Модель Гордона–Лёба

Метод оптимизации инвестиций в информационную безопасность

Идеальный уровень инвестиций в компьютерную безопасность компании с учетом снижения приростной доходности

Модель Гордона–Лёба — это экономическая модель, которая анализирует оптимальный уровень инвестиций в информационную безопасность .

Преимущества инвестирования в кибербезопасность вытекают из снижения затрат, связанных с кибервзломами . Модель Гордона-Лёба предоставляет основу для определения того, сколько инвестировать в кибербезопасность, используя подход «затраты-выгоды».

Модель включает в себя следующие ключевые компоненты:

• Организационные данные уязвимы для кибератак. Уязвимость обозначается v ( 0 ≤ v ≤ 1 ), что отражает вероятность нарушения в текущих условиях.

• Потенциальные потери от нарушения, представленные L , которые могут быть выражены в денежном выражении. Ожидаемые потери рассчитываются как vL до дополнительных инвестиций в кибербезопасность.

• Инвестиции в кибербезопасность, обозначаемые как z , уменьшают v на основе эффективности мер безопасности, известной как функция вероятности нарушения безопасности.

Гордон и Лоеб продемонстрировали, что оптимальный уровень инвестиций в безопасность, z* , не превышает 37% от ожидаемых потерь от нарушения. В частности, z* ( v ) ≤ (1/ e ) vL .

Обзор

Пример : Рассмотрим значение данных в €1,000,000 с вероятностью атаки 15% и вероятностью успешного взлома 80% . Потенциальные потери составляют €1,000,000  ×  0,15  ×  0,8 = €120,000 . Согласно модели Гордона-Лёба, инвестиции компании в безопасность не должны превышать €120,000  ×  0,37 = €44,000 .

Модель была впервые представлена ​​Лоуренсом А. Гордоном и Мартином П. Лоебом в статье 2002 года, опубликованной в ACM Transactions on Information and System Security , под названием «Экономика инвестиций в информационную безопасность». ^[1] Она была переиздана в книге 2004 года «Экономика информационной безопасности » . ^[2] Оба автора являются профессорами Школы бизнеса имени Роберта Х. Смита при Мэрилендском университете .

Модель широко рассматривается как один из ведущих аналитических инструментов в экономике кибербезопасности. ^[3] Она широко упоминается в академической и отраслевой литературе. ^{[4] [5] [ нерабочая ссылка ] [6]} Она также была протестирована в различных контекстах такими исследователями, как Марк Леларж ^[7] и Юлий Барышников. ^[8]

Модель также освещалась в основных средствах массовой информации, включая The Wall Street Journal ^[9] и The Financial Times ^[10] .

Последующие исследования раскритиковали предположения модели, предположив, что некоторые функции нарушения безопасности могут потребовать исправления не менее 1/2 ожидаемых потерь, что ставит под сомнение универсальность фактора 1/e . Альтернативные формулировки даже предполагают, что некоторые функции потерь могут оправдать инвестиции при полной предполагаемой потере. ^[11]

Смотрите также

• Настоящий индикатор прогресса

Ссылки

1. Гордон, Лоуренс А.; Лёб , Мартин П. (ноябрь 2002 г.). «Экономика инвестиций в информационную безопасность». ACM Transactions on Information and System Security . 5 (4): 438–457. doi :10.1145/581271.581274. S2CID  1500788.
2. Гордон, Лоуренс А.; Лоэб , Мартин П. (2004). «Экономика инвестиций в информационную безопасность». В Кэмп, Л. Джин; Льюис, Стивен (ред.). Экономика информационной безопасности. Достижения в области информационной безопасности. Том 12. Бостон, Массачусетс: Springer. doi :10.1007/1-4020-8090-5_9. ISBN 978-1-4020-8089-0.
3. Кианпур, Мазахер; Ковальски, Стюарт; Овербю, Харальд (2021). «Систематическое понимание экономики кибербезопасности: обзор». Устойчивость . 13 (24): 13677. doi : 10.3390/su132413677 . hdl : 11250/2978306 .
4. Кианпур, Мазахер; Раза, Шахид (2024). «Больше, чем вредоносное ПО: разоблачение скрытого риска правил кибербезопасности». International Cybersecurity Law Review . 5 : 169–212. doi : 10.1365/s43439-024-00111-7 . hdl : 11250/3116767 .
5. Мацуура, Канта (23 апреля 2008 г.). «Пространство производительности информационной безопасности в расширении инвестиционной модели Гордона-Лёба» (PDF) . Получено 30 октября 2014 г.
6. Виллемсон, Ян (2006). «О модели Гордона и Леба для инвестиций в информационную безопасность» (PDF) .
7. Lelarge, Marc (декабрь 2012 г.). «Coordination in Network Security Games: A Monotone Comparative Statics Approach». IEEE Journal on Selected Areas in Communications . 30 (11): 2210–9. arXiv : 1208.3994 . Bibcode : 2012arXiv1208.3994L. doi : 10.1109/jsac.2012.121213. S2CID  672650. Архивировано из оригинала 14 мая 2014 г. Получено 13 мая 2014 г.
8. Барышников, Юлий (24 февраля 2012 г.). "Инвестиции в безопасность ИТ и правило Гордона-Лёба 1/e" (PDF) . Получено 30 октября 2014 г.
9. Гордон, Лоуренс А.; Лоэб , Мартин П. (26 сентября 2011 г.). «Вы можете сражаться не за те битвы безопасности» . The Wall Street Journal . Получено 9 мая 2014 г.
10. Пэйлин, Адам (30 мая 2013 г.). «Профессора Мэриленда взвешивают киберриски». Financial Times . Получено 9 мая 2014 г.
11. Виллемсон, Ян (2006). «О модели Гордона и Лоеба для инвестиций в информационную безопасность». WEIS .