熊強+仲偉俊+李治文+陳曉燕

收稿日期：2013-04-09

基金項目：國家自然科學基金項目（71071033）；教育部人文社會科學研究青年基金項目（11YJC630234）

作者簡介：熊 強（1979-），男，江蘇常州人，東南大學博士研究生，講師，研究方向為電子商務、信息安全管理；仲偉?。?962-），男，江蘇南通人，教授，研究方向為信息管理與信息系統、電子商務；李治文（1981-），男，山東海陽人，博士，研究方向為電子商務、網絡經濟學；陳曉燕（1982-），女，江蘇靖江人，博士研究生，研究方向為經濟信息管理、電子政務。

摘要：針對信息安全知識共享平臺缺乏效率的問題，運用演化博弈模型對企業(yè)群體參與信息安全知識共享平臺過程建模并求解分析，得出：共享群體中企業(yè)所采用的策略與安全知識共享的成本是密切相關的，當共享成本不斷增長，出現多種演化穩(wěn)定均衡；企業(yè)之間的關系將對演化穩(wěn)定均衡產生影響，在企業(yè)相互依賴時其更易采用知識共享策略，而當企業(yè)之間為競爭或獨立關系時其共享的意愿也較低；如果“搭便車”行為從對方知識共享中獲得的收益很大，則企業(yè)自身實施知識共享的積極性會大大降低。為了提升公共信息安全水平，政府組織可對共享行為予以補貼，以激勵企業(yè)實施信息安全知識共享。

關鍵詞：企業(yè)群體；信息安全；知識共享；演化博弈

中圖分類號：F270.7 文獻標識碼：A 文章編號：1001-8409（2014）03-0045-06

Analysis of Information Security Knowledge Sharing

among Enterprises Group Based on Evolutionary Game

XIONG Qiang1，2， ZHONG Wei-jun1， LI Zhi-wen2，CHEN Xiao-yan2

（1.School of Economic and Management， Southeast University， Nanjing 210096；

2. School of Management， Jiangsu University， Zhenjiang 212013）

Abstract： Concerning on the lack of efficiency for the information security knowledge sharing platform， this paper employs the evolutionary game theory to establish a security information sharing model about information security knowledge sharing between enterprises which take part in the sharing platform and concludes： the strategy that enterprises adopts is closely related to the cost of knowledge sharing， the increasing cost of sharing induces multiple evolutionary stable equilibriums； while the relationship among enterprises also affects the outcome of the equilibrium， the knowledge sharing strategy will be adopted by enterprises who are interdependent， whereas， the willingness of knowledge sharing is low for enterprises who are competing or dependent to each other. If the benefit of enterprises from “free-riding” behavior is great enough， the enthusiasm of them conducting the knowledge sharing will be dropped considerably. To improve the level of common information security， it will be helpful for the government to subsidize the sharing behavior and stimulate the incentive of security information sharing.

Key words： enterprises group； information security； knowledge sharing； evolutionary game

1 引言

隨著企業(yè)信息化的深入，企業(yè)在運用信息技術的過程中要充分考慮技術上的通用性和兼容性，保障企業(yè)內及企業(yè)間信息資源的交流，但由此也產生了安全負效應。如2002年“沖擊波”蠕蟲病毒在短短一周之內利用微軟RPC漏洞進行傳播，至少攻擊了全球80%的Windows用戶，計算機無法工作并反復重啟，大量企業(yè)用戶也未能幸免。2011年CSDN遭遇黑客攻擊，600萬用戶數據泄露，此次數據泄漏事件波及天涯、新浪、CSDN、人人網、百合網等10余家大型網站，成為有史以來最嚴重的一次網站泄密事件。這些事實表明信息技術的同質化及用戶的擴大化將導致信息安全的群體化，進一步加劇了企業(yè)信息安全所面臨的威脅。信息安全是有技術需求的管理，為了有效解決企業(yè)的信息安全問題，Gal-Or和Ghose指出企業(yè)固然需要在安全方面增加投入，合理搭配安全技術，但企業(yè)之間就信息安全知識的共享則是進一步提升安全投資收益率的重要途徑[1]，美國為此設立了信息技術共享和分析中心（IT-ISAC），其互聯網企業(yè)自建行業(yè)自律組織等都是在信息安全知識共享方面進行的探索。2009年，中國國家互聯網應急中心、國家信息技術安全研究中心與東軟、啟明星辰、綠盟等國內主要安全公司、軟件廠商以及相關互聯網企業(yè)共同建設了國家信息安全漏洞共享平臺，對于提升我國在安全漏洞方面的整體研究水平和應急處置能力，保護用戶網絡信息安全具有重要的積極意義。但由于企業(yè)擔心共享安全知識給企業(yè)競爭力帶來的負效應[2]以及大量“搭便車”企業(yè)的存在致使企業(yè)對參與信息安全知識共享平臺的積極性并不是太高，平臺難以充分發(fā)揮其效用。本文主要運用演化博弈理論來分析企業(yè)群體在參與平臺實施信息安全知識共享過程的演化機制以及各種相關因素對演化進程的影響，并依據研究結果提出提升平臺共享效率的路徑。

2 相關研究

有關信息安全的研究最早始于其經濟性的研究，Gordon和 Loeb（2002）通過對信息資產的脆弱性以及被入侵后的潛在損失進行研究后認為，在給定的潛在損失水平下，企業(yè)沒有必要將安全投入放在脆弱性最差的信息資產上，因為此類資產保護的成本較高，而對脆弱性中等的信息資產投資會取得更好的經濟回報，Gordon和Loeb進一步研究了影響信息安全投資效果的因素[3]。在研究投資經濟性的同時， Gordon 和Loeb通過建模分析了信息安全知識共享過程中信息安全知識泄露所帶來的潛在風險成本，指出在可控的風險范圍內共享信息安全知識可以大量減少各自安全投資，提升安全投資的效益[2]。而Gal-Or和Ghose則運用博弈論進一步分析了安全技術投資和信息共享之間的關系，發(fā)現當企業(yè)間產品的替代性越高時，信息安全知識共享越有價值，同時共享收益隨企業(yè)規(guī)模的增長而提高[1]。Liu、Ji等指出兩家企業(yè)所擁有的信息資產的屬性對企業(yè)在信息安全投資和進行知識共享決策的影響[4]。國內學者劉德海研究發(fā)現信息交流在群體性事件中有利于形成穩(wěn)定的認知均衡，提升社會福利[5]。Hausken則從信息安全的角度出發(fā)運用博弈論分析企業(yè)之間的信息安全知識共享對黑客攻擊行為的影響，以及信息安全知識共享中“搭便車”行為對社會福利將造成的負面影響[6]。

綜上所述，當前對企業(yè)間信息安全知識共享研究主要集中在兩家或少數具備強關聯企業(yè)間的共享，但共享平臺則是面對廣大弱關聯的企業(yè)群體，如何依托第三方平臺在企業(yè)群體間開展信息安全知識共享還缺乏相關理論研究。演化博弈理論整合了理性經濟學與演化生物學的思想，設定博弈參與方是有限理性的個體，分析學習速度較慢的優(yōu)先理性博弈方組成的大群體成員的隨機配對反復博弈[12]，而在參與信息安全知識共享的企業(yè)群體中各個企業(yè)的理性程度、對安全知識共享的認知程度不盡相同，符合演化博弈的設定要求，因此可將其運用到對共享過程的研究中來。

3 模型描述

參與信息安全知識共享平臺的企業(yè)群體中的個體互為供需關系，共享有關軟件漏洞、黑客信息、病毒等信息安全知識，整個博弈過程可以視為位置無差異的兩方對稱博弈，現假設企業(yè)i為供方，而企業(yè)j為需方，策略空間均為共享和不共享，企業(yè)若不實施信息安全知識共享，則各自享有其自身的安全投資初始收益（均設為E0）。

企業(yè)i、企業(yè)j在共享方面投入的努力分別為si、sj，其共享的成本系數分別為ci和cj，信息安全知識共享的成本除了包含技術、人力等成本因素外，還包含著安全知識外泄給企業(yè)帶來的風險成本。當企業(yè)通過共享獲得更多信息安全知識后其安全防御能力勢必得到一定程度的提升，同時借鑒R&D信息共享的研究成果，在多方實施信息共享的過程中存在信息規(guī)模外溢效應[7]，假定信息安全知識共享過程中的外溢系數為r，r≥1 ，溢出效應為（r-1），即當企業(yè)i、企業(yè)j均參與共享時，企業(yè)i能從平臺中獲得rsj的收益。

在信息安全知識共享群體中企業(yè)之間存在各種不同的關系，如由于軟件系統的相似性、網絡的鏈接、業(yè)務往來以及企業(yè)信息資產的互補性等因素致使企業(yè)之間信息安全存在依賴性，而若信息資產可相互替代則使得企業(yè)之間信息安全具有競爭性，若企業(yè)間沒有任何關聯則相互完全獨立[8]。設b表示兩家企業(yè)在抵御外部入侵時的企業(yè)關系，當b值為正時，企業(yè)之間期望合作共同抵御黑客，例如處于業(yè)務上下游的企業(yè)間存在信息系統相關聯，當黑客攻擊一家企業(yè)以后，有可能對其他企業(yè)發(fā)動衍生攻擊[9]，因而兩家企業(yè)更傾向于合作，bsi稱之為安全網絡效益。當b值為負時，兩家企業(yè)可能互為競爭關系，對一家企業(yè)的成功入侵有助于保護另一家企業(yè)的信息安全，例如兩家企業(yè)信息資產存在可替代性，當黑客通過入侵一家企業(yè)竊取信息資產以后，將會放棄對其他企業(yè)的繼續(xù)攻擊[4]，bsi稱之為負安全網絡效益。當b值為零時，表明兩家企業(yè)是完全獨立的，包括在網絡連接、企業(yè)業(yè)務、信息資產等方面都是完全獨立的，黑客對兩家企業(yè)的攻擊不存在任何關聯。

企業(yè)i、企業(yè)j采用不同的博弈策略所得到的博弈收益如下：

（1）當企業(yè)i、企業(yè)j均采用共享策略時，其收益分別為ui1、ui2。

ui1=E0+rsj+bsi-cisi，uj1=E0+rsi+bsj-cjsj

若b為正值，企業(yè)i共享安全知識后能增強企業(yè)j的防御能力，從而減少黑客因入侵企業(yè)j而對企業(yè)i發(fā)動衍生攻擊的概率，從而提升了企業(yè)i的安全收益，對企業(yè)j亦是如此；當b為負值時，企業(yè)i共享安全知識后能增強企業(yè)j的防御能力，提升了企業(yè)j的防御威懾力[10]，黑客則轉而增加對企業(yè)i的攻擊，因此降低了企業(yè)i的安全收益。

（2）若企業(yè)i采用共享策略，而企業(yè)j采用不共享策略，此時各自的收益為：

ui2=E0+bsi-cisi，uj2=E0+Si

反之則為：

ui3=E0+sj，uj3=E0+bsj-cjsj

（3）若雙方企業(yè)均采用不共享策略，此時各自的收益為：

ui4=E0，uj4=E0

根據上面的定義，建立博弈的支付矩陣如表1所示。

表1 企業(yè)群體信息安全知識共享博弈支付矩陣

4 信息安全知識共享的演化博弈分析

4.1 演化過程的平衡點分析

假設在供方企業(yè)群體中，選擇實施信息安全知識共享策略的供方企業(yè)比例為x（0≤x≤1），實施不共享策略的企業(yè)比例為1-x，而在需方企業(yè)群體中選擇共享策略的比例為y（0≤y≤1），選擇不共享策略的企業(yè)比例為1-y。

對于供方企業(yè)群體而言，其選擇實施信息安全知識共享策略的期望收益為：

Uis=y（E0+rsj+bsi-cisi）+（1-y）（E0+bsi-cisi）

實施信息安全知識不共享策略的期望收益為：

Uin=y（E0+sj）+（1-y）E0

則供方企業(yè)的總體收益期望值為：

Ui=xUis+（1-x）Uin

依據演化博弈理論，企業(yè)學習選擇共享策略的速度取決于兩個因素[11]，一是模仿對象的數量，即當前選擇共享策略企業(yè)的比例，這關系到觀察和模仿的難易程度；二是學習對象的成功程度，即已經選擇共享策略企業(yè)的收益超出企業(yè)群體平均收益的幅度，這關系到對學習激勵大小的判斷。因此設t為時間，采用共享策略的企業(yè)比例的動態(tài)變化速度用復制動態(tài)方程可表示為：

x·=dxdt=x（Uis-Ui）

=x（1-x）[y（r-1）sj-（ci-b）si]

同理，需方企業(yè)群體的復制動態(tài)方程為：

y·=dydt=y（Ujs-Uj）

=y（1-y）[x（r-1）si-（cj-b）sj]

令dxdt=0

dydt=0

x*=（cj-b）sj（r-1）si

y*=（ci-b）si（r-1）sj

得到演化博弈的5個平衡點，分別是（0，0）、（0，1）、（1，0）、（1，1）以及當b

4.2 平衡點的穩(wěn)定性分析

復制動態(tài)方程所求解得到的平衡點不一定是系統演化的穩(wěn)定策略（ESS），根據提出的穩(wěn)定策略驗證方法，演化均衡的穩(wěn)定性可以從該系統的雅克比矩陣（記為J）的局部穩(wěn)定分析導出。對x·和y·分別關于x和y求偏導得如下雅克比矩陣：

J=x·xx·yu

y·xy·y=a11a12

a21a22

其中：

a11=（1-2x）[y（r-1）sj-（ci-b）si]

a12=x（1-x）（r-1）sj

a21=y（1-y）（r-1）si

a22=（1-2y）[x（r-1）si-（cj-b）sj]

如果能夠滿足條件：

（1）a11+a22<0（跡條件，值記為trJ）；

（2）a11a12

a21a22>0（雅克比行列式條件，值記為det J）。

能夠滿足以上條件（1）、（2）的復制動態(tài)方程的平衡點是局部穩(wěn)定的，該平衡點就是演化穩(wěn)定策略（ESS）。

若群體中的企業(yè)之間信息安全呈相互依賴關系（b>0）時，由于供需雙方企業(yè)間是相互對稱的，因而在判斷局部穩(wěn)定性時共有如下6種情況：

（1）ci

（2）ci

（3）ci（r-1）sisj+b

（4）b

（5）b（r-1）sisj+b

（6）ci>（r-1）sjsi+b，cj>（r-1）sisj+b

各情況下局部穩(wěn)定性的分析結果如表2至表7，系統演化動態(tài)相位圖如圖1所示。

若群體中的企業(yè)間信息安全呈競爭關系或相互獨立，即b為負數或0時，則情況（1）、（2）、（3）不存在。當b>max{-（r-1）sjsi，-（r-1）sisj}時情況（4）和（5）存在，而情況（6）則總是存在的。

表2 情況（1）平衡點的局部穩(wěn)定性

表3 情況（2）平衡點的局部穩(wěn)定性

表4 情況（3）平衡點的局部穩(wěn)定性

表5 情況（4）平衡點的局部穩(wěn)定性

表6 情況（5）平衡點的局部穩(wěn)定性

表7 情況（6）平衡點的局部穩(wěn)定性

4.3 演化博弈結果分析

4.3.1 依賴性企業(yè)之間的安全知識共享

（1）在情況（1）、（2）、（3）下，由于企業(yè)的共享成本均較低，且都小于共享后所帶來的安全網絡效應，因而此時企業(yè)即便未能獲得對方企業(yè)共享的安全知識，采用共享策略還是能為其帶來正收益的。但對于企業(yè)j，在情況（1）下，其共享成本小于安全網絡效應，因此企業(yè)選擇共享策略；隨著企業(yè)共享成本的上升，在情況（2）下，共享成本高于安全網絡效應，但是低于安全網絡效應和共享溢出效應之和，因此此時共享對企業(yè)j仍然是獲益的，企業(yè)j最終選擇共享策略；隨著企業(yè)j共享成本的進一步提高，企業(yè)j發(fā)現其共享的成本高于安全網絡效應與共享溢出效應之和，因此企業(yè)j放棄共享策略，采用不共享策略，享用“搭便車”效應且能繼續(xù)獲益，此時演化均衡點為（1，0），即共享成本高的企業(yè)“搭便車”，共享成本低的企業(yè)進行知識共享。

（2）在情況（4）下，圖（4）中由兩個不穩(wěn)定點和一個鞍點構成了系統收斂于不同策略模式的分界線AOC，即當博弈狀態(tài)位于區(qū)域AOCB中時，最終演化結果將收斂于穩(wěn)定策略組合（共享、共享），是一種博弈雙方雙贏的理想狀態(tài)；而當博弈狀態(tài)位于區(qū)域AOCD時，最終的演化結果將收斂于策略組合（不共享、不共享），此時信息安全共享平臺將無法發(fā)揮其應有的價值，是一種最不理想的穩(wěn)定狀態(tài)。鞍點（x*，y*）需要盡可能靠近相圖的左下角，演化均衡穩(wěn)定于點（1，1）的概率得以提升，需要提高共享效率，增強共享溢出效應，同時降低共享成本，從而達到降低（x*，y*）值的目的。

（3）在情況（5）、（6）下，對于企業(yè)j，由于其共享的成本過高，因而不管其能否從企業(yè)i處獲得共享的安全知識，其收益總是負的，因此其最佳策略總為不共享。在情況（5）下，雖然企業(yè)i共享的成本低于安全網絡效應和共享溢出效應之和，但是由于企業(yè)j無知識共享，因而企業(yè)i無法享用到共享的溢出效應，所以企業(yè)i最終也采用不共享策略；在情況（6）下，雙方共享成本都很高，故所有企業(yè)最終都采納了不共享策略。

4.3.2 競爭性企業(yè)和獨立性企業(yè)之間的安全知識共享

對于競爭性和獨立性的企業(yè)群體間由于b≤0，若b>max{-（r-1）sjsj，-（r-1）sisj}時，則可以出現情況（4）、（5）、（6），其演化博弈結果分析與依賴性企業(yè)間的演化博弈結果分析類似。

5 補貼機制對演化博弈均衡的影響

在信息高度發(fā)達而又高度脆弱的時代，政府加強國家信息安全建設刻不容緩，當前網絡信息安全已經提升到公共安全的層次，因此為了保障網絡信息安全水平，政府或相關組織有必要采用合理的補貼激勵機制來推動信息安全知識共享平臺建設，活躍企業(yè)信息安全知識共享程度，本文將在演化博弈中加入政府補貼機制。假定企業(yè)i可以從知識共享中獲得ksi的補助收益，k>0 ，此時雙方博弈收益如表8。

表8 補貼機制下企業(yè)群體安全知識共享博弈支付矩陣

演化博弈的復制動態(tài)方程為：

x·=x（1-x）[y（r-1）sj-（ci-b-k）si]

y·=y（1-y）[x（r-1）si-（cj-b-k）sj]

求解可以得出該演化博弈系統的平衡點（0，0）、（0，1）、（1，0）、（1，1），當滿足如下條件：

max{（r-1）sjsi+ci-b，（r-1）sisj+ci-b}≤k≤min{ci-b，cj-b}

則（x*′，y*′）點也為系統的平衡點：

x*′=（cj-b-k）sj（r-1）si

y*′=（ci-b-k）si（r-1）sj

表9 補貼機制下平衡點分析

復制動態(tài)方程的平衡點是局部穩(wěn)定的充要條件為tr J<0，det J>0，表9中tr J=a11+a22<0，det J=a11a22>0。得出政府補貼的系數k須滿足以下條件：

ksi≥cisi-（r-1）sj-bsi且ksj≥cjsj-（r-1）si-bsj

政府的補貼主要是為了彌補共享成本與共享外溢效益以及網絡效益的差值，對于企業(yè)群體中存在安全依賴性關系的企業(yè)間的知識共享，由于其自身存在信息安全知識共享的內在需求，因而對其補貼是較少的，甚至群體能夠自發(fā)地實施共享，例如美國的互聯網企業(yè)安全知識共享平臺等；而對于信息安全具有競爭性或獨立性關系的企業(yè)群體，由于擔心競爭對手給自身帶來威脅及信息泄露風險，因而共享意愿下降，政府須對這類企業(yè)組織加大補貼額度。

6 研究結論及其管理啟示

隨著信息技術的發(fā)展及在企業(yè)中應用的深入，企業(yè)信息安全所面臨的威脅也在加大，信息安全由孤立的、個體的企業(yè)問題逐步演化為帶有公共性的安全問題，為了提升企業(yè)信息安全水平，除了企業(yè)自身的安全防御投入外，需要有信息安全知識共享的平臺來進一步提升安全防御投資的效率。本文通過對不同關系的企業(yè)群體在不同的共享條件下信息安全知識共享的演化博弈策略的分析得出：提升信息安全知識共享效率、降低共享成本對共享平臺的效率有積極作用；企業(yè)間的關系也對共享策略產生影響，依賴性越強的企業(yè)越傾向于共享，反之則共享意愿下降；為了充分發(fā)揮共享平臺的效率，提升公共信息安全水平，政府或其他組織需要對共享行為予以必要的補貼。本文的分析對信息安全知識共享平臺的管理有以下啟示：（1）提高信息安全知識共享平臺的效率，通過平臺上共享知識的整合，進一步發(fā)揮知識的外溢效應，即提升r；（2）加強信息知識的保護、防止信息泄露，強化對共享平臺參與者的管理，加強對共享平臺的知識的保護，消除由于安全知識外泄給黑客群體而給企業(yè)帶來新的信息安全風險，即降低共享的成本ci和cj；（3）完善補貼機制，建立合理的可測的補貼標準，通過政府補貼機制提升群體共享的積極性，杜絕“搭便車”效應，另外由于共享安全知識難以度量，特別是可能包含大量隱性知識，增加了補貼實施的難度，因此需要建立可測的補貼標準，例如通過安全審計，對參與信息安全知識共享的企業(yè)依據其所遭遇的入侵情況予以合理的補貼等。

參考文獻：

[1]Gal-Or E， Ghose A. The Economic Incentives for Sharing Security Information[J]. Information Systems Research. 2005， 16（2）： 186-208.

[2]Gordon L A， Loeb M P， Lucyshyn W. Sharing Information on Computer Systems Security： An Economic Analysis[J]. Journal of Accounting and Public Policy， 2003， 22（6）： 461-485.

[3]L A Gordon， M P Loeb. Budgeting Process for Information Security Expenditures[J]. Communications of the ACM， 2006， 49（1）：121-126.

[4]Liu D， Ji Y， Mookerjee V. Knowledge Sharing and Investment Decisions in Information Security[J]. Decision Support Systems. 2011， 52（1）： 95-107.

[5]劉德海. 信息交流在群體性突發(fā)事件處理中作用的博弈分析[J]. 中國管理科學， 2005（3）： 95-102.

[6]Hausken K. Information Sharing Among Firms and Cyber Attacks[J]. Journal of Accounting & Public Policy，2007， 26（6）： 639-688.

[7]霍沛軍，陳繼祥，宣國良. 內定溢出與信息共享中的“囚徒困境”[J]. 管理工程學報. 2002（2）： 29-31.

[8]Chen P， Kataria G， Krishnan R. Correlated Failures， Diversification， and Information Security Risk Management[J]. MIS Quarterly. 2011， 35（2）： 393-397.

[9]張永錚，方濱興，遲悅，等. 用于評估網絡信息系統的風險傳播模型[J]. 軟件學報，2007， 18（1）： 9.

[10]Cremonini M， Nizovtsev D. Risks and Benefits of Signaling Information System Characteristics to Strategic Attackers[J]. Journal of Management Information Systems，2009， 26（3）： 241-274.

[11]謝識予.經濟博弈論[M].復旦大學出版社，2006年1月第二版.

（責任編輯：何 彬）

4.3.2 競爭性企業(yè)和獨立性企業(yè)之間的安全知識共享

對于競爭性和獨立性的企業(yè)群體間由于b≤0，若b>max{-（r-1）sjsj，-（r-1）sisj}時，則可以出現情況（4）、（5）、（6），其演化博弈結果分析與依賴性企業(yè)間的演化博弈結果分析類似。

5 補貼機制對演化博弈均衡的影響

在信息高度發(fā)達而又高度脆弱的時代，政府加強國家信息安全建設刻不容緩，當前網絡信息安全已經提升到公共安全的層次，因此為了保障網絡信息安全水平，政府或相關組織有必要采用合理的補貼激勵機制來推動信息安全知識共享平臺建設，活躍企業(yè)信息安全知識共享程度，本文將在演化博弈中加入政府補貼機制。假定企業(yè)i可以從知識共享中獲得ksi的補助收益，k>0 ，此時雙方博弈收益如表8。

表8 補貼機制下企業(yè)群體安全知識共享博弈支付矩陣

演化博弈的復制動態(tài)方程為：

x·=x（1-x）[y（r-1）sj-（ci-b-k）si]

y·=y（1-y）[x（r-1）si-（cj-b-k）sj]

求解可以得出該演化博弈系統的平衡點（0，0）、（0，1）、（1，0）、（1，1），當滿足如下條件：

max{（r-1）sjsi+ci-b，（r-1）sisj+ci-b}≤k≤min{ci-b，cj-b}

則（x*′，y*′）點也為系統的平衡點：

x*′=（cj-b-k）sj（r-1）si

y*′=（ci-b-k）si（r-1）sj

表9 補貼機制下平衡點分析

復制動態(tài)方程的平衡點是局部穩(wěn)定的充要條件為tr J<0，det J>0，表9中tr J=a11+a22<0，det J=a11a22>0。得出政府補貼的系數k須滿足以下條件：

ksi≥cisi-（r-1）sj-bsi且ksj≥cjsj-（r-1）si-bsj

政府的補貼主要是為了彌補共享成本與共享外溢效益以及網絡效益的差值，對于企業(yè)群體中存在安全依賴性關系的企業(yè)間的知識共享，由于其自身存在信息安全知識共享的內在需求，因而對其補貼是較少的，甚至群體能夠自發(fā)地實施共享，例如美國的互聯網企業(yè)安全知識共享平臺等；而對于信息安全具有競爭性或獨立性關系的企業(yè)群體，由于擔心競爭對手給自身帶來威脅及信息泄露風險，因而共享意愿下降，政府須對這類企業(yè)組織加大補貼額度。

6 研究結論及其管理啟示

隨著信息技術的發(fā)展及在企業(yè)中應用的深入，企業(yè)信息安全所面臨的威脅也在加大，信息安全由孤立的、個體的企業(yè)問題逐步演化為帶有公共性的安全問題，為了提升企業(yè)信息安全水平，除了企業(yè)自身的安全防御投入外，需要有信息安全知識共享的平臺來進一步提升安全防御投資的效率。本文通過對不同關系的企業(yè)群體在不同的共享條件下信息安全知識共享的演化博弈策略的分析得出：提升信息安全知識共享效率、降低共享成本對共享平臺的效率有積極作用；企業(yè)間的關系也對共享策略產生影響，依賴性越強的企業(yè)越傾向于共享，反之則共享意愿下降；為了充分發(fā)揮共享平臺的效率，提升公共信息安全水平，政府或其他組織需要對共享行為予以必要的補貼。本文的分析對信息安全知識共享平臺的管理有以下啟示：（1）提高信息安全知識共享平臺的效率，通過平臺上共享知識的整合，進一步發(fā)揮知識的外溢效應，即提升r；（2）加強信息知識的保護、防止信息泄露，強化對共享平臺參與者的管理，加強對共享平臺的知識的保護，消除由于安全知識外泄給黑客群體而給企業(yè)帶來新的信息安全風險，即降低共享的成本ci和cj；（3）完善補貼機制，建立合理的可測的補貼標準，通過政府補貼機制提升群體共享的積極性，杜絕“搭便車”效應，另外由于共享安全知識難以度量，特別是可能包含大量隱性知識，增加了補貼實施的難度，因此需要建立可測的補貼標準，例如通過安全審計，對參與信息安全知識共享的企業(yè)依據其所遭遇的入侵情況予以合理的補貼等。

參考文獻：

[1]Gal-Or E， Ghose A. The Economic Incentives for Sharing Security Information[J]. Information Systems Research. 2005， 16（2）： 186-208.

[2]Gordon L A， Loeb M P， Lucyshyn W. Sharing Information on Computer Systems Security： An Economic Analysis[J]. Journal of Accounting and Public Policy， 2003， 22（6）： 461-485.

[3]L A Gordon， M P Loeb. Budgeting Process for Information Security Expenditures[J]. Communications of the ACM， 2006， 49（1）：121-126.

[4]Liu D， Ji Y， Mookerjee V. Knowledge Sharing and Investment Decisions in Information Security[J]. Decision Support Systems. 2011， 52（1）： 95-107.

[5]劉德海. 信息交流在群體性突發(fā)事件處理中作用的博弈分析[J]. 中國管理科學， 2005（3）： 95-102.

[6]Hausken K. Information Sharing Among Firms and Cyber Attacks[J]. Journal of Accounting & Public Policy，2007， 26（6）： 639-688.

[7]霍沛軍，陳繼祥，宣國良. 內定溢出與信息共享中的“囚徒困境”[J]. 管理工程學報. 2002（2）： 29-31.

[8]Chen P， Kataria G， Krishnan R. Correlated Failures， Diversification， and Information Security Risk Management[J]. MIS Quarterly. 2011， 35（2）： 393-397.

[9]張永錚，方濱興，遲悅，等. 用于評估網絡信息系統的風險傳播模型[J]. 軟件學報，2007， 18（1）： 9.

[10]Cremonini M， Nizovtsev D. Risks and Benefits of Signaling Information System Characteristics to Strategic Attackers[J]. Journal of Management Information Systems，2009， 26（3）： 241-274.

[11]謝識予.經濟博弈論[M].復旦大學出版社，2006年1月第二版.

（責任編輯：何 彬）

4.3.2 競爭性企業(yè)和獨立性企業(yè)之間的安全知識共享

對于競爭性和獨立性的企業(yè)群體間由于b≤0，若b>max{-（r-1）sjsj，-（r-1）sisj}時，則可以出現情況（4）、（5）、（6），其演化博弈結果分析與依賴性企業(yè)間的演化博弈結果分析類似。

5 補貼機制對演化博弈均衡的影響

在信息高度發(fā)達而又高度脆弱的時代，政府加強國家信息安全建設刻不容緩，當前網絡信息安全已經提升到公共安全的層次，因此為了保障網絡信息安全水平，政府或相關組織有必要采用合理的補貼激勵機制來推動信息安全知識共享平臺建設，活躍企業(yè)信息安全知識共享程度，本文將在演化博弈中加入政府補貼機制。假定企業(yè)i可以從知識共享中獲得ksi的補助收益，k>0 ，此時雙方博弈收益如表8。

表8 補貼機制下企業(yè)群體安全知識共享博弈支付矩陣

演化博弈的復制動態(tài)方程為：

x·=x（1-x）[y（r-1）sj-（ci-b-k）si]

y·=y（1-y）[x（r-1）si-（cj-b-k）sj]

求解可以得出該演化博弈系統的平衡點（0，0）、（0，1）、（1，0）、（1，1），當滿足如下條件：

max{（r-1）sjsi+ci-b，（r-1）sisj+ci-b}≤k≤min{ci-b，cj-b}

則（x*′，y*′）點也為系統的平衡點：

x*′=（cj-b-k）sj（r-1）si

y*′=（ci-b-k）si（r-1）sj

表9 補貼機制下平衡點分析

復制動態(tài)方程的平衡點是局部穩(wěn)定的充要條件為tr J<0，det J>0，表9中tr J=a11+a22<0，det J=a11a22>0。得出政府補貼的系數k須滿足以下條件：

ksi≥cisi-（r-1）sj-bsi且ksj≥cjsj-（r-1）si-bsj

政府的補貼主要是為了彌補共享成本與共享外溢效益以及網絡效益的差值，對于企業(yè)群體中存在安全依賴性關系的企業(yè)間的知識共享，由于其自身存在信息安全知識共享的內在需求，因而對其補貼是較少的，甚至群體能夠自發(fā)地實施共享，例如美國的互聯網企業(yè)安全知識共享平臺等；而對于信息安全具有競爭性或獨立性關系的企業(yè)群體，由于擔心競爭對手給自身帶來威脅及信息泄露風險，因而共享意愿下降，政府須對這類企業(yè)組織加大補貼額度。

6 研究結論及其管理啟示

隨著信息技術的發(fā)展及在企業(yè)中應用的深入，企業(yè)信息安全所面臨的威脅也在加大，信息安全由孤立的、個體的企業(yè)問題逐步演化為帶有公共性的安全問題，為了提升企業(yè)信息安全水平，除了企業(yè)自身的安全防御投入外，需要有信息安全知識共享的平臺來進一步提升安全防御投資的效率。本文通過對不同關系的企業(yè)群體在不同的共享條件下信息安全知識共享的演化博弈策略的分析得出：提升信息安全知識共享效率、降低共享成本對共享平臺的效率有積極作用；企業(yè)間的關系也對共享策略產生影響，依賴性越強的企業(yè)越傾向于共享，反之則共享意愿下降；為了充分發(fā)揮共享平臺的效率，提升公共信息安全水平，政府或其他組織需要對共享行為予以必要的補貼。本文的分析對信息安全知識共享平臺的管理有以下啟示：（1）提高信息安全知識共享平臺的效率，通過平臺上共享知識的整合，進一步發(fā)揮知識的外溢效應，即提升r；（2）加強信息知識的保護、防止信息泄露，強化對共享平臺參與者的管理，加強對共享平臺的知識的保護，消除由于安全知識外泄給黑客群體而給企業(yè)帶來新的信息安全風險，即降低共享的成本ci和cj；（3）完善補貼機制，建立合理的可測的補貼標準，通過政府補貼機制提升群體共享的積極性，杜絕“搭便車”效應，另外由于共享安全知識難以度量，特別是可能包含大量隱性知識，增加了補貼實施的難度，因此需要建立可測的補貼標準，例如通過安全審計，對參與信息安全知識共享的企業(yè)依據其所遭遇的入侵情況予以合理的補貼等。

參考文獻：

[1]Gal-Or E， Ghose A. The Economic Incentives for Sharing Security Information[J]. Information Systems Research. 2005， 16（2）： 186-208.

[2]Gordon L A， Loeb M P， Lucyshyn W. Sharing Information on Computer Systems Security： An Economic Analysis[J]. Journal of Accounting and Public Policy， 2003， 22（6）： 461-485.

[3]L A Gordon， M P Loeb. Budgeting Process for Information Security Expenditures[J]. Communications of the ACM， 2006， 49（1）：121-126.

[4]Liu D， Ji Y， Mookerjee V. Knowledge Sharing and Investment Decisions in Information Security[J]. Decision Support Systems. 2011， 52（1）： 95-107.

[5]劉德海. 信息交流在群體性突發(fā)事件處理中作用的博弈分析[J]. 中國管理科學， 2005（3）： 95-102.

[6]Hausken K. Information Sharing Among Firms and Cyber Attacks[J]. Journal of Accounting & Public Policy，2007， 26（6）： 639-688.

[7]霍沛軍，陳繼祥，宣國良. 內定溢出與信息共享中的“囚徒困境”[J]. 管理工程學報. 2002（2）： 29-31.

[8]Chen P， Kataria G， Krishnan R. Correlated Failures， Diversification， and Information Security Risk Management[J]. MIS Quarterly. 2011， 35（2）： 393-397.

[9]張永錚，方濱興，遲悅，等. 用于評估網絡信息系統的風險傳播模型[J]. 軟件學報，2007， 18（1）： 9.

[10]Cremonini M， Nizovtsev D. Risks and Benefits of Signaling Information System Characteristics to Strategic Attackers[J]. Journal of Management Information Systems，2009， 26（3）： 241-274.

[11]謝識予.經濟博弈論[M].復旦大學出版社，2006年1月第二版.

（責任編輯：何 彬）