seguridad

La economía de la información de seguridad *
Ross Anderson y Tyler Moore
Universidad de Cambridge, Laboratorio de ordenadores
15 JJ Thomson Avenue, Cambridge CB3 OFD, Reino Unido
nombre.apellido @ cl.cam.ac.uk
Abstracto
La economía de la seguridad de la información se ha convertido recientemente en una disciplina próspero y de rápido movimiento. Como los sistemas distribuidos semontan en máquinas pertenecientes a los directores con intereses divergentes, encontramos que los incentivos se están convirtiendo en tan importantes como el diseño técnico para lograr la fiabilidad. El nuevo campo ofrece una valiosa información no sólo en los temas de "seguridad" (como insectos, spam, phishing y ley estrategia cum-plimiento), pero en áreas más generales, tales como el diseño desistemas peer-to-peer, el equilibrio óptimo de esfuerzo de programadores y probadores, por qué la confidencialidad queda erosionado, y las políticas de gestión de derechos digitales.
Introducción
En los últimos 6 años, las personas se han dado cuenta que el fracaso se debe a la seguridad por lo menos tan a menudo por los malos incentivos como por el mal diseño. Los sistemas son particularmentepropensos al fracaso cuando la persona vigilando que no es la persona que sufre cuando fallan. El creciente uso de mecanismos de seguridad para permitir a un usuario del sistema para ejercer poder sobre otro usuario, en lugar de simplemente excluir a las personas que no deberían estar los usuarios en absoluto, presenta muchas cuestiones estratégicas y de política. Las herramientas y los conceptos dela teoría de juegos y la teoría microeconómica se están convirtiendo en tan importantes como las matemáticas de la criptografía para el ingeniero de seguridad.
Se revisan los resultados recientes y los retos de la investigación en directo en la economía de la seguridad de la información. A medida que la disciplina es todavía joven, nuestro objetivo en esta revisión es presentar variasaplicaciones prometedoras de las teorías económicas y las ideas a la práctica seguridad de la información
* Esta opinión fue publicado originalmente en Ciencia 314 (5799), pp.610-613, 27 de octubre de 2006 ( http://dx.doi.org/10.1126/science.1130992 ).
1
problemas en lugar de enumerar los muchos resultados establecidos. En primer lugar, consideramos desalineada incentivos en el diseño e implementaciónde sistemas informáticos. A continuación, se estudia el impacto de los factores externos: la inseguridad de la red es algo así como la contaminación del aire o la congestión del tráfico, en el que las personas que se conectan máquinas inseguras a Internet no asumen las consecuencias de sus acciones.
La dificultad en la medición de los riesgos de seguridad de información presenta otro desafío:Estos riesgos no se pueden gestionar mejor hasta se pueden medir mejor. Software inseguro domina el mercado por la sencilla razón de que la mayoría de los usuarios no pueden distinguirlo de software seguro, por lo que los desarrolladores no son compensados ​​por costosos esfuerzos para fortalecer su código. Sin embargo, los mercados para las vulnerabilidades pueden ser utilizados para cuantificar laseguridad del software, premiando así las buenas prácticas de programación y castigar a los malos. Asegurar contra los ataques también podría proporcionar métricas mediante la construcción de un conjunto de datos para la valoración de riesgos. Sin embargo, las correlaciones locales y globales expuestas por diferentes tipos de ataque determinan en gran medida qué tipo de mercados de seguros sonfactibles. Mecanismos de seguridad de la información o fallas pueden crear, destruir o distorsionar otros mercados; (DRM) de la música en línea y los mercados de productos básicos de derechos digitales de software proporciona un ejemplo típico.
Los factores económicos también explican muchos desafíos a la privacidad personal. Discriminatorio pric-ingwhich es económicamente eficiente, pero al...