고든-롭 모형

Gordon–Loeb model
수익률이 점차 낮아지는 기업 컴퓨터 보안에 대한 이상적인 투자 수준

Gordon-Loeb 모델은 정보 보안에 대한 최적의 투자 수준을 분석하는 수학적 경제 모델입니다.

기업 데이터를 보호하기 위한 투자는 다른 투자와 달리 일반적으로 수익을 창출하지 못하는 비용을 수반합니다.그러나 추가 비용을 방지하는 데 도움이 됩니다.따라서 특정 데이터 세트를 보호하는 데 드는 비용을 해당 데이터가 도난, 분실, 손상 또는 손상된 경우 발생할 수 있는 손실과 비교하는 것이 중요합니다.이 모델의 초안을 작성하려면 회사가 다음 세 가지 매개변수에 대한 지식을 보유하고 있어야 합니다.

  1. 데이터의 가치
  2. 데이터가 얼마나 위험에 처해 있는지,
  3. 데이터에 대한 공격이 성공할 확률 또는 취약성입니다.

이 세 가지 매개변수를 함께 곱하면 보안 [1]투자 없이 중앙의 금전 손실을 얻을 수 있습니다.

이 모델을 통해 기업이 정보 보호에 지출하는 비용은 대부분의 경우 예상되는 손실(예를 들어 보안 위반 후 손실의 예상 가치)의 극히 일부에 불과해야 한다는 것을 알 수 있습니다.구체적으로 이 모델은 예측 손실의 37%를 초과하는 금액으로 정보학 보안(사이버 보안 또는 컴퓨터 보안 관련 활동 포함)에 투자하는 것이 일반적으로 불편함을 보여준다.또한 Gordon-Loeb 모델은 특정 수준의 잠재적 손실의 경우 정보 집합을 보호하기 위해 투자해야 하는 자원의 양이 항상 해당 집합의 취약성의 증가에 따라 증가하는 것은 아니라는 것을 보여준다.따라서 기업은 중간 수준의 취약성을 가진 데이터 세트의 보안을 강화하기 위한 사이버/정보 보안 활동에 투자함으로써 더 큰 경제적 수익을 누릴 수 있습니다.즉, 기업의 데이터를 보호하기 위한 투자는 증분 수익 감소와 함께 취약성을 감소시킵니다.

예:

추정 데이터 값이 1,000,000유로이고 공격 확률이 15%이고 공격이 성공할 확률이 80%라고 가정합니다.

이 경우, 잠재적 손실은 €1,000,000 × 0.15 × 0.8 = €120,000으로 계산됩니다.

Gordon과 Loeb에 따르면 보안에 대한 회사의 투자는 €120,000 x 0.37 = €44,000을 초과해서는 안 됩니다.

고든-롭 모델은 로렌스 A에 의해 처음 출판되었다. 고든과 마틴 P. Loeb은 2002년 ACM Transactions on Information and System Security(정보 및 시스템 보안에 관한 트랜잭션)에서 "정보 보안 [2]투자의 경제"라는 제목의 논문을 2004년 "정보 [3]보안의 경제"라는 책에 전재했습니다.고든과 롭은 둘 다 메릴랜드 대학의 로버트 H. 스미스 경영대학원 교수입니다.

Gordon-Loeb 모델은 사이버 보안의 경제성에 대해 가장 잘 알려진 분석 모델 중 하나입니다.이 모델은 학술 [4][5][6][7][8][9][10][11][12]및 의사 문헌에서 널리 언급되어 왔다.또한 모델은 여러 가지 다른 환경에서 경험적으로 테스트되었습니다.수학자 마크[13] 레라지와 율리 바리쉬니코프의[14] 연구는 고든-뢰브 모델의 결과를 일반화했다.

고든-롭 모델은 월스트리트 저널과[15] 파이낸셜 [16]타임즈와 같은 대중 매체에서 다루어져 왔다.

레퍼런스

  1. ^ D'Acquisto, Giuseppe; Naldi, Maurizio (2017). Big Data e Privacy by design [Big Data and Privacy by Design] (in Italian). Giappichelli. ISBN 978-88-921-6264-8.
  2. ^ Gordon, Lawrence; Loeb, Martin (November 2002). "The Economics of Information Security Investment". ACM Transactions on Information and System Security. 5 (4): 438–457. doi:10.1145/581271.581274. S2CID 1500788.
  3. ^ Camp, L. Jean; Lewis, Stephen, eds. (2004). Economics of Information Security. Boston: Kluwer Academic Publishers. ISBN 978-1-4020-8089-0.
  4. ^ Matsuura, Kanta (23 April 2008). "Productivity Space of Information Security in an Extension of the Gordon-Loeb's Investment Model" (PDF). Retrieved 30 October 2014.
  5. ^ Willemson, Jan (2006). "On the Gordon & Loeb Model for Information Security Investment". CiteSeerX 10.1.1.60.9931.
  6. ^ Willemson, Jan (2010). "Extending the Gordon and Loeb Model for Information Security Investment". Extending the Gordon-Loeb Model for Information Security Investment. ieeexplore.ieee.org. pp. 258–261. doi:10.1109/ARES.2010.37. ISBN 978-1-4244-5879-0. S2CID 11526162.
  7. ^ Johnson, E. (2009). Managing Information Risk and the Economics of Security. Springer-Verlag. p. 99. ISBN 9780387097626. Retrieved 30 October 2014.
  8. ^ "The Gordon-Loeb Investment Model Generalized: Time Dependent Multiple Threats and Breach Losses over an Investment Period". BibSonomy. Archived from the original on 17 May 2014. Retrieved 30 October 2014.
  9. ^ Su, Xiaomeng (15 June 2006). "An Overview of Economic Approaches to Information Security Management" (PDF). Retrieved 30 October 2014.
  10. ^ Böhme, Rainer (29 August 2010). "Security Metrics and Security Investment Models" (PDF). International Computer Science Institute, Berkeley, California. Archived from the original (PDF) on 17 May 2014. Retrieved 30 October 2014.
  11. ^ Ye, Ruyi (2014). "An economic model of investment in information security". repository.ust.hk. HKUST Institutional Repository. Retrieved 30 October 2014.
  12. ^ Kuramitsu, Kimio. 最適投資モデルに基づくセキュアシステム設計と事例研究 [Secure System Design Based on Optimal Investment Model and Case Study]. ci.nii.ac.jp (in Japanese). CiNii. ISSN 0913-5685. Retrieved 30 October 2014.
  13. ^ Lelarge, Marc (December 2012). "Coordination in Network Security Games: A Monotone Comparative Statics Approach". IEEE Journal on Selected Areas in Communications. 30 (11): 2210–2219. arXiv:1208.3994. Bibcode:2012arXiv1208.3994L. doi:10.1109/jsac.2012.121213. S2CID 672650. Archived from the original on 14 May 2014. Retrieved 13 May 2014.
  14. ^ Baryshnikov, Yuliy (24 February 2012). "IT Security Investment and Gordon-Loeb's 1/e Rule" (PDF). Retrieved 30 October 2014.
  15. ^ Gordon, Lawrence; Loeb, Martin (26 September 2011). "You May Be Fighting the Wrong Security Battles". The Wall Street Journal. Retrieved 9 May 2014.
  16. ^ Palin, Adam (30 May 2013). "Maryland professors weigh up cyber risks". Financial Times. Retrieved 9 May 2014.