大數(shù)據(jù)背景下信息安全外包策略的新思考

摘 要：在大數(shù)據(jù)的時(shí)代背景下，信息系統(tǒng)的廣泛運(yùn)用在為市場(chǎng)及企業(yè)發(fā)展帶來紅利的同時(shí)也帶來許多安全隱患。將安全業(yè)務(wù)外包給管理安全服務(wù)供應(yīng)商（MSSP）已成為應(yīng)對(duì)不斷變化的安全挑戰(zhàn)的關(guān)鍵策略。本文通過研究大數(shù)據(jù)背景下信息安全外包的問題和特征，進(jìn)一步分析將保險(xiǎn)機(jī)制引入到企業(yè)信息安全外包策略體系中的可行性，為企業(yè)乃至政府部門和事業(yè)單位制定信息安全外包策略、設(shè)計(jì)合理的信息安全外包契約提供指導(dǎo)。

關(guān)鍵詞：信息安全策略;外包;保險(xiǎn)機(jī)制

1.基于大數(shù)據(jù)背景的信息安全市場(chǎng)

大數(shù)據(jù)技術(shù)的高速成長(zhǎng)推動(dòng)產(chǎn)生了海量非結(jié)構(gòu)化數(shù)據(jù)，如果不通過大數(shù)據(jù)分析及時(shí)挖掘其價(jià)值，本身沒有關(guān)聯(lián)性的非結(jié)構(gòu)化數(shù)據(jù)便會(huì)隨著周期延遲而失去時(shí)效性。非結(jié)構(gòu)化數(shù)據(jù)隱藏的巨大價(jià)值使得信息安全問題頻頻發(fā)生，數(shù)據(jù)信息的泄露和非法使用往往會(huì)給國(guó)家和人民群眾造成較大的經(jīng)濟(jì)損失。數(shù)據(jù)顯示，全球 20個(gè)國(guó)家大約有 9.78 億人在 2020 年遭受網(wǎng)絡(luò)攻擊，經(jīng)濟(jì)損失高達(dá) 1720 億美元。其中中國(guó)作為遭受網(wǎng)絡(luò)犯罪最嚴(yán)重的國(guó)家，大約3.52億的中國(guó)消費(fèi)者曾是網(wǎng)絡(luò)犯罪的受害者，經(jīng)濟(jì)損失達(dá)到 663 億美元，過去 4 年復(fù)合增長(zhǎng)率為15.7%。層出不窮的互聯(lián)網(wǎng)信息安全問題引起了政府的關(guān)注，例如2017年我國(guó)出臺(tái)了《中國(guó)網(wǎng)絡(luò)安全法》，信息安全行業(yè)面臨空前的發(fā)展機(jī)遇。據(jù)Frost and Sullivan調(diào)查顯示，2016年全球MSSP市場(chǎng)達(dá)到147億美元，預(yù)計(jì)年均上升18.5%。伴隨信息安全產(chǎn)業(yè)爆發(fā)式增長(zhǎng)機(jī)遇，我國(guó)信息安全外包服務(wù)市場(chǎng)規(guī)模迅速擴(kuò)張。

2.大數(shù)據(jù)背景下信息安全外包風(fēng)險(xiǎn)控制的影響因素

信息安全外包服務(wù)市場(chǎng)呈現(xiàn)快速崛起的趨勢(shì)。但在大數(shù)據(jù)背景下信息安全外包服務(wù)不一定總是最佳選擇，一方面復(fù)雜又動(dòng)態(tài)變化的信息系統(tǒng)不總那么安全，MSSP的操作不當(dāng)可能會(huì)導(dǎo)致海量數(shù)據(jù)泄露，企業(yè)將產(chǎn)生巨大的損失;另一方面存在因信息及利益不對(duì)稱導(dǎo)致的委托代理問題[1];在動(dòng)態(tài)變化的信息系統(tǒng)環(huán)境中信息安全外包策略的一大重要影響因素是黑客的攻擊，在信息安全投資策略中，通常把黑客攻擊按模式差異劃分成針對(duì)性攻擊與大規(guī)模攻擊。針對(duì)性攻擊指的是黑客以效益最大化為原則針對(duì)不同用戶或者企業(yè)實(shí)施不同的攻擊手段;而大規(guī)模攻擊則是黑客忽略攻擊對(duì)象的差異化隨機(jī)分配攻擊資源[2]。

隨著信息安全外包服務(wù)供應(yīng)商（MSSP）的出現(xiàn)促進(jìn)了企業(yè)將信息系統(tǒng)被黑客攻擊的風(fēng)險(xiǎn)轉(zhuǎn)移給MSSP。企業(yè)和MSSP之間極可能因?yàn)樾畔⒉粚?duì)稱產(chǎn)生雙邊道德風(fēng)險(xiǎn)。因?yàn)槠髽I(yè)和MSSP都無法準(zhǔn)確知曉對(duì)方安全投資的績(jī)效，很難在外包過程中評(píng)估服務(wù)質(zhì)量，所以會(huì)導(dǎo)致雙方做出低于社會(huì)最優(yōu)水平的努力[3]，此時(shí)有效的信息安全外包策略能夠最大程度規(guī)避雙邊道德風(fēng)險(xiǎn)，引導(dǎo)企業(yè)和MSSP做出最高水平努力。因此，怎樣結(jié)合信息安全外包的特點(diǎn)和要求解決契約設(shè)計(jì)和風(fēng)險(xiǎn)控制問題;怎樣更好降低存在的風(fēng)險(xiǎn)都十分值得研究。

3.基于保險(xiǎn)機(jī)制的信息安全外包服務(wù)選擇分析

鑒于信息安全復(fù)雜及動(dòng)態(tài)變化的特點(diǎn)和前人已有的研究基礎(chǔ)，本文將保險(xiǎn)機(jī)制引入到信息安全契約設(shè)計(jì)中進(jìn)行分析，發(fā)現(xiàn)當(dāng)企業(yè)和MSSP均為風(fēng)險(xiǎn)中性時(shí)，企業(yè)和MSSP在不引入保險(xiǎn)機(jī)制與引入保險(xiǎn)機(jī)制時(shí)的收益均相同;當(dāng)企業(yè)和MSSP均為風(fēng)險(xiǎn)厭惡時(shí)，一定條件下，引入保險(xiǎn)機(jī)制時(shí)企業(yè)和MSSP的效益大于不引入保險(xiǎn)機(jī)制時(shí)雙方的效益，此時(shí)保險(xiǎn)公司要求雙方繳納的保險(xiǎn)費(fèi)應(yīng)隨著企業(yè)檢測(cè)能力和MSSP提供的服務(wù)質(zhì)量達(dá)標(biāo)率的提高而減少[4]。一方面可以根據(jù)企業(yè)和MSSP雙方的風(fēng)險(xiǎn)偏好選擇是否在信息安全外包策略中引入保險(xiǎn)機(jī)制;另一方面，保險(xiǎn)公司的保險(xiǎn)費(fèi)設(shè)置與企業(yè)及MSSP的努力水平成負(fù)相關(guān)?？梢约?lì)雙方發(fā)揮其最大努力水平來降低其信息安全投資成本，有效解決委托代理問題并增加企業(yè)效益。

參考文獻(xiàn)：

[1]Koh C， Soon A， Straub D W. IT outsourcing success： a psychological contract perspective[J]. Information Systems Research， 2004， 15（4）： 356-373.

[2]顧建強(qiáng). 信息系統(tǒng)安全投資策略及風(fēng)險(xiǎn)管理研究[D]. 2016.

[3]Bandyopadhyay T， Mookerjee V， Rao R C. Why IT managers dont go for ?cyber insurance products[J]. Communications of the ACM， 2009， 52（11）： 68-73.

[4]解慧慧， 廖貅武， 陳剛. 引入保險(xiǎn)機(jī)制的IT外包合同設(shè)計(jì)及分析[J]. 系統(tǒng)工程學(xué)報(bào)， 2012， 27（3）： 18-26.

作者簡(jiǎn)介：

康飛宇（2000-），女，漢族，本科。