企業信息安全投資中的博弈問題研究畢業論文(編輯修改稿)

　

【文章內容簡介】 全局中人所取定的一組策略有關。，存在著一個博弈結果。:均衡是平衡的意思，在經濟學中，均衡意即相關量處于穩定值。在供求關系中，某一商品市場如果在某一價格下，想以此價格買此商品的人均能買到，而想賣的人均能賣出，此時我們就說，該商品的供求達到了均衡。均衡又存在納什均衡，它是一穩定的博弈結果。納什均衡:在一策略組合中，所有的參與者面臨這樣一種情況，當其他人不改變策略時，他此時的策略是最好的。也就是說，此時如果他改變策略他的支付將會降低。在納什均衡點上，每一個理性的參與者都不會有單獨改變策略的沖動。（三）博弈的類型 ——研究人們達成合作時如何分配合作得到的收益，即收益分配問題。，即策略選擇問題。:參與者對所有參與者的策略空間及策略組合下的支付有充了解稱為完全信息。反之，則稱為不完全信息。 靜態博弈:指參與者同時采取行動，或者盡管有先后順序，但后行動者不知道先行動者的策略。動態博弈:指雙方的的行動有先后順序并且后行動者可以知道先行動者的策略。（四）博弈論的意義博弈論的研究方法和其他許多利用數學工具研究社會經濟現象的學科一樣，都是從復雜的現象中抽象出基本的元素，對這些元素構成的數學模型進行分析，而后逐步引入對其形勢產影響的其他因素，從而分析其結果。基于不同抽象水平，形成三種博弈表述方式，標準型、擴展型和特征函數型利用這三種表述形式，可以研究形形色色的問題。因此，它被稱為“社會科學的數學”，從理論上講，博弈論是研究理性的行動者相互作用的形式理論，而實際上正深入到經濟學、政治學、社會學等等，被各門社會科學所應用。應用傳統決定論中的“最小最大”準則，即博弈的每一方都假設對方的所有功略的根本目的是使自己最大程度地失利，并據此最優化自己的對策，諾伊曼從數學上證明，通過一定的線性運算，對于每一個二人零和博弈，都能夠找到一個“最小最大解”。通過一定的線性運算，競爭雙方以概率分布的形式隨機使用某套最優策略中的各個步驟，就可以最終達到彼此盈利最大且相當。當然，其隱含的意義在于，這套最優策略并不依賴于對手在博弈中的操作。用通俗的話說，這個著名的最小最大定理所體現的基本“理性”思想是“抱最好的希望，做最壞的打算”。（五）博弈論的應用“智豬博弈”“智豬博弈”講的是，豬圈里有兩頭豬，一頭大豬，一頭小豬。豬圈的一邊有個踏板，每踩一下踏板，在遠離踏板的豬圈的另一邊的投食口就會落下少量的食物。如果有一只豬去踩踏板，另一只豬就有機會搶先吃到另一邊落下的食物。當小豬踩動踏板時，大豬會在小豬跑到食槽之前剛好吃光所有的食物；若是大豬踩動了踏板，則還有機會在小豬吃完落下的食物之前跑到食槽，爭吃到另一半殘羹。那么，兩只豬各會采取什么策略?答案是:小豬將選擇“搭便車”策略，也就是舒舒服服地等在食槽邊；而大豬則為一點殘羹不知疲倦地奔忙于踏板和食槽之間。原因何在？因為，小豬踩踏板將一無所獲，不踩踏板反而能吃上食物。對小豬而言，無論大豬是否踩動踏板，不踩踏板總是好的選擇。反觀大豬，已明知小豬是不會去踩動踏板的，自己親自去踩踏板總比不踩強吧，所以只好親力親為。“小豬躺著大豬跑”的現象是由于故事中的游戲規則所導致的。規則的核心指標是:每次落下的事物數量和踏板與投食口之間的距離。如果改變一下核心指標，豬圈里還會出現同樣的“小豬躺著大豬跑”的景象嗎?試試看。改變方案1:增量方案。投食為原來的一倍分量。結果是小豬、大豬都會去踩踏板。誰想吃，誰就會去踩踏板。反正對方不會一次把食物吃完，競爭意識不會很強。改變方案2:減量方案。投食僅原來的一半分量。結果是小豬大豬都不去踩踏板了。小豬去踩，大豬將會把食物吃完；大豬去踩，小豬將也會把食物吃完，所以誰也不會有踩踏板的動力了。如果目的是想讓豬們去多踩踏板，這個游戲規則的設計顯然是失敗的。對于游戲規則的設計者來說，這個規則的成本相當高(每次提供雙份的食物)。而且因為競爭不強烈，想讓豬們去多踩踏板的效果并不好。改變方案三:減量加移位方案。投食僅原來的一半分量，但同時將投食口移到踏板附近。結果呢，小豬和大豬都在拼命地搶著踩踏板。等待者不得食，而多勞者多得。每次的收獲剛好消費完。對于游戲設計者，這是一個最好的方案。成本不高，但收獲最大。原版的“智豬博弈”故事給了競爭中的弱者(小豬)以等待為最佳策略的啟發。但是對于社會而言，因為小豬未能參與競爭，小豬搭便車時的社會資源配置并不是最佳狀態。為使資源最有效配置，規則的設計者是不愿看見有人搭便車的，所有企業都是如此。而能否完全杜絕“搭便車”現象，就要看游戲規則的核心指標設置是否合適了。在博弈論中，含有占優戰略均衡的一個著名例子是 “囚徒困境”博弈模型。該模型講述一個警察與小偷的故事。假設有兩個小偷A和B聯合犯事、私入民宅被警察抓住。警方將兩人分別置于不同的兩個房間進行審訊，對每一個犯罪嫌疑人，警方給出的政策是:如果一個犯罪嫌疑人坦白了罪行，交出了贓物，于是證據確鑿，兩人都被判有罪。如果另一個犯罪嫌疑人也作了坦白，則兩人各被判刑8年；如果另一個犯罪嫌人沒有坦白而是抵賴，則以妨礙公務罪再加刑2年，而坦白者有功被減刑8年，立即釋放。如果兩人都抵賴，則警方因證據不足不能判兩人的偷竊罪，但可以以私入民宅的罪名將兩人各判入獄1年。表31給出了這個博弈的支付矩陣。表31 囚徒困境博弈A/B坦白抵賴坦白8，80，10抵賴10，01，1我們來看看這個博弈可預測的均衡是什么。對A來說，無論B選擇什么，A選擇“坦白”總是最優的。顯然，根據對稱性，B也會選擇“坦白”，結果是兩人都被判刑8年。但是，倘若他們都選擇“抵賴”，每人只被判刑1年。，(抵賴、抵賴)是最優的，因為偏離這個行動選擇組合的任何其他行動選擇組合都至少會使一個人的境況變差。不難看出，“坦白”是任一犯罪嫌疑人的占優戰略，而(坦白，坦白)是一個占優戰略均衡。沒有人會主動改變自己的策略以便使自己獲得更大利益。“囚徒的兩難選擇”有著廣泛而深刻的意義。個人理性與集體理性的沖突，各人追求利己行為而導致的最終結局是一個“納什均衡”，也是對所有人都不利的結局。他們兩人都是在坦白與抵賴策略上首先想到自己，這樣他們必然要服長的刑期。只有當他們都首先替對方著想時，或者相互合謀(串供)時，才可以得到最短時間的監禁的結果。因此，從“納什均衡”中我們還可以悟出一條真理:合作是有利的“利己策略”。但它必須符合以下黃金律:按照你愿意別人對你的方式來對別人，但只有他們也按同樣方式行事才行。也就是中國人說的“己所不欲勿施于人”。但前提是人所不欲勿施于我。“納什均衡”證明了一個道理：非合作博弈的情況下困境無法解脫。四、 信息安全投資的經濟學分析隨著信息技術的飛速發展，每個組織所擁有和需要的信息越來越多。建立計算機信息系統能不僅能以快捷的方式管理信息，而且能提高工作效率。但由于惡意攻擊、操作失誤、意外事故等等原因使信息系統暴露在各種各樣的威脅之下。如果不對信息系統的安全進行保護，就可能使系統遭到破壞，進而使組織遭受財產或名譽損失。所以，構建安全的信息系統日益受到國家和組織機構的重視，信息安全方面的投資問題也成為研究的熱點。（一）信息安全投資現狀目前很多企業雖然對信息安全非常重視，根據大量的調查顯示，很多企業雖然在網絡安全設備方面持續投入，但發生安全事故的幾率并未因此顯著降低。這反映出企業安全策略規劃上的問題，還有很重要的一點，就是安全威脅在技術和形式上的變化。因此，企業需要在安全的管理戰略上重新思考。安全威脅的變化使得不少傳統的防護措施難以奏效。例如流行的混合型威脅，通過使用多種漏洞機制、有效負載和傳播方法，很可能避開企業花費高額資金部署的信息安全防線[3]。因此，除了更靈活的安全策略之外，還需要在企業防線中引入更多的檢測機制，包括可提高應用程序層可見性的檢測機制。而對于未知威脅，從技術上則要強調安全體系的“主動性”，一個對策在未明確了解威脅類型的情況下要有阻止威脅的能力。（二）信息安全問題的特點。某種信息安全水平在某種特定的情況下被認為是安全的，但在另外的情況下就不一定仍舊認為是安全。例如對于政府來說某種信息安全水平已經足夠了，但對于金融證券行業來說，這種信息安全水平是危險的。因此，信息安全的需求是和經濟發展或企業應用的新階段直接相關的，并且具有較大的需求彈性。但對于信息安全問題而言，存在著“網絡結點越多網絡越脆弱”的規律。多一個鏈接就多一分被黑客和病毒攻擊的危險。因此，信息化水平的提高、互聯網的發展，是直接與信息安全的需求相關。我們也可以說“信息網絡結點越多信息安全需求越大”。在信息系統的生命周期中，信息安全事故雖然可以避免，但是難于完全或者絕對避免。不能因為沒有發生過信息安全事故，就認為信息系統是絕對安全的。除非是處于“信息孤島”上，絕對不與外界的信息進行交流和溝通，而現在社會中幾乎不存在這樣的“信息孤島”。就像火災隱患一樣，即使從沒有發生過火災的地方，也不能說是絕對安全。因此，信息流越多的地方，越是存在安全問題[4]。（三）傳統信息安全投資分析中存在的問題傳統的觀點認為經濟學模型并不適用于信息安全領域。因此，信息安全的技術層面(如加密技術、帶寬、沖突檢測系統)已經成為研究的主題，而信息安全的經濟學層面卻很少有研究涉及，從而導致企業管理人員在進行信息安全投資決策時很少使用經濟學方法。一方面為了保證信息安全，決策者常常會不惜重金花在購買防火墻、防病毒軟件等相關的軟硬件設施上。這一切措施旨在保護信息系統的數據安全。另一方面在很多企業中，信息安全投資仍是不足的，很多管理者認為信息安全投資是沒有效益的。人們多會考慮到在信息安全方面投資過多、花費太大會導致資金和資源的浪費，至于信息安全破壞對企業聲譽造成負面影響所帶來的間接成本則更很少涉及。企業的信息安全管理人員在爭取信息安全預算時有時會用到投資回報率，但只是粗略地整體地估算，還沒有精確具體到一個防火墻的投資回報率是多少的程度。同樣地，信息安全管理人員也很少在對信息安全基礎設施進行投資時，使用凈現值或者內部報酬率等資本預算技術[5]。因此，在企業內部爭取預算時，信息安全管理人員往往處于劣勢。這種現象是非常令人遺憾的，因為經濟學是使信息安全的技術層面在運行良好的經濟中發揮作用的驅動力。（四）信息安全的成本效益分析信息安全的成本一般為:從系統生命周期看信息安全的成本:獲取成本和運行成本。從安全防護手段看信息安全的成本:技術成本和管理成本。信息安全的價值效益:減少信息安全事故的經濟損失。信息安全的非價值效益:增加聲譽、提升品牌價值。我們試著建立設備買進前后期的成本(當信息安全事件存在)，并分析何種條件下花費是有利可圖。假設未購買設備時，信息安全事件可能發生機率為P0，改善前成本為A。設備購買后，信息安全事件發生機率變