불완전 정보 하의 정보보호 투자 모델 및 투자 수준 (Information Security Investment Model and Level in Incomplete Information)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 27권 / 4호 / 855 ~ 861페이지
· 저자명 : 이용필

초록

Gordon과 Loeb[1]은 기업의 정보보호 투자 의사결정은 정보보호 투자를 통한 한계편익(MB)과 정보보호 투자의한계비용(MC)이 일치하는 곳에서 최적의 투자수준이 결정된다고 한다. 그러나, 정보보호 사고를 당하고 있는 많은 기업의 경우, 정보보호 사고를 당하고 있다는 것을 인지하지 못하고 유출되는 피해가 얼마인지 측정하지 못하고 있다. 본연구에서는 불완전한 정보 상황에서 정보보호 투자 의사결정을 수행하는 모델을 Gordon과 Loeb[1]의 모델을 수정하여 제시하고, 투자수준의 차이를 비교하였다. 불완전정보 하에서 정보보호 투자를 통한 기대수익은 실제 발생하는 정보보호 사고에 비해 낮게 인식되는 경향을 띄게 되고, 정보보호 투자도 적게 되었다. 이는 정부와 같은 제3의 기관이 정보보호 사고발생률, 피해액 규모 등 정확한 정보를 알려주면 기업 스스로 정보보호 투자를 확대 할 수 있음을 보여준다.

영어초록

Gordon & Loeb[1] suggested that the optimal level of investment decision of an enterprise is the point that the marginal benefit(MB) of information security investment is equal to the marginal cost(MC). However, many companies suffering from information security incidents are not aware of the fact that they are experiencing information security accidents and can not measure how much they are affected. In this paper, I propose a model of information security investment decision making under the incomplete information situation by modifying the Gordon & Loeb[1] model and compare the differences in investment level.
Under the incomplete information situation the expected return from the information security investment tends to be lower than that of actual information security investment, and the level of investment is also less. This shows that if a third party such as the government gives accurate information such as the rate of incidents of information security accidents and the amount of damages, companies can expand their investment in information security.

참고자료

· 없음