考慮相互依賴性的信息系統安全投資及協調機制

顧建強， 梅姝娥， 仲偉俊

(東南大學 經濟管理學院，江蘇 南京 211189)

?

考慮相互依賴性的信息系統安全投資及協調機制

顧建強， 梅姝娥， 仲偉俊

(東南大學 經濟管理學院，江蘇 南京 211189)

考慮信息系統安全相互依賴情形下最優化信息系統連續時間安全投資水平是一個值得研究的問題。首先討論了非合作博弈下信息系統安全投資的最優策略選擇，在此基礎上討論了安全投資效率參數、黑客學習能力、傳染風險對信息系統脆弱性及信息系統安全投資率的影響。其次，在推導出兩企業在合作博弈情形下最優策略選擇的基礎上，對比兩種情形下的博弈均衡結果，得出合作博弈下的投資水平高于非合作博弈下的投資水平。原因是兩個企業的相互依賴關系隱含著企業投資的負外部性，從而導致企業投資不足。最后，構建一種雙邊支付激勵機制消除企業投資不足問題，從而使企業達到合作博弈下的最優投資水平，提高兩個企業的收益。

信息系統安全投資；合作協調；微分博弈；相互依賴的安全

0 引言

隨著計算機網絡的快速發展，通過運用先進的信息技術來聯系關聯企業和整合供應鏈正成為各個行業的趨勢，如Electronic Data Interchange(EDI) ，Continuous Replenishment Program(CRP)and Vendor Managed Inventory(VMI)等技術的廣泛運用使得企業與其上下游企業、甚至與競爭對手之間形成了緊密的聯系和信息共享[1]。一個企業信息系統的安全性直接影響關聯企業信息系統的安全性[2,3]。如果關聯企業安全水平不高，共享信息不能得到有效的保護，則企業提升自身信息系統安全性付出的代價必然會提高[4]。考慮信息系統安全相互依賴性背景下的企業信息系統安全投資策略，是信息系統安全投資研究領域的重點問題之一。目前，關于這方面的研究已經有了不少文獻。Kunreuther和Heal運用博弈論研究了存在信息系統安全相互依賴性的企業之間安全投資上的納什均衡，發現在非合作條件下，可能存在投資不足的問題，并分析了保險、責任、罰款和補貼、第三方檢查、規章和協調等外部機制對信息系統安全投資的影響[5]。Garcia和Horowitz通過建立博弈論模型分析得出對于相互競爭的多個企業，從最大化社會福利的角度看每個企業的信息系統安全投資水平都偏低，所以有必要通過補貼提高企業的安全投資水平[6]。Zhuang等通過建立信息系統安全模型并通過分析指出，在多個企業信息系統相互關聯的情況下，缺乏戰略視角企業的存在使得其他企業不愿意進行安全投資[7]。Zhang進一步指出，企業信息系統相互關聯的情況下，為某些企業提供信息系統安全補助，能夠提升社會最優安全投資均衡的穩定性，提高社會福利[8]。Bandyopadhyay等以網絡供應鏈為背景，討論了網絡脆弱性和供應鏈整合程度對企業信息系統安全投資的影響。他們發現，即使這兩種因素對企業信息系統安全風險產生相同的影響，但對企業的安全投資卻有不同的影響[9]。

仔細研讀以上文獻，可以看出現有的文獻都是從靜態角度分析企業的信息系統安全投資策略。但是當企業信息系統的脆弱性，黑客的學習能力等表現為隨時間動態變化的時候，這些特征不能很完美地通過靜態模型體現出來，導致結果與現實產生一定的差距。因此，鑒于信息系統安全的背景環境的復雜性和動態變化的特點[11]，在動態框架下研究信息系統安全投資更加貼近現實。因此本文考慮的是企業信息安全相互依賴情形下兩個企業信息系統安全投資問題。通過建立微分博弈模型探討了兩企業合作博弈和非合作博弈時的最優行動選擇，通過對兩種情形下的博弈均衡結果進行分析和對比，得到實現合作解的激勵機制。期望所得到的相關結論能為企業在信息系統安全投資、多企業合作機制等方面的科學決策提供理論依據。

1 基本假設與描述

本文從最簡單的模型開始，只考慮屬于入侵目標集的兩個信息系統安全關聯的企業(i,j)。黑客的目標是通過病毒直接入侵或者間接入侵(即通過病毒侵入其他企業，再通過企業之間的信息系統互聯而傳播)信息資產以期達到一定的經濟收益[12]。為了保護企業的信息系統安全，需要通過安全投資來減少信息系統的脆弱性，從而降低病毒成功入侵的概率，以期減少企業的損失。

變量和參數說明

Pi，Pj狀態變量，分別表示兩個企業信息系統的脆弱性水平，0?Pi，Pj?1Li，Lj分別表示病毒成功入侵給企業帶來的損失q病毒傳播給另一個企業的概率Si，Sj控制變量，分別表示兩個企業信息系統安全投資率r貼現率β投資效率參數ρ黑客的學習效應對企業信息系統脆弱性的影響

假設1 考慮計算機病毒傳播的情形，即如果一個企業的信息系統被病毒感染，病毒就會有可能傳播給另外的關聯企業。這種情況下，單個企業的全部成本依賴于其雙方的脆弱性水平和自身的安全投資。

即企業i的期望成本為Ci=(1-(1-Pi)(1-qPj))Li+Si。

假設2 每個企業信息系統的脆弱性由企業信息系統安全投資量來決定，且信息系統的脆弱性是一個動態變化的過程，可以用式(1)所示的微分方程來表示信息系統脆弱性的變化過程：

(1)

假設3 為了確保系統能達到穩定狀態，假設黑客的學習效應低于信息系統安全投資的影響效應，即βS(t)>ρ。

假設4 根據文獻[9],假設信息系統被病毒成功入侵并傳染的概率小于1/2，即qP<1/2。

2 非合作安全投資博弈

非合作博弈中，兩個企業處于分散決策情形, 雙方同時且獨立確定自己的最優投資策略。其均衡為反饋Nash均衡。

在該種情況下，兩個企業的目標函數分別為：

(2)

(3)

現值哈密爾頓函數表示企業從信息系統安全投資中取得的全部收益(包括當前的和未來的收益)，根據狀態方程(1)和目標方程(2)(3)，可以得到兩企業的哈密爾頓函數為：

Hi=-(1-(1-Pi)(1-qPj))Li-Si+λii(-βiSi(t)Pi+ρ)+λij(-βjSj(t)Pj+ρ)

(4)

HJ=-(1-(1-Pj)(1-qPi))Lj-Sj+λji(-βiSi(t)Pi+ρ)+λjj(-βjSj(t)Pj+ρ)

(5)

(4)(5)中的λii,λij,λji,λjj表示伴隨變量，度量企業信息系統脆弱性的單位量改變對未來收益的現值影響，受以下條件控制：

(6)

(7)

(8)

(9)

從(4)(5)可以看出，哈密爾頓函數對控制變量(Si和Sj)是線性的，從而可以得出(10)式解。

(10)

奇異解由以下條件得到：

(11)

(12)

(13)

結合(6)～(13)和(1)，我們得到

(14)

(15)

定理1 在奇異域和對稱情形下，兩個企業投資為相同的不變值，當信息系統安全投資效率(β)下降，或者傳染率(q)、黑客學習能力(ρ)上升時，信息系統脆弱性(P)上升。當黑客學習能力(ρ)上升時，信息系統安全投資率(S)上升。當qβP3L>ρ時，信息系統安全投資效率(β)上升時，信息系統安全投資率(S)上升，反之，信息系統安全投資率(S)下降。當傳染率(q)上升時，信息系統安全投資率(S)下降。

投資效率參數(β)表明企業通過信息系統安全投資來降低信息系統脆弱性的能力。更高的信息系統安全投資效率參數(β)表示企業的信息系統安全投資有更高的效率和更高的信息系統安全投資收益。因此，投資效率參數(β)比較高的情況下，低一點的投資率也可以維持高的信息系統安全水平。但是值得注意的是，投資效率參數(β)上升，企業信息系統安全投資率(S)并不是總是上升的，只有當qβP3L>ρ時，兩者才是正相關的。黑客學習能力(ρ)上升時，企業的反應是通過更高的投資率來維持原來的安全水平，但是由于邊際收益遞減效應的影響，會導致企業信息系統安全水平下降。作為黑客學習能力的上升的結果，企業投資更多，但信息系統脆弱性反而更高。傳染率(q)上升，企業受到間接攻擊的可能性增大，負外部性增大，因此投資動力不足，表現為信息系統安全投資率下降。

在不對稱情形下，兩企業有不同價值的信息資產需要保護(在這里仍然假設βi=βj=β)。由(14)～(15)可得

(16)

定理2 在奇異域下，當兩個企業有相同的信息系統安全投資效率(βi=βj=β)，資產價值高的企業信息系統脆弱性要比資產價值低的企業信息系統脆弱性低。

因為兩個企業有相同的投資效率參數，他們的每單位成本投資效率可以直接進行比較。在這種情況下，黑客成功入侵給企業帶來的損失更高的企業一定在信息系統安全防御上投資更多。即相對于其他企業，其維持更低的信息系統脆弱性。

3 合作博弈

(17)

現值哈密爾頓函數為：

Hc= -(1-(1-Pi)(1-qPj))Li-Si-(1-(1-Pj)(1-qPi))Lj

-Sj+λci(-βiSi(t)Pi+ρ)+λcj(-βjSj(t)Pj+ρ)

λci,λcj表示伴隨變量，度量企業信息系統脆弱性的單位量(Si,Sj)改變對整體未來收益的現值影響。哈密爾頓函數對控制變量(Si和Sj)是線性的，因此我們仍然得到一個關于Si,Sj的bang-bang解和奇異解形式。同樣的，可以得到奇異域的兩個方程：

(18)

(19)

在對稱條件下，同樣可推得

(20)

定理3 相對于非合作博弈，在合作博弈情形下，兩對稱企業分別維持更高的信息系統安全投資率。

推出PD≥PC,進一步推出SD≤SC。

在非合作博弈情形下，如果企業i的信息系統安全投入增加，那么病毒成功入侵企業i的可能性就比較小，同時從攻擊企業i信息系統轉而攻擊企業j信息系統的概率就會減少。但是在非合作情況下，企業在進行投資時不會考慮增加投資給其他企業帶來的正外部性影響，所以相對于合作情形下，非合作情況下兩對稱企業信息系統安全投資不足。

4 合作協調機制

合作決策能夠使兩個企業在信息系統安全投資方面節約成本。因此，有必要通過一定的機制來激勵雙方實現合作解。一個可行的方法是通過強加一項雙邊支付機制來影響企業的信息系統安全投資水平，從而能夠解決投資不足的問題。

考慮這樣一個支付機制：企業I支付φi(Pi)給企業J，φi(Pi)是關于企業I信息系統脆弱性的一個函數。同樣的，企業J支付φj(Pj)給企業I，φj(Pj)是關于企業信息系統脆弱性的一個函數。因此，兩個企業的目標函數可以表現為以下形式：

(21)

(22)

兩企業的哈密爾頓函數為：

Hi=-(1-(1-Pi)(1-qPj))Li-Si-φi(Pi)+φj(Pj)+λii(-βiSi(t)Pi+ρ)+λij(-βjSj(t)Pj+ρ)

(23)

Hj=-(1-(1-Pj)(1-qPj))Lj-Sj-φj(Pj)+φi(Pi)+λji(-βiSi(t)Pi+ρ)+λjj(-βjSj(t)Pj+ρ)

(24)

仍然得到一個關于Si,Sj的bang-bang解和奇異解形式。同樣的，可以得到奇異域的兩個方程：

(25)

(26)

在對稱情況下，Li=Lj=L,βi=βj=β，Pi=Pj=P，因此方程簡化為

(27)

利用(20)，可以得到

(28)

這時候，兩個對稱企業的目標函數變為以下形式：

(29)

(30)

在非合作博弈下，新的目標函數下的均衡結果和合作下的結果是一樣的。換句話說，在應用的上述的補償計劃后，兩個企業避免了投資不足的問題。然而，這個補償計劃的實現需要有一個雙方都認可的第三方對兩企業的信息系統安全水平進行檢查，以確保補償基于雙方企業真實的信息系統脆弱性水平。

5 數值分析

兩個企業在在合作與非合作信息系統安全投資博弈情形下，信息系統的脆弱性和利潤依賴模型中參數的選擇，假定取Li=Lj=100，r=0.5，ρ=0.6，βi=βj=1，q=0.1,0.2,0.3,0.4，則兩個企業在在合作與非合作信息系統安全投資博弈情形下，其信息系統的脆弱性和合作協調下的支付補償如表1所示。

表1 非合作與合作下的信息系統的脆弱性和協調支付補償額

從表1中可看出，兩個企業在合作情形下的信息系統脆弱性低于非合作情形下的信息系統脆弱性，這與理論推導相符。而且兩種情形下信息系統脆弱性的差距以及合作協調下的支付補償額隨著傳染率q的增大而增加。說明相互依賴性越大越能體現合作協調的價值。

6 結語

應用微分博弈的方法研究了兩個企業在面對黑客病毒攻擊下的信息系統安全投資過程，主要得到以下結論：①病毒傳播攻擊使兩個企業在信息系統安全方面進行投資不足；②合作博弈能夠使企業在信息系統安全方面增加投資；③在非合作情形下，可以通過一個雙方的合理的補償計劃來激勵企業達到合作情形下的均衡水平。有以下幾個創新點：一是主要研究了動態情況下的投資策略。加入時間維的微分博弈模型分析企業的信息系統安全投資策略，更能體現鑒于信息系統安全的背景環境動態變化的特點，因而更加貼近現實情況。二是提出了在非合作情形下，如何通過一種雙邊支付機制來達到合作情形下的均衡水平。未來可進一步研究兩個以上企業之間的病毒入侵情形下的信息系統安全投資或者可以設計實現多企業面對網絡病毒入侵情形下協調的補償機制，以及考慮多企業博弈下，在非對稱情形時如何激勵以達到總體最優。

[1] Mukhopadhyay T, Kekre S, Kalathur S.Business value of information technology: a study of electronic data interchange[J]. MIS Q, 1995, 19(2): 137-155.

[2] Gordon L A, Loeb M P,Lucyshyn W, Sharing information on computer system security: an economic analysis[J]. Journal of Accounting and Public Policy, 2003, 22(9): 461- 485.

[3] 呂俊杰,邱菀華,王元卓.基于相互依賴性的信息安全投資博弈[J].中國管理科學,2006,14(3)：7-12.

[4] Hausken K. Income, interdependence, and substitution effects affecting incentives for security investment[J]. Journal of Account Public Policy, 2006, 25(6): 629- 665.

[5] Kunreuther H, Heal G. Interdependent security[J]. Journal of Risk and Uncertainty, 2003, 26(2), 231-249.

[6] Garcia A, Horowitz B. The potential for underinvestment in internet security: implications for regulatory policy[J]. Journal of Regulatory Economics, 2007, 31(1): 37-55.

[7] Zhuang J, Bier V M, Gupta A. Subsidies in interdependent security with heterogeneous discount rates[J]. The Engineering Economist, 2007, 52(1): 1-19.

[8] Zhuang J. Impacts of subsidized security on stability and total social costs of equilibrium solutions in an n-player game with errors[J]. The Engineering Economist, 2010, 55(2): 131-149.

[9] Bandyopadhyay T, Jacob V, Raghunathan S. Information security in networked supply chains: impact of network vulnerability and supply chain integration on incentives to invest[J]. Information Technology and Management, 2010, 11(1): 7-23.

[10] Hausken K. Information sharing among firms and cyber attacks[J]. Journal of Accounting and Public Policy, 2007, 26(6): 639- 688.

[11] Mookerjee V, Mookerjee R, Bensoussan A, Yue W T. When hackers talk: managing information security under variable attack rates and knowledge dissemination[J]. Information Systems Research, 2011, 22(3): 606- 623.

[12] Png I P L, Wang Q. Information security: user precautions vis-à-vis enforcement against attackers[J]. Journal of Management Information Systems, 2009, 26(2): 97-122.

[13] Cremonini M, Nizovtsev D. Risks and benefits of signaling information system characteristics to strategic attackers[J]. Journal of Management Information Systems, 2009, 26(3): 241-274.

Dynamic Coordination Mechanism of Information System Security Investment Based on Interdependent Security

GU Jian-qiang, MEI Shu-e, ZHONG Wei-jun

(SchoolofEconomicsandManagement,SoutheastUniversity,Nanjing211189,China)

Optimizing continuous time information system security investment decisions of firms in the case of interdependent security is worthing studying. First, we employ the methodology of differential games to investigate two firms’ optimal investment strategies in the Nash non-cooperative game. In this general non-cooperative information system security investment game situation，the influence on the equilibrium vulnerability (security investment rate)is studied when three important elements(investment efficiency parameter,hackers’ learning effect, pidemic risk)are changed .Then the optimal action selection of two partners in the cooperative game situation is analyzed. After comparing these two game equilibrium results，it is found that symmetric firms maintain a higher rate of security investment under cooperative situation. The application of executing a bilateral compensation scheme is one of the measures to achieve the equilibrium which under coordination.

information system security investment; coordination; differential game; interdependent secuurity

2013-12-12

國家自然科學基金資助項目(71071033)

顧建強(1979-)，男，江蘇泰州人，博士研究生，研究方向：信息系統安全投資策略及風險管理；梅姝娥(1968-)，女，江蘇南通人，博士生導師，教授，研究方向：信息安全經濟學，決策理論；仲偉俊(1962-)，男，江蘇南通人，博士生導師，教授，研究方向：信息管理與信息系統。

TP309

A

1007-3221(2015)06- 0136- 07

10.12005/orms.2015.0205