考虑风险依赖和竞争外部性的信息安全外包决策机制和策略优化研究

In order to cope with the severe network security situation and respond to the mandatory requirements of national standards, information security outsourcing service has become a trend in recent years. However, problems such as “free rider” and “customer loss” have occurred frequently, how to gain competitive advantage and provide customized services in the influence of risk interdependency and external competition are the focus of enterprises and security service providers. Taking the service quality and cost advantage as a baseline, the project intends to build Cournot models and Stackelberg models that includes factors of risk interdependency and competition externalities based on summarizing information security outsourcing decision factors and participants’ behavioral motivations, thereafter compares the enterprise's information security outsourcing decision-making mechanisms under simultaneous game and sequential game. On this basis, the factors of service type and service quality are introduced, and the impacts of risk interdependency and competition externality on the security service provider decision of are explored. Furthermore, the stakeholders' decision-making mechanisms under different industry characteristics are revealed by introducing transfer cost of the consumption. Finally, a tripartite game model is developed to analyze the conditions of implementing information security outsourcing decision-making for stakeholders, when service quality and cost advantages are different. This research provides an integrated theoretical framework for enterprises to implement information security outsourcing management, and provides methods guidance for security service providers to formulate reasonable security service products.

为了应对严峻的网络安全形势、响应国家标准的强制性要求，企业外包信息安全业务成为近年来的趋势，但“搭便车”和“顾客流失”等问题频发，如何在风险依赖和竞争外部性影响下获得竞争优势和提供定制化服务，是企业和安全服务提供商所关注的重点。本项目以服务质量和成本优势为比较基准，拟在总结信息安全外包决策因素和参与人行为动机的基础上，构建包含风险依赖和竞争外部性因素的古诺模型和斯坦伯格模型，分析并比较同时博弈和序贯博弈下企业的信息安全外包决策机制；在此基础上，引入服务类型和服务质量因素，探索风险依赖和竞争外部性对安全服务提供商决策的影响；进一步地，引入消费者转移成本因素，揭示不同行业特征下的利益相关者决策机制。最后，通过建立三方博弈模型，剖析服务质量和成本优势不同时利益相关者实施信息安全外包决策的条件。本研究为企业实施信息安全外包管理提供整合性理论框架，为安全服务提供商制定合理的安全服务产品提供方法指导。

随着信息技术在我国政治、经济及社会生活中发挥着越来越重要的作用，信息安全已成为企业持续稳定发展的重要命脉。为了应对复杂的网络安全环境、国家标准的强制性要求，将信息安全业务外包给安全服务商已成为企业应对不断变化的安全挑战的关键策略。但“搭便车”和“顾客流失”等问题频发，如何在风险依赖和竞争外部性影响下获得竞争优势和提供定制化服务，是企业和安全服务商所关注的重点。与以往大多只从风险管理视角研究不同，项目拟在总结政策因素、技术因素、经济因素和参与人行为动机的基础上，构建包含风险依赖和竞争外部性的博弈模型，探索利益相关者由于业务依赖引发的风险和市场竞争引发的外部性对决策的影响机理，揭示不同的信息系统安全特征、黑客入侵传播行为、信息安全共享行为下利益相关者的决策条件，探索新兴安全外包服务模式下企业的决策机制和策略优化。. 运用文献计量、问卷调查、实证检验、博弈理论、SIR模型、数值模拟等方法，利用对目标企业和安全服务商的多次问卷调查数据、公共平台中近70万条数据等，对系列理论模型进行了实证检验和数值检验。研究结果发现，企业市值受漏洞披露政策影响，漏洞评分、补丁响应行为、企业规模和漏洞公布时间为影响因素；企业安全水平受技术配置策略影响，黑客期望利润、人工调查成本、安全技术的检测概率为影响因素，企业购买过量的信息安全技术服务无益；市场竞争引发外部性，脆弱性水平、系统相似性影响企业自主防御和外包的抉择和最优策略条件；攻击环境不同，外部性、入侵成功率、防御成功率、网络中感染态比例和免疫失效概率影响企业最优决策；业务依赖引发风险，高声誉企业间合作注重信息安全风险因子值，共享效率因子影响企业共享行为和共享决策周期；信息安全培训服务模式下，知识共享意愿影响安全漏洞水平和安全培训投资决策；漏洞众测模式下，企业可根据复审报告时间、漏洞报告质量水平，为具有不同漏洞价值的任务选择合适的平台实施漏洞赏金计划。