[精选]信息安全与经济学36628.pptx

1信息安全与经济学从经济学的视角认识信息安全问题从经济学的视角认识信息安全问题曹鸿强 2 2 2002-12-15 2002-12-15报告提纲1.前言2.信息安全问题与经济学3.信息安全的一个经济学模型4.信息安全经济学的科学学5.结束语3 3 2002-12-15 2002-12-151.前言1.基本概念n n信息安全信息安全信息的机密性、完整性和可用性 信息的机密性、完整性和可用性n n经济学经济学稀缺条件下的理性选择 稀缺条件下的理性选择2.研究信息安全经济学的意义所在 试图解决或者说是调和信息安全需求不断增长与信 试图解决或者说是调和信息安全需求不断增长与信息安全投入有限之间的矛盾 息安全投入有限之间的矛盾4 4 2002-12-15 2002-12-151.前言3.第一届信息安全与经济学研讨会的基本情况n n20022002年年55月在美国加州大学伯克利分校举行月在美国加州大学伯克利分校举行。n n研讨会的主席之一是著名的学者研讨会的主席之一是著名的学者HAL R.HAL R.VARIANVARIAN（哈尔范里安），他著有微观经济学哈尔范里安），他著有微观经济学的经典教材：微观经济学：现代观点和的经典教材：微观经济学：现代观点和微观经济分析。微观经济分析。5 5 2002-12-15 2002-12-151.前言3.3.第一届信息安全与经济学研讨会的基本情况第一届信息安全与经济学研讨会的基本情况n n 研讨会主题 研讨会主题n n 安全经济学的历史 安全经济学的历史n n 信息安全的测度和市场 信息安全的测度和市场n n 信息安全的优化投资 信息安全的优化投资n n 经济学理论在信息安全中的应用 经济学理论在信息安全中的应用n n 技术机制的激励 技术机制的激励n n 隐私和自由 隐私和自由n n 其它问题 其它问题n n 下一届年会：下一届年会：2003 2003年 年5 5月，马里兰大学 月，马里兰大学6 6 2002-12-15 2002-12-152.信息安全问题与经济学1.1.信息安全问题的特点信息安全问题的特点n n 可以避免的信息安全事故及其危害是有限的 可以避免的信息安全事故及其危害是有限的 n n 在信息系统的系统生命周期中，信息安全事故虽然可以避免，在信息系统的系统生命周期中，信息安全事故虽然可以避免，但是难于完全或者绝对避免。但是难于完全或者绝对避免。n n 对于各种信息安全事故的负面后果及影响，虽然可以避免，对于各种信息安全事故的负面后果及影响，虽然可以避免，但是难于完全或者绝对避免。但是难于完全或者绝对避免。n n 对于信息安全的需求总是具有相对性 对于信息安全的需求总是具有相对性n n 某种信息安全水平在某种特定的情况下被认为是安全的，但 某种信息安全水平在某种特定的情况下被认为是安全的，但在另外的情况下就不一定仍旧被认为是安全。在另外的情况下就不一定仍旧被认为是安全。n n 某种信息安全水平对于某个特定的组织机构认为是安全的，某种信息安全水平对于某个特定的组织机构认为是安全的，但对另外的组织机构就可能被认为是不安全的，甚至是危险 但对另外的组织机构就可能被认为是不安全的，甚至是危险的。的。7 7 2002-12-15 2002-12-152.信息安全问题与经济学1.1.信息安全问题的特点信息安全问题的特点n n 信息安全现象具有极向性的特点 信息安全现象具有极向性的特点n n 信息安全事故及其危害是一种 信息安全事故及其危害是一种“零无穷大 零无穷大”的稀少事件，的稀少事件，即：或者单个事故发生的可能性很小，而后果十分严重，例 即：或者单个事故发生的可能性很小，而后果十分严重，例如通过计算机网络泄露国家机密；或者危害的作用强度很小，如通过计算机网络泄露国家机密；或者危害的作用强度很小，但危害涉及的范围却很广，例如计算机文档的宏病毒。但危害涉及的范围却很广，例如计算机文档的宏病毒。n n 描述信息安全水平的两个参量安全性和危险性具有互补性，描述信息安全水平的两个参量安全性和危险性具有互补性，即安全性 即安全性1 1危险性：当安全性趋于最大值时，危险性就趋 危险性：当安全性趋于最大值时，危险性就趋于最小值，反之亦然。于最小值，反之亦然。n n 人类从事信息安全活动，总是希望以最小的经济力量（人、人类从事信息安全活动，总是希望以最小的经济力量（人、财、物）投入取得最大的信息安全效益。财、物）投入取得最大的信息安全效益。8 8 2002-12-15 2002-12-152.信息安全问题与经济学2.2.信息安全的成本效益分析信息安全的成本效益分析n n 从系统生命周期看信息安全的成本：获取成本和运行 从系统生命周期看信息安全的成本：获取成本和运行成本 成本n n 从安全防护手段看信息安全的成本：技术成本和管理 从安全防护手段看信息安全的成本：技术成本和管理成本 成本n n 信息安全的价值效益：减少信息安全事故的经济损失 信息安全的价值效益：减少信息安全事故的经济损失n n 信息安全的非价值效益：增加声誉、提升品牌价值 信息安全的非价值效益：增加声誉、提升品牌价值9 9 2002-12-15 2002-12-152.信息安全问题与经济学信息系统安全防护模型