投資，而在高脆弱性時(shí)仍需要不斷追加信息安全投資以彌補(bǔ)損失。由此可見，在負(fù)外部性條件下組織比較重視對高脆弱性下機(jī)會(huì)攻擊的抵御，并且必須做好對投資效率的衡量。

5.3 負(fù)外部性下的最優(yōu)信息安全投資與投資效率

分別對式(37)和式(38)應(yīng)用隱函數(shù)的求導(dǎo)法則，可得

根據(jù)式(34)和式(35)，有

因此，可得到以下定理。

定理6 在相互博弈的2個(gè)組織之間呈現(xiàn)負(fù)外部性的情況下，面對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)最優(yōu)信息安全投資與投資效率呈負(fù)相關(guān)關(guān)系。

通過式(6)和式(7)可以看出漏洞概率函數(shù)對投資效率的導(dǎo)數(shù)為負(fù)，投資效率的增長本來對漏洞風(fēng)險(xiǎn)有降低的作用，并且高投資效率會(huì)帶來更嚴(yán)格的投資約束。在負(fù)外部性條件下，由于較高的投資水平以及投資約束的存在，伴隨投資效率的增長，組織不需再追加信息安全投資，而主要利用較高的投資效率達(dá)到一定的安全水平。

總體而言，相較正外部性的情況，組織在負(fù)外部性條件下雖然存在更大的激勵(lì)，但信息安全投資伴隨潛在損失、脆弱性和投資效率的增長變得更加謹(jǐn)慎。所以組織對于自己與其他組織關(guān)系的判斷至關(guān)重要。從此再次看出信息安全投資是兼顧“科學(xué)”與“藝術(shù)”的問題，需要充分的經(jīng)濟(jì)學(xué)考量，難以通過純粹的技術(shù)手段解決。

6 社會(huì)最優(yōu)下的最優(yōu)信息安全投資

之前的內(nèi)容主要研究的是博弈條件下基于個(gè)體理性得出的最優(yōu)信息安全投資額。在社會(huì)最優(yōu)情況下，全體福利達(dá)到最高，此時(shí)，個(gè)體的支付與博弈條件下往往不同。將社會(huì)最優(yōu)下的最優(yōu)信息安全投資與博弈條件下的情況做對比，有助于進(jìn)一步認(rèn)清外部性對信息安全投資和總體收益的影響特點(diǎn)。

在正外部性條件下，總體收益為

通過分析其最優(yōu)解可得

同理，在負(fù)外部性條件下，總體收益為

通過分析其最優(yōu)解可得

綜上，可得以下定理。

定理7 相比獨(dú)立博弈的情況，社會(huì)最優(yōu)時(shí)的總體收益更大，并且在正外部性下的信息安全投資更大，在負(fù)外部性下的信息安全投資更小。

根據(jù)分析，正外部性與負(fù)外部性分別對信息安全投資有抑制和促進(jìn)的作用，這種作用在獨(dú)立博弈的情況下表現(xiàn)更明顯，社會(huì)最優(yōu)對這種偏低或偏高的投資額有一定的調(diào)節(jié)作用。

7 結(jié)束語

本文通過分析信息安全投資存在的外部性，基于Gordon-Loeb模型建立了組織信息安全投資博弈模型，分別研究了正外部性和負(fù)外部性條件下對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)最優(yōu)信息安全投資的變化情況。主要結(jié)論可以歸納如下。

1) 在正外部性條件下，最優(yōu)信息安全隨潛在損失和脆弱性的變化情況與Gordon-Loeb模型存在相似之處，說明正外部性對組織信息安全投資的影響并不深入。組織在進(jìn)行信息安全投資時(shí)，面對潛在損失、脆弱性和投資效率的增大，都至少在這些參數(shù)較小時(shí)出現(xiàn)信息安全投資的增長期。因此，組織在正外部性下的信息安全投資總體較為積極。

2) 負(fù)外部性條件下最優(yōu)信息安全投資的變化規(guī)律與正外部性時(shí)反差較大。除了在面對機(jī)會(huì)攻擊并且脆弱性較高時(shí)，組織的信息安全投資表現(xiàn)較為消極。因此組織必須善于控制信息安全投資。

3) 面對目標(biāo)攻擊和機(jī)會(huì)攻擊時(shí)最優(yōu)信息安全投資的變化情況與這2種攻擊的特點(diǎn)相關(guān)程度很高，例如，由于高脆弱性下機(jī)會(huì)攻擊更難被抵御，當(dāng)脆弱性增大時(shí)，組織必須在外部性環(huán)境下根據(jù)攻擊類型做出是否追加投資的選擇。

4) 社會(huì)最優(yōu)的要求增大了總體收益，其對最優(yōu)信息安全投資額的影響與外部性所具有的特點(diǎn)有關(guān)。

總之，客觀條件對組織的信息安全投資提出了較高的要求。組織必須善于分析內(nèi)外部環(huán)境，合理估計(jì)各種參數(shù)，才能正確地進(jìn)行投資，否則可能產(chǎn)生適得其反的效果。另外，本文研究也有很多不足，例如，對攻擊類型可以有更加細(xì)致的劃分，攻擊者可以被作為博弈參與方，并考慮多階段的博弈交互，這些可以作為未來研究的改進(jìn)方向。

[1] ANDERSON R. Why information security is hard: an economic perspective[C]//The Seventeenth Annual Computer Security Applications Conference. 2001: 358-365.

[2] GORDON L A, LOEB M P. The economics of information security investment[J]. ACM Transactions on Information & System Security, 2002, 5(4):438-457.

[3] 陳天平, 張串絨, 郭威武, 等. 效用理論在信息安全投資優(yōu)化中的應(yīng)用[J]. 計(jì)算機(jī)科學(xué), 2009, 36(12):70-72.

CHEN T P, ZHANG C R, GUO W W, et al. Application of utility theory in investment optimizing of information security[J]. Computer Science, 2009, 36(12):70-72.

[4] GORDON L A, LOEB M P, LUCYSHYN W, et al. Externalities and the magnitude of cyber security underinvestment by private sector firms: a modification of the Gordon-Loeb model[J]. Journal of Information Security, 2015, 6(1):24-30.

[5] HUANG C D, HU Q, BEHARA R S. Economics of information security investment in the case of simultaneous attacks[C]//The Fifth Workshop on the Economics of Information Security. 2006.

[6] HUANG C D, HU Q, BEHARA R S. An economic analysis of the optimal information security investment in the case of a risk-averse firm[J]. International Journal of Production Economics, 2008, 114(2): 793-804.

[7] HUANG C D, BEHARA R S, GOO J. Optimal information security investment in a Healthcare Information Exchange: an economic analysis[J]. Decision Support Systems, 2013, 61(1):1-11.

[8] GORDON L A, LOEB M P, LUCYSHYN W. Sharing information on computer systems security: an economic analysis[J]. Journal of Accounting & Public Policy, 2003, 22(6):461-485.

[9] 鞏國權(quán), 王軍, 強(qiáng)爽. 雙寡頭壟斷市場的信息安全投資模型研究[J]. 中國管理科學(xué), 2007, 15(z1):444-448.

GONG G Q, WANG J, QIANG S. Information security investment model in dual-oligopoly market[J]. Chinese Journal of Management Science, 2007, 15(z1):444-448.

[10] LELARGE M. Coordination in network security games: a monotone comparative statics approach[J]. IEEE Journal on Selected Areas in Communications, 2012, 30(11): 2210-2219.

[11] WU Y, FENG G, WANG N, et al. Game of information security investment: impact of attack types and network vulnerability[J]. Expert Systems with Applications, 2015, 42(15-16):6132-6146.

[12] QIAN X, LIU X, PEI J, et al. A game-theoretic analysis of information security investment for multiple firms in a network[J]. Journal of the Operational Research Society, 2017, 68(10):1-16.

[13] IOANNIDIS C, PYM D, WILLIAMS J. Fixed costs, investment rigidities, and risk aversion in information security: a utility-theoretic approach[M]//Economics of Information Security and Privacy III. 2013: 171-191.

[14] ?APKO Z, AKSENTIJEVI? S, TIJAN E. Economic and financial analysis of investments in information security[C]//The 37th International Convention on Information and Communication Technology, Electronics and Microelectronics. 2014:1550-1556.

Research on the game of information security investmentbased on the Gordon-Loeb model

WANG Qin, ZHU Jianming

School of Information, Central University of Finance and Economics, Beijing 100081, China

In order to study the impacts of externalities of information security investment, the Gordon-Loeb model was extended to a multi-organization game environment. The relationships of the optimal information security investment with vulnerability, potential loss and investment effectiveness when confronted with different attack types under the positive and negative externalities were obtained respectively, and the difference with the optimal information security investment under the social optimum condition was compared. The results show that there were some similarities in the varying pattern of information security investment between the condition of the positive externality and a single organization, but information security investment under the negative externality changes greatly and was generally more cautious, and attack types also have important impacts on information security investment.

information security investment, Gordon-Loeb model, externality, attack type

TP309

A

10.11959/j.issn.1000-436x.2018027

2017-09-13；

2018-01-02

國家重點(diǎn)研發(fā)計(jì)劃基金資助項(xiàng)目（No.2017YFB1400700）；國家自然科學(xué)基金資助項(xiàng)目（No.U1509214, No.61272398）

The National Key R&D Program of China (No.2017YFB1400700), The National Natural Science Foundation of China (No.U1509214, No.61272398)

王秦（1990-），男，甘肅天水人，中央財(cái)經(jīng)大博士生，主要研究方向?yàn)樾畔踩慕?jīng)濟(jì)學(xué)分析。

朱建明（1965-），男，山西太原人，博士，中央財(cái)經(jīng)大學(xué)教授、博士生導(dǎo)師，主要研究方向?yàn)樾畔踩碗娮由虅?wù)安全。