Экономика безопасности

Экономика информационной безопасности затрагивает экономические аспекты конфиденциальности и компьютерной безопасности . Экономика информационной безопасности включает модели строго рационального « человека экономического », а также поведенческую экономику . Экономика безопасности рассматривает индивидуальные и организационные решения и поведение в отношении безопасности и конфиденциальности как рыночные решения.

Экономика безопасности отвечает на ключевой вопрос: почему агенты выбирают технические риски, когда существуют технические решения для снижения рисков безопасности и конфиденциальности? Экономика рассматривает не только этот вопрос, но и определяет проектные решения в области техники безопасности .

Возникновение экономики безопасности

Национальная безопасность является каноническим общественным благом . Экономический статус информационной безопасности вышел на первый план примерно в 2000 году. Как и в случае с инновациями, он возник одновременно в нескольких местах.

В 2000 году Росс Андерсон написал « Почему информационная безопасность — это сложно» . Андерсон объяснил, что значительная трудность в оптимальном развитии технологий безопасности заключается в том, что стимулы должны быть согласованы с технологией, чтобы обеспечить ее рациональное внедрение. Таким образом, экономические идеи должны быть интегрированы в технический проект. Технология безопасности должна позволить стороне, подвергающейся риску, инвестировать средства, чтобы ограничить этот риск. В противном случае дизайнеры просто рассчитывают на альтруизм при принятии и распространении. Многие считают эту публикацию рождением экономики безопасности.

Также в 2000 году в Гарварде Кэмп из Школы государственного управления и Вольфрам с факультета экономики утверждали, что безопасность не является общественным благом , а, скорее, каждая существующая уязвимость имеет связанную с ней отрицательную внешнюю ценность. Уязвимости были определены в этой работе как торгуемые товары. Шесть лет спустя у iDEFENSE , ZDI и Mozilla появились рынки уязвимостей.

В 2000 году ученые из группы реагирования на компьютерные чрезвычайные ситуации Университета Карнеги-Меллон предложили ранний механизм оценки риска . Иерархическая голографическая модель предоставила первый многогранный инструмент оценки для управления инвестициями в безопасность с использованием науки о рисках. С тех пор CERT разработал набор систематических механизмов, которые организации могут использовать при оценке рисков, в зависимости от размера и опыта организации: OCTAVE . Изучение компьютерной безопасности как инвестиции в предотвращение рисков стало стандартной практикой.

В 2001 году Лоуренс А. Гордон и Мартин П. Леб опубликовали статью «Использование информационной безопасности как ответ на систему анализа конкурентов» . Рабочий документ опубликованной статьи был написан в 2000 году. Эти профессора из Школы бизнеса Смита в Мэриленде представляют теоретико-игровую структуру, которая демонстрирует, как информационная безопасность может помешать конкурирующим фирмам получить конфиденциальную информацию. В этом контексте в статье рассматриваются экономические (т.е. рентабельность) аспекты информационной безопасности.

Авторы объединились, чтобы разработать и расширить серию флагманских мероприятий под названием Workshop on the Economics of Information Security.

Примеры результатов в экономике безопасности

Доказательство работы — это технология безопасности, предназначенная для предотвращения спама путем изменения экономики. В одной из первых работ по экономике информационной безопасности утверждалось, что доказательство работы не может работать. Фактически, было обнаружено, что доказательство работы не может работать без ценовой дискриминации , как показано в более поздней статье « Доказательство работы может работать» .

Еще один вывод, имеющий решающее значение для понимания нынешней американской практики обработки данных, заключается в том, что противоположностью конфиденциальности с экономической точки зрения является не анонимность , а скорее ценовая дискриминация . Книга «Конфиденциальность и ценовая дискриминация», написанная Эндрю Одлызко , показывает, что то, что может выглядеть как информационная патология при сборе данных, на самом деле является рациональным организационным поведением.

Хэл Вариан представил три модели безопасности, используя метафору высоты стен вокруг города, чтобы показать безопасность как обычное благо, общественное благо или благо с внешними эффектами. В любом случае свободная езда – это конечный результат.

Лоуренс А. Гордон и Мартин П. Леб написали «Экономику инвестиций в информационную безопасность». ^[1] Модель Гордона-Лёба многие считают первой экономической моделью, которая определяет оптимальную сумму инвестиций для защиты данного набора информации. Модель учитывает уязвимость информации к нарушению безопасности и потенциальные потери в случае такого нарушения.

См. также

Ссылки

^ Гордон, Лоуренс А .; Леб, Мартин П. (ноябрь 2002 г.). «Экономика инвестиций в информационную безопасность» . Транзакции ACM по информационной и системной безопасности . 5 (4): 438–457. дои : 10.1145/581271.581274 . S2CID 1500788 .

Внешние ссылки

Центры, изучающие экономику безопасности

Колледж Хайнца Университета Карнеги-Меллона
Лаборатория конфиденциальности Университета Карнеги-Меллона
Лаборатория компьютерных наук Кембриджского университета
Школа информатики Университета Индианы
Университет Миннесоты
Школа информации Мичиганского университета
Отделение инженерных и прикладных наук Гарвардского университета
В Дартмуте находится I3P , в который входят школа Така, а также факультет компьютерных наук, изучающий экономику информационной безопасности.

Ресурсы в экономике безопасности

Росс Андерсон ведет страницу «Экономика информационной безопасности» .
У Алессандро Аккисти есть соответствующая страница ресурсов по экономике конфиденциальности .
Джин Кэмп «Экономика информационной безопасности» содержит ссылки на все прошедшие семинары с соответствующими статьями, а также текущие конференции и приглашения к участию в докладах. Здесь также представлены события, книги, прошедшие семинары и аннотированная библиография.
Окупаемость инвестиций в информационную безопасность содержит анкету для самооценки, статьи и ссылки на ресурсы по экономике информационной безопасности.
Кибератаки: проблема экономической политики , опубликованная на политическом портале CEPR VOX, представляет собой нетехнический обзор вопросов политики и измерения, связанных с экономикой кибербезопасности.

[1] Гордон, Лоуренс А .; Леб, Мартин П. (ноябрь 2002 г.). «Экономика инвестиций в информационную безопасность» . Транзакции ACM по информационной и системной безопасности . 5 (4): 438–457. дои : 10.1145/581271.581274 . S2CID 1500788 .

[1]