基于Gordon-Loeb模型的信息安全投资博弈研究

　　摘要：为了研究信息安全投资外部性的影响，将Gordon-Loeb模型扩展到多组织博弈环境下，分别得出在正负外部性下，面对不同类型的攻击时，最优信息安全投资与脆弱性、潜在损失和投资效率的关系，并且比较了与社会最优条件下最优信息安全投资的差别。结果表明，正外部性条件下的信息安全投资变化规律与单一组织的情况相比存在一定相似之处，但负外部性下的信息安全投资改变较大，总体更加谨慎，并且攻击类型对于信息安全投资有着重要影响。

　　关键词：信息安全投资；Gordon-Loeb模型；外部性；攻击类型

　　作者：王秦，朱建明（中央财经大学信息学院，北京100081）

　　1引言

　　网络时代计算机系统的互联方便了信息的传播，但也使信息安全漏洞更加难以防范。业务上相互有来往的组织，特别是关系密切的组织往往会建立便捷的沟通渠道，甚至在这些渠道上没有进行信息加密等防护手段。攻击者可以通过被劫持的主机向与其相连的主机发起攻击，也能轻易地从安全性较高的攻击目标转移到安全性较低的个体上。信息安全投资决定了组织的安全水平，在网络互连的情况下，组织的安全水平会互相影响，因此，信息安全投资具有显著的外部性，进行投资时必须考虑主体间相互联系的特点。另一方面，不同类型的攻击，如拒绝服务攻击、病毒、木马等发生概率和产生的损失差别很大，进行信息安全投资必须考虑攻击的特点。

　　由于传统的技术手段难以准确适用于信息安全投资的分析[1]，Gordon等[2]于2002年率先提出了使用经济学方法分析最优信息安全投资额的Gordon-Loeb模型。Gordon-Loeb模型使用收益最大化原理分析了最优信息安全投资量及其特点，通过对2种典型的漏洞概率函数的分析，推测最优信息安全量少于攻击带来的预期损失的width=9.75，height=27.75（width=9.75，height=27.75定律），并不一定随着系统脆弱性的增大而提高。由于Gordon-Loeb模型研究的是单一组织、单一威胁的情形，形式较为简单，然后有许多研究试图对这一经典模型进行扩展。陈天平等[3]研究了如何结合效用理论制定信息安全投资方案。Gordon等[4]加入了对外部性的考量。Huang等[5]分析了在面对多个外部实体同时攻击时的最优信息安全投资量，在文献[6]中结合效用理论分析风险厌恶决策者的信息安全投资行为，并讨论最优信息安全额与脆弱性、风险厌恶程度等变量的关系。Huang等[7]基于Gordon-Loeb模型分析在医疗信息交换中的最优信息安全投资量，并考虑网络特点的影响。

　　然而，以上研究或是针对单一组织的研究，或虽然研究的是多个组织互相影响的情况，但没有使用博弈论方法，无法分析组织间复杂的策略互动。在现有的基于Gordon-Loeb模型的博弈研究中，Gordon等[8]基于Gordon-Loeb模型分析了信息共享的效应，假设其他组织的信息安全投资可以对本组织的投资起到一定的补充作用，主要从社会福利的角度进行分析，并没有深入探讨外部性的影响。巩国权等[9]研究了双寡头垄断竞争条件下信息安全投资如何影响市场需求和企业利润，但并没有考虑最优信息安全投资与脆弱性、潜在损失等关键变量的关系。Lelarge[10]基于Gordon-Loeb模型分析网络用户的动机协调问题，研究重点在于如何获得信息安全投资的单调性条件以及如何确保各主体达到更高的安全水平。Wu等[11]基于Gordon-Loeb模型分析了在考虑攻击类型和网络脆弱性时的信息安全投资博弈模型，然而并没有考虑到信息安全投资的负外部性，也没有考虑损失的可叠加程度以及最优投资与投资效率的关系。

　　对于信息安全投资的研究除了主流的与Gordon-Loeb模型相关的文献外，还包括少数单独基于博弈论[12]、效用理论[13]和财务分析[14]等方法的研究。然而，以上文献的共同缺点是缺乏在外部性环境中对于最优信息安全投资与安全属性关系的研究。本文将Gordon-Loeb模型移植到相互影响的组织间的信息安全投资问题上，使用博弈论刻画投资的外部性，考虑不同的攻击类型。本文重点回答了在组织相互依赖的条件下最优信息安全投资额如何随潜在损失、脆弱性和投资效率等参数变化，旨在得出不同的外部性对信息安全投资规律的影响，并加深关于攻击类型对信息安全投资影响的理解。

　　2Gordon-Loeb模型及信息安全投资的外部性

　　2.1Gordon-Loeb模型及其假设

　　Gordon-Loeb模型研究了风险中立组织如何得出用于保护某一信息集的最优信息安全投资额，以及脆弱性、潜在损失与最优信息安全投资额的关系[2]。Gordon-Loeb模型指出，最优信息安全投资随潜在损失的增大而提高，并且在潜在损失给定的情况下，组织不一定必须将投资集中于高脆弱性的信息集上，因为此时保护该信息集的代价过大，组织应该重点保护中等脆弱性的信息集，并且，根据文中给出的2种漏洞概率函数，最优信息安全投资额远远小于没有信息安全投资时的预期损失。

　　Gordon-Loeb模型考虑的是单一阶段、单一事件的信息安全投资模型。需要被保护的信息集由3个参数，即为t、v和L。其中，t为组织受到的外在威胁（width=36，height=12.75），即受到攻击的概率，v为该信息集的脆弱性（width=38.25，height=12.75），L表示以金钱计量的被攻破后遭受的损失（width=26.25，height=12.75），v反映了信息集的固有属性，不受信息安全投资影响，只能通过增加或减少访问入口等措施改变。v值越大表示信息集的安全程度越低。假设w表示以金钱计量的信息安全投资额，包括购置与信息安全相关的软硬件以及人员培训等费用。信息集被攻破的概率，即安全漏洞概率函数S为t、v和w的函数。安全漏洞概率函数S(t，v，w)必须满足

　　width=57.75，height=17.25(1)

　　width=57.75，height=17.25(2)

　　width=66.75，height=30(3)

　　width=71.25，height=30(4)

　　width=77.25，height=20.25(5)

　　式(1)说明当v=0时，信息集将处于绝对安全的状态，此时无论外在威胁和信息安全投资为何值，攻击都必将失败。式(2)说明当信息安全投资w=0时，漏洞风险应当等于外在威胁与脆弱性的乘积。式(3)和式(4)说明漏洞风险随信息安全投资以递减的速度下降，即信息安全投资必须符合边际报酬递减规律。式(5)说明不断增长的信息安全投资最终能够将安全风险降至接近于0。

　　不同的漏洞概率函数代表不同的攻击类型。Gordon-Loeb模型中使用的漏洞概率函数主要包含2种类型，分别为目标攻击和机会攻击。

　　width=90.75，height=29.25(6)

　　width=105，height=18(7)

　　其中，k表示投资效率，衡量信息安全投资能在何种程度上降低安全风险，有width=24.75，height=12.75。式(6)代表目标攻击，即攻击只针对少量对象，但可能造成较大伤害，例如，针对特定用户的信息盗用。式(7)代表机会攻击，即攻击并不针对特定个体，而以大规模方式展开，例如，通过计算机病毒感染发起的攻击。2种漏洞概率函数均与外在威胁呈线性相关关系，表示受到攻击的概率在组织可控范围之外。图1和图2分别描述了当其他参数相等时，在目标攻击和机会攻击下漏洞概率函数随脆弱性和信息安全投资的变化情况。

　　width=225.75，height=150

　　图1漏洞风险与脆弱性的关系

　　width=211.5，height=151.5

　　图2漏洞风险与信息安全投资额的关系

　　从图1可以看出，对于目标攻击，漏洞风险随脆弱性线性增长；对于机会攻击，当脆弱性较小时，漏洞风险随脆弱性增长较慢，而高脆弱性对漏洞概率函数的影响很大，这也反映出高脆弱性信息集很难抵御机会攻击的事实。从图2可以看出，在外在威胁以及脆弱性相等的情况下，等量的信息安全投资对于机会攻击的抵御效果更好，显示目标攻击相较机会攻击更难防范。

　　2.2信息安全投资的外部性

　　在网络环境下，组织的信息安全投资会不可避免地相互影响，产生溢出效应。信息安全投资的外部性可以分为正外部性和负外部性。

　　当信息安全投资的外部性表现为正外部性时，组织可以从其他组织的信息安全投资中获得好处。一方信息安全投资的增加，不仅会使自身安全程度提高，还会使与之直接或间接相连的组织安全程度增加。假设包含2个组织的情况，此时，组织存在2种遭受信息安全攻击的途径，即直接入侵和间接入侵。直接入侵是指由于组织自身的脆弱性招致的入侵，间接入侵是指攻击者通过攻入与该组织相连的其他组织进而入侵该组织。假设组织1和组织2之间相互感染的概率为q。q衡量了组织间相互联系的紧密程度，有width=39，height=15。设a表示直接入侵和间接入侵可以相互叠加的程度，当width=24.75，height=12.75时，入侵可以叠加，即组织可以同时遭受2种入侵，当width=23.25，height=12.75时，入侵不可叠加。组织1的信息集被攻破的概率为

　　width=176.25，height=15.75(8)

　　其中，width=12.75，height=15.75和width=14.25，height=15.75分别是组织1和组织2的信息安全投资，width=12，height=15.75和width=12.75，height=15.75分别是组织1和组织2的安全漏洞概率函数。width=30，height=15.75为组织1被直接入侵的概率，width=87.75，height=15.75为组织1被间接入侵的概率。由式(8)可知width=66，height=30，width=66，height=30，即组织2的信息安全投资有助于降低组织1的安全漏洞概率。组织2的信息集被攻破的概率表达式可以以此类推。

　　在多数现实情况中，信息安全投资外部性的表现以正外部性为主。然而，有时信息安全投资会呈现负外部性，此时，攻击者无法通过组织间的联系实现间接入侵，并且当某一组织的信息安全投资增加时，其安全程度的提高会促使攻击者将目标转移到安全程度更低的组织上，因此，更多的信息安全投资反而对其他组织有害。假设在包含2个组织的情况下，当信息安全投资出现负外部性时，组织1的信息集被攻破的概率为

　　width=105，height=17.25(9)

　　由式(9)可知width=66，height=30，width=66，height=30，即组织2的信息安全投资会增大组织1的信息集被攻破的概率。当width=33.75，height=15.75时，组织1的信息安全投资不受影响，相当于不存在外部性的情况。当width=33.75，height=15.75时，组织2的信息安全投资超过了组织1，会吸引更多的攻击者转向组织1，相当于削弱了组织1的信息安全投资。相反，当width=33.75，height=15.75时，更多的攻击者会转向组织2，相当于增加了组织1的信息安全投资。

　　3基于Gordon-Loeb模型的博弈模型构建

　　假设博弈在2个同质的参与方之间展开，即组织1和组织2面临的外在威胁t、脆弱性v、预期损失L和投资效率k相等。博弈同时在进行。组织1和组织2在考虑对方信息安全投资的情况下，选择信息安全投资额以最大化其净收益。2个组织之间的博弈关系如图3所示。

　　width=219.75，height=93

　　图3组织信息安全投资博弈关系

　　组织1的净收益为信息安全投资的预期收益减去成本，即

　　width=146.25，height=15.75(10)

　　其中，tv为不进行信息安全投资时的安全漏洞概率，width=75，height=15.75为信息安全投资带来的预期损失的减少，即信息安全投资的预期收益，width=12.75，height=15.75可以看作组织的信息安全投资成本。

　　组织1的最优信息安全投资的一阶条件为

　　width=93.75，height=30(11)

　　width=65.25，height=30可以看作信息安全投资的单位收益，1可以看作信息安全投资的单位成本。组织进行信息安全投资的目标是使其单位收益与单位成本相等。

　　由式(11)可知，对于正外部性的情况，一阶条件为

　　width=152.25，height=17.25(12)

　　对于负外部性的情况，一阶条件为

　　width=167.25，height=17.25(13)

　　该一阶条件也是组织1对组织2的反应曲线。同理可得组织2对组织1的反应曲线。为了保证纳什均衡的存在，必须有

　　width=48.75，height=30(14)

　　在纳什均衡下，由于2个组织是同质的，根据对称性，必有

　　width=57，height=17.25(15)

　　信息安全投资规律要受外部性和攻击类型的制约。接着，分别讨论在正外部性和负外部性下对不同类型的攻击时，最优信息安全投资随潜在损失、脆弱性和投资效率的变化情况。

　　4正外部性下的最优信息安全投资

　　为了方便区分，使用width=15，height=18.75表示正外部性下的最优信息安全投资，使用width=14.25，height=17.25表示负外部性下的最优信息安全投资。根据式(6)、式(7)、式(12)和式(14)，在2个组织之间呈现正外部性的情况下，为保证纳什均衡的存在，面对目标攻击和机会攻击时分别必须满足

　　width=168.75，height=35.25(16)

　　width=141，height=36(17)

　　因此，可得

　　width=84.75，height=18.75(18)

　　width=66.75，height=18.75(19)

　　根据式(12)和式(15)，在2个组织之间呈现正外部性时，纳什均衡解width=15，height=18.75满足

　　width=153，height=18.75(20)

　　因此，对于目标攻击和机会攻击分别必须满足

　　width=164.25，height=36.75(21)

　　width=168，height=18.75(22)

　　由于width=15，height=18.75的具体形式难以求得，本文令width=207，height=36.75以及width=186.75，height=18.75，通过使用隐函数求导法则，即width=48.75，height=54.75，来确定最优信息安全投资与潜在损失、脆弱性以及投资效率的关系。

　　4.1正外部性下的最优信息安全投资与潜在损失

　　分别对式(21)和式(22)应用隐函数的求导法则，可得

　　width=144.75，height=35.25(23)

　　width=146.25，height=36(24)

　　根据式(18)和式(19)，有

　　width=39，height=30.75(25)

　　width=41.25，height=30.75(26)

　　因此，可得到以下定理。

　　定理1在相互博弈的2个组织之间呈现正外部性的情况下，面对目标攻击和机会攻击时最优信息安全投资与潜在损失呈正相关关系。

　　总体而言，无论面对目标攻击还是机会攻击，最优信息安全投资额必须随潜在损失的增大而增长，以控制安全漏洞发生的概率，平衡安全漏洞带来的预期损失，这一点与Gordon-Loeb模型的结论一致。此外，从式(23)和式(24)可以看出，当潜在损失趋近于正无穷时，width=24，height=30.75和width=26.25，height=30.75趋近于0。当相互联系的组织间表现出正外部性时，虽然其他组织的信息安全投资有助于降低本组织安全漏洞发生的总体概率，然而与单一组织的情况相比，组织不仅要承受直接入侵的损失，还要承受间接入侵的损失。当潜在损失无限增大时，组织向信息安全投入更多资源开始变得于事无补，需要逐渐停止新增信息安全投资。

　　4.2正外部性下的最优信息安全投资与脆弱性

　　同理，应用隐函数的求导法则可得

　　width=150，height=35.25(27)

　　width=227.25，height=36.75(28)

　　根据式(18)和式(19)，有width=72，height=18.75width=50.25，height=17.25，width=125.25，height=18.75。当v趋近于0时，width=134.25，height=18.75，width=35.25，height=18.75width=199.5，height=18.75；当v趋近于1时，width=156，height=21width=63，height=18.75，若width=20.25，height=17.25较小，则width=84.75，height=18.75width=51，height=17.25，否则，width=134.25，height=18.75。

　　因此，可得到以下定理。

　　定理2在相互博弈的2个组织之间呈现正外部性的情况下，当面对机会攻击时，最优信息安全投资随脆弱性的提高先增大后减小；当面对目标攻击时，若入侵的可叠加程度、感染概率以及外在威胁较小，则最优信息安全投资始终随脆弱性的提高而增大，反之，若入侵的可叠加程度、感染概率以及外在威胁较大，则最优信息安全投资随脆弱性的提高先增大后减小。

　　面对机会攻击和目标攻击时，最优信息安全投资与脆弱性关系的表现并不相同。机会攻击相比目标攻击，其攻击以大规模、随机化为特点，当信息集的脆弱性较低时，攻击较易被抵御，少量的信息安全投资即能起到很好的效果。然而，当脆弱性大于一定值时，机会攻击将变得很难被抵御。组织进行信息安全投资需要平衡考虑收益与成本。过大的脆弱性使新增的安全投资难以将安全漏洞概率降低到一定程度，反而会带来成本的提高，因此，组织将选择不再增加安全投资。目标攻击只针对某些对象，并且造成的伤害较大，若入侵的可叠加程度、感染概率以及外在威胁较小，组织必须随着脆弱性的升高持续增加信息安全投资。若入侵的可叠加程度、感染概率以及外在威胁较大，在高脆弱性下新增信息安全投资同样将变得不划算。

　　由此可见，在博弈环境下，组织在面对机会攻击和目标攻击时同样都会出现信息安全投资随脆弱性下降的情况。组织有必要对所处环境进行详细分析，准确判断攻击类型以及信息安全投资随脆弱性变化的临界点。当脆弱性较大时，组织应考虑将重点转移到如何降低被攻破后的损失上，并在后续工作中努力降低信息集的脆弱性。

　　4.3正外部性下的最优信息安全投资与投资效率

　　之前的研究均假设信息安全投资能够顺利展开，有效降低安全风险。然而由于客观因素的限制，现实中信息安全投资往往呈现出不同的投资效率。本节将研究投资效率对最优信息安全投资的影响。

　　分别对式(21)和式(22)应用隐函数的求导法则，可得

　　width=144.75，height=35.25(29)

　　width=207，height=36.75(30)

　　根据式(18)和式(19)，有

　　width=39，height=30.75

　　width=120.75，height=18.75(31)

　　当k趋近0时，width=126.75，height=21width=72，height=18.75，当k较大时，width=77.25，height=18.75width=60，height=18.75width=72，height=18.75。

　　因此，可得到以下定理。

　　定理3在相互博弈的2个组织之间呈现正外部性的情况下，当面对目标攻击时，最优信息安全投资随投资效率的提高而增大；当面对机会攻击时，最优信息安全投资随投资效率的提高先增大后减小。

　　当投资效率较小时，为了更好地抵御攻击，伴随着不断增长的投资效率，组织需要持续追加信息安全投资。当投资效率超过一定临界点，对于目标攻击，由于其更难被抵御的特点，组织仍需继续增加投资，而对于机会攻击，由于信息安全投资对其的防御效果更好，并且投资对安全风险的降低作用一直处于不断下降的趋势，因此，在高投资效率下组织将选择不再追加信息安全投资。

　　5负外部性下的最优信息安全投资

　　根据式(6)、式(7)、式(13)和式(14)，在2个组织之间呈现负外部性的情况下，为保证纳什均衡的存在，面对目标攻击和机会攻击时分别必须满足

　　width=156.75，height=65.25(32)

　　width=129.75，height=65.25(33)

　　因此，可得

　　width=78，height=17.25(34)

　　width=78.75，height=30.75(35)

　　根据式(13)和式(15)，在2个组织之间呈现负外部性时，纳什均衡解width=14.25，height=17.25满足

　　width=104.25，height=17.25(36)

　　因此，对于目标攻击和机会攻击分别必须满足

　　width=111.75，height=32.25(37)

　　width=138.75，height=18(38)

　　5.1负外部性下的最优信息安全投资与潜在损失

　　分别对式(37)和式(38)应用隐函数的求导法则，可得

　　width=108.75，height=33(39)

　　width=138，height=33(40)

　　根据式(34)和式(35)，有

　　width=39，height=30(41)

　　width=41.25，height=30(42)

　　因此，可得到以下定理。

　　定理4在相互博弈的2个组织之间呈现负外部性的情况下，面对目标攻击和机会攻击时最优信息安全投资与潜在损失呈负相关关系。

　　在负外部性条件下，如果组织信息安全投资不足，则会有更大的可能招致攻击，因此，组织有更大的压力进行信息安全投资。由纳什均衡条件式(13)可以看出，相比单一组织的情况，负外部性加大了信息安全投资效益（在同质组织的假定下，由width=36.75，height=17.25变为width=66.75，height=17.25）。而纳什均衡存在的条件式(34)和式(35)说明最优信息安全投资必须受脆弱性等变量的约束。当潜在损失不断升高时，由于信息安全投资已经较大，组织无法继续追加信息安全投资。因此，在负外部性条件下，组织应当着力优化其信息资产，减少潜在损失，因为高潜在损失下企业很难期望使用信息安全投资降低总体损失。

　　5.2负外部性下的最优信息安全投资与脆弱性

　　同理，应用隐函数的求导法则可得

　　width=108.75，height=33(43)

　　width=168，height=33(44)

　　根据式(34)和式(35)，有

　　width=39，height=30

　　width=128.25，height=17.25(45)

　　当width=23.25，height=12.75时，根据式(35)，有width=92.25，height=17.25width=39，height=17.25，当width=23.25，height=12.75时，在v较小时则可能出现width=93.75，height=17.25width=54.75，height=17.25。

　　因此，可得到以下定理。

　　定理5在相互博弈的2个组织之间呈现负外部性的情况下，当面对目标攻击时，最优信息安全投资随脆弱性的提高而减小；当面对机会攻击时，若信息安全投资效率较小，则最优信息安全投资随脆弱性的提高而增大，反之，若信息安全投资效率较大，则最优信息安全投资随脆弱性的提高先减小后增大。

　　在面对目标攻击时，由于其受高脆弱性的影响相比机会攻击更小，在信息安全投资已经较高并且存在约束的条件下，最优信息安全投资将随脆弱性的提高而减小。在面对机会攻击时，若信息安全投资效率较小，由于高脆弱性带来的严重影响，组织必须随脆弱性的提高而追加信息安全投资。从式(35)可以看出，若信息安全投资效率较大，则信息安全投资面临的约束也更紧，在低脆弱性的情况下，组织将随脆弱性的提高而降低信息安全投资，而在高脆弱性时仍需要不断追加信息安全投资以弥补损失。由此可见，在负外部性条件下组织比较重视对高脆弱性下机会攻击的抵御，并且必须做好对投资效率的衡量。

　　5.3负外部性下的最优信息安全投资与投资效率

　　分别对式(37)和式(38)应用隐函数的求导法则，可得

　　width=143.25，height=33(46)

　　width=143.25，height=33(47)

　　根据式(34)和式(35)，有

　　width=39，height=30(48)

　　width=41.25，height=30(49)

　　因此，可得到以下定理。

　　定理6在相互博弈的2个组织之间呈现负外部性的情况下，面对目标攻击和机会攻击时最优信息安全投资与投资效率呈负相关关系。

　　通过式(6)和式(7)可以看出漏洞概率函数对投资效率的导数为负，投资效率的增长本来对漏洞风险有降低的作用，并且高投资效率会带来更严格的投资约束。在负外部性条件下，由于较高的投资水平以及投资约束的存在，伴随投资效率的增长，组织不需再追加信息安全投资，而主要利用较高的投资效率达到一定的安全水平。

　　总体而言，相较正外部性的情况，组织在负外部性条件下虽然存在更大的激励，但信息安全投资伴随潜在损失、脆弱性和投资效率的增长变得更加谨慎。所以组织对于自己与其他组织关系的判断至关重要。从此再次看出信息安全投资是兼顾“科学”与“艺术”的问题，需要充分的经济学考量，难以通过纯粹的技术手段解决。

　　6社会最优下的最优信息安全投资

　　之前的内容主要研究的是博弈条件下基于个体理性得出的最优信息安全投资额。在社会最优情况下，全体福利达到最高，此时，个体的支付与博弈条件下往往不同。将社会最优下的最优信息安全投资与博弈条件下的情况做对比，有助于进一步认清外部性对信息安全投资和总体收益的影响特点。

　　在正外部性条件下，总体收益为

　　width=219.75，height=33(50)

　　通过分析其最优解可得

　　width=141.75，height=32.25(51)

　　由式(20)得，在正外部性下的最优信息安全投资额满足width=113.25，height=32.25。因此，可得width=39，height=18.75。由于在width=39，height=18.75处必有width=81.75，height=18.75，因此，在正外部性下的社会最优收益大于独立博弈时的总体收益。

　　同理，在负外部性条件下，总体收益为

　　width=146.25，height=35.25(52)

　　通过分析其最优解可得

　　width=59.25，height=27.75(53)

　　即在负外部性条件下，社会最优下信息安全投资的最优解与Gordon-Loeb模型一致。由式(36)可知，在负外部性下的最优信息安全投资额满足width=87.75，height=30.75。因此，可得width=38.25，height=17.25。同理，由于width=38.25，height=17.25，所以width=81，height=17.25，即在负外部性下的社会最优收益大于独立博弈时的总体收益。

　　综上，可得以下定理。

　　定理7相比独立博弈的情况，社会最优时的总体收益更大，并且在正外部性下的信息安全投资更大，在负外部性下的信息安全投资更小。

　　根据分析，正外部性与负外部性分别对信息安全投资有抑制和促进的作用，这种作用在独立博弈的情况下表现更明显，社会最优对这种偏低或偏高的投资额有一定的调节作用。

　　7结束语

　　本文通过分析信息安全投资存在的外部性，基于Gordon-Loeb模型建立了组织信息安全投资博弈模型，分别研究了正外部性和负外部性条件下对目标攻击和机会攻击时最优信息安全投资的变化情况。主要结论可以归纳如下。

　　1)在正外部性条件下，最优信息安全随潜在损失和脆弱性的变化情况与Gordon-Loeb模型存在相似之处，说明正外部性对组织信息安全投资的影响并不深入。组织在进行信息安全投资时，面对潜在损失、脆弱性和投资效率的增大，都至少在这些参数较小时出现信息安全投资的增长期。因此，组织在正外部性下的信息安全投资总体较为积极。

　　2)负外部性条件下最优信息安全投资的变化规律与正外部性时反差较大。除了在面对机会攻击并且脆弱性较高时，组织的信息安全投资表现较为消极。因此组织必须善于控制信息安全投资。

　　3)面对目标攻击和机会攻击时最优信息安全投资的变化情况与这2种攻击的特点相关程度很高，例如，由于高脆弱性下机会攻击更难被抵御，当脆弱性增大时，组织必须在外部性环境下根据攻击类型做出是否追加投资的选择。

　　4)社会最优的要求增大了总体收益，其对最优信息安全投资额的影响与外部性所具有的特点有关。

　　总之，客观条件对组织的信息安全投资提出了较高的要求。组织必须善于分析内外部环境，合理估计各种参数，才能正确地进行投资，否则可能产生适得其反的效果。另外，本文研究也有很多不足，例如，对攻击类型可以有更加细致的划分，攻击者可以被作为博弈参与方，并考虑多阶段的博弈交互，这些可以作为未来研究的改进方向。