计算机安全经济学.pptVIP

9.3.2决策制定的模型(续)设计议题当提及风险的可能性和花费时，研究者发现：(1)当花费很小时，人们关注风险。(2)当风险很小时，人们关注花费。许多计算机安全风险都只有一个非常小的发生概率，但对花费、日程安排、不方便性甚至人类生活都有巨大的影响。一个问题的表达方式会造成人们选择上的巨大差异。信息的交流会导致表达偏爱的多样性。基于计算机安全经济学模型的决策支持系统，能够用这种关于表达和风险感知的行为科学信息来表达风险，使决策制定者做出最好的选择。第31页，共50页，星期日，2025年，2月5日9.3.2决策制定的模型(续)群体行为用行为科学研究经济行为时，他们会质疑只有理性的选择(在很多计算机安全的经济学模型中被假设)是否足以建模。这些研究显示的不仅是人们做出的不理智的选择，还包括用不同但类似的方式提出相同的问题，导致人们做出重大的不同选择。这些研究结果，便于更好地理解人类如何使用启发性方法来解决问题和做出决策。决策的制定者不是一个人，而是一个团队、组织或商业部门。大量研究表明在决策制定方面，团队与个人存在重大区别。群体的身份导致了团队的判断。第32页，共50页，星期日，2025年，2月5日9.3.2决策制定的模型(续)群体行为每个团队的成员都认为其他人也包括自己，这种意识会影响做出的选择。通过一个或多个给定的行为所得到的尊重，是与环境相关的，它的价值依赖该行为在相似的环境中如何与别人的行为相比较。第33页，共50页，星期日，2025年，2月5日9.3.2决策制定的模型(续)行话也与规范期待有关。共享的含义、特殊的术语和团队讨论中辅助的假设，能导致团体成员间的相互熟悉和信任。行话能否帮助或损害决策的制定，取决于如何表达一个问题。最有优势的参与者首先发言并成为台上的主角，而团队的其他成员由于得不到上台机会而“远离了”团队的想法——一种称为生产线阻塞的现象。群体行为影响客户、同事甚至竞争者。这些人中的每一个都会影响决策的制定者，就像消费者在判断一种商品或一项服务价值时，可能依赖于其他使用者。第34页，共50页，星期日，2025年，2月5日9.3.2决策制定的模型(续)可信度和信任人们之间意外相遇的次数和性质也会影响一个决策。如果相遇次数很少，那么每次相遇就会带来“显著的影响”。第35页，共50页，星期日，2025年，2月5日第1页，共50页，星期日，2025年，2月5日本章要点安全方面的经济学案例测定和量化经济学价值计算机安全的经济学建模第2页，共50页，星期日，2025年，2月5日这一章，我们将关注涉及计算机安全中稀有经济资源分配方面的决策。也就是说，作为一个从业者，基于投资的需求、开支以及与其它投资(也许与安全无关)的平衡等诸多方面的考虑，必须决定对哪些类型的安全控制进行投资。我们将从一个商业案例开始，描述一个用于表示关于“为什么我们认为一个特别的安全投资是必要的”的信息框架。接着，为了给安全投资一个有说服力的支持，我们将概述对安全专家有帮助的数据收集种类。一旦有了好的数据，就能建模并做出预测。我们还将研究对计算机安全投资影响进行建模的许多方式。第3页，共50页，星期日，2025年，2月5日9.1商业案例公司怎样决定在计算机安全上的投资金额和投资方式？典型的方法是，使用一些基准值，也就是参考其他相似的公司。这种方法只是对开支的合适水平方面的决策有帮助。然后，应制定关于特定开支的细节决策，如需要哪些能力，哪些产品应该被购买和支持，哪些培训是有帮助的，等等。这些投资决策并不是凭空决定的，因为计算机安全资源的要求通常不得不与其他要求竞争，最终决策的制定是基于哪些要求对商业经营最有利。一个给定开支的商业案例是一个方案，证明资源使用的正当性。包括以下部分：第4页，共50页，星期日，2025年，2月5日9.1商业案例(续)(1)问题或开支需求的描述。(2)可能的解决方法列表。(3)解决问题的限制。(4)潜在的假设列表。(5)分析每一个选择，包括风险、花费和收益。(6)投资建议对公司有利的一个理由总结。第5页，共50页，星期日，2025年，2月5日9.1商业案例(续)关于技术投资，任何对现有或建议的技术投资的评估，应一次用多种形式汇报以构成一个“平衡的记分牌”：(1)从客户的角度，提出诸如顾客满意度的问题。(2)从运转角度，考察一个公司的核心竞争力。(3)从经济角度，考虑诸如投资回报或分享价格的措施。(4)从改进角度，评估投资怎样影响市场领导