Optimal Investment in Information Security: A Business Value Approach

With increasing level of security threats and constant budget limitations, it is critical for a company to know how much and where to invest in information security. To date, all of the studies—academia or practitioner—focus on risk reduction as the primary effect of security investments, assuming that they generate no direct business benefits. However, some potential business values such as brand reputation and data stability are not only real but also quite important. This study addresses related research questions and extends the existing model to take into account direct business benefits in optimizing security investments, filling a significant research gap. As such, this research makes contribution to both theory development in information security management and management implications in practice

Математичні моделі економічного менеджменту інформаційної безпеки

Проведено порівняльний аналіз кількісних моделей економічного менеджменту інформаційної безпеки. Встановлено умови, за яких цільові функції розглянених моделей співпадають або досить близькі. Виконані розрахунки ілюструють методику визначення кількості втраченої інформації в залежності від співвідношення ресурсів нападу і захисту.Проведен сравнительный анализ количественных моделей экономического менеджмента информационной безопасности. Поставлены условия, при которых целевые функции рассмотренных моделей совпадают или достаточно близки. Выполненные расчеты иллюстрируют методику определения количества утраченной информации в зависимости от соотношения ресурсов нападения и защиты.The comparative analysis of the quantitative models of economic management of information security is fulfilled. The conditions under which the target functions of the considered models coincide or sufficiently close are set up. The fulfilled calculations illustrate the methodology of quantity determination depending on attack and defense recourses correlation

Математические модели экономического менеджмента информационной безопасности

Проведено порівняльний аналіз кількісних моделей економічного менеджменту інформаційної безпеки. Встановлено умови, за яких цільові функції розглянених моделей співпадають або досить близькі. Виконані розрахунки ілюструють методику визначення кількості втраченої інформації в залежності від співвідношення ресурсів нападу і захисту.The comparative analysis of the quantitative models of economic management of information security is fulfilled. The conditions under which the target functions of the considered models coincide or sufficiently close are set up. The fulfilled calculations illustrate the methodology of quantity determination depending on attack and defense recourses correlation.Проведен сравнительный анализ количественных моделей экономического менеджмента информационной безопасности. Поставлены условия, при которых целевые функции рассмотренных моделей совпадают или достаточно близки. Выполненные расчеты иллюстрируют методику определения количества утраченной информации в зависимости от соотношения ресурсов нападения и защиты

Расширение экономико-стоимостных моделей информационных рисков за счет использования социально- психологических типов злоумышленника

Розглядаються соціально-психологічні характеристики зловмисника та їх застосування з економіко-вартісними моделями з метою оцінювання інформаційних ризиків і оптимальних інвестицій в інформаційну безпеку. Для проведення адекватного оцінювання інформаційних ризиків та визначення оптимальних інвестицій у сферу захисту інформації існуючі економіко-вартісні моделі потребують розширення з урахуванням соціально-психологічних характеристик зловмисника, які істотно впливають на оцінювання ризиків. Сучасні методи оцінювання інформаційних ризиків, які спираються на існуючі нормативно-правові документи, не враховують соціально-психологічні характеристики зловмисників, що призводить до некоректного проведення оцінювання та зменшення точності отриманих оцінок. Запропоноване розширення економіко-вартісної моделі з урахуванням соціально-психологічних характеристик зловмисника дає можливість підвищити точність оцінок інформаційних ризиків та оптимізувати інвестиції в інформаційну безпеку. Запропоновано 10 соціально-психологічних типів зловмисника, використання яких дозволяє розширити застосування та підвищити точність оцінки економіко-вартісної моделі при проведенні оцінки інформаційних ризиків.In this article we study the socio-psychological characteristics of the attacker and their use with economic-cost model for assessing information risks and optimal investment in information security. An adequate assessment of information risk and determining the optimal investment by existing economic and cost models require expansion with the socio-psychological characteristics of the attacker, which significantly affect the assessment of the risks. Modern methods of estimation of information risks, which are based on existing legal documents doesn’t take into account the socio-psychological characteristics of the attackers, leading to incorrect assessment, reducing its accuracy. The proposed expansion of economic-cost model, taking into account the socio-psychological characteristics of the attacker, which increases the risk assessment of information and optimize investment in information security. We present 10 socio-psychological types of attacker for using with economic-cost modelswhich allows to expand the use and improve the accuracy of estimates of economic-cost model in the evaluation of information risks.Рассматриваются социально-психологические характеристики злоумышленника и их применение c экономико-стоимостными моделями для оценки информационных рисков и оптимальных инвестиций в информационную безопасность. Для проведения адекватной оценки информационных рисков и определения оптимальных инвестиций, существующие экономико-стоимостные модели требуют расширения с учетом социально-психологических характеристик злоумышленника, которые существенно влияют на оценку рисков. Современные методы оценки информационных рисков, которые опираются на существующие нормативно-правовые документы, не учитывают социально-психологические характеристики злоумышленников, приводит к некорректному проведению оценки, уменьшая ее точность. Предложенное расширение экономико-стоимостной модели с учетом социально-психологических характеристик злоумышленника позволяет повысить оценку информационных рисков и оптимизировать инвестиции в информационную безопасность. Предложено 10 социально-психологических типов злоумышленника, использование которых позволяет расширить применение и повысить точность оценки экономико-стоимостной модели при проведении оценки информационных рисков

Влияние уязвимости объектов на решение прямой и обратной задач менеджмента информационной безопасности

Оптимізація розподілу ресурсів між об’єктами захисту інформації ведеться на основі математичної моделі, в якій цільова функція визначає кількість вилученої інформації. Розглянуто та графічно проілюстровано ситуації, коли слід переходити від концентрації ресурсів на одному з об’єктів до їх розподілу між об’єктами. Показано, як впливає ймовірність виділення нападом певної кількості ресурсів на кінцевий результат.Optimization of the resources distribution between protection information objects is carried out on the basis of the mathematical model in which the objective function determines the amount of released information. The situations when it should go from resources concentration on one of the objects to their division between two objects were described and shown graphically. The influence of the possibility of delivery by the attack of the definite amount of resources on the ultimate result is shown.Оптимизация распределения ресурсов между объектами защиты информации проводится на основании математической модели, в которой целевая функция определяет количество вытекаемой информации. Рассмотрены и графически проиллюстрированы ситуации, когда следует переходить от концентрации ресурсов на одном из объектов к их распределению между объектами. Показано, как влияет вероятность выделения нападающей стороной определенного количества ресурсов на конечный результат

Вплив вразливості об’єктів на розв’язок прямої та зворотної задач менеджменту інформаційної безпеки

Оптимізація розподілу ресурсів між об’єктами захисту інформації ведеться на основі математичної моделі, в якій цільова функція визначає кількість вилученої інформації. Розглянуто та графічно проілюстровано ситуації, коли слід переходити від концентрації ресурсів на одному з об’єктів до їх розподілу між об’єктами. Показано, як впливає ймовірність виділення нападом певної кількості ресурсів на кінцевий результат.Оптимизация распределения ресурсов между объектами защиты информации проводится на основании математической модели, в которой целевая функция определяет количество вытекаемой информации. Рассмотрены и графически проиллюстрированы ситуации, когда следует переходить от концентрации ресурсов на одном из объектов к их распределению между объектами. Показано, как влияет вероятность выделения нападающей стороной определенного количества ресурсов на конечный результат.Optimization of the resources distribution between protection information objects is carried out on the basis of the mathematical model in which the objective function determines the amount of released information. The situations when it should go from resources concentration on one of the objects to their division between two objects were described and shown graphically. The influence of the possibility of delivery by the attack of the definite amount of resources on the ultimate result is shown

РОЗШИРЕННЯ ЕКОНОМІКО-ВАРТІСНИХ МОДЕЛЕЙ ІНФОРМАЦІЙНИХ РИЗИКІВ ЗА РАХУНОК ВИКОРИСТАННЯ СОЦІАЛЬНО-ПСИХОЛОГІЧНИХ ТИПІВ ЗЛОВМИСНИКА

In this article we study the socio-psychological characteristicsof the attacker and their use with economic-costmodel for assessing information risks and optimal investmentin information security. An adequate assessmentof information risk and determining the optimal investmentby existing economic and cost models require expansionwith the socio-psychological characteristics of theattacker, which significantly affect the assessment of therisks. Modern methods of estimation of information risks,which are based on existing legal documents doesn’t takeinto account the socio-psychological characteristics of theattackers, leading to incorrect assessment, reducing itsaccuracy. The proposed expansion of economic-costmodel, taking into account the socio-psychological characteristicsof the attacker, which increases the risk assessmentof information and optimize investment in informationsecurity. We present 10 socio-psychologicaltypes of attacker for using with economic-cost modelswhich allows to expand the use and improve the accuracyof estimates of economic-cost model in the evaluation ofinformation risks.Рассматриваются социально-психологические харак-теристики злоумышленника и их применение c эко-номико-стоимостными моделями для оценки инфор-мационных рисков и оптимальных инвестиций в ин-формационную безопасность. Для проведения адек-ватной оценки информационных рисков и определе-ния оптимальных инвестиций существующие эконо-мико-стоимостные модели требуют расширения сучетом социально-психологических характеристикзлоумышленника, которые существенно влияют наоценку рисков. Современные методы оценки инфор-мационных рисков, которые опираются на сущест-вующие нормативно-правовые документы не учиты-вают социально-психологические характеристикизлоумышленников, приводит к некорректному прове-дению оценки, уменьшая ее точность. Предложенноерасширение экономико-стоимостной модели с уче-том социально-психологических характеристик зло-умышленника позволяет повысить оценку информа-ционных рисков и оптимизировать инвестиции винформационную безопасность. Предложено 10социально-психологических типов злоумышленника,использование которых позволяет расширить приме-нение и повысить точность оценки экономико-стоимостной модели при проведении оценки ин-формационных рисков.Розглядаються соціально-психологічні характеристики зловмисника та їх застосування з економіко-вартісними моде-лями з метою оцінювання інформаційних ризиків і оптимальних інвестицій в інформаційну безпеку. Для проведенняадекватного оцінювання інформаційних ризиків та визначення оптимальних інвестицій у сферу захисту інформаціїіснуючі економіко-вартісні моделі потребують розширення з урахуванням соціально-психологічних характеристикзловмисника, які істотно впливають на оцінювання ризиків. Сучасні методи оцінювання інформаційних ризиків, якіспираються на існуючі нормативно-правові документи, не враховують соціально-психологічні характеристики зловмисників, що призводить до некоректного проведення оцінювання та зменшення точності отриманих оцінок. Запро-поноване розширення економіко-вартісної моделі з урахуванням соціально-психологічних характеристик зловмисникадає можливість підвищити точність оцінок інформаційних ризиків та оптимізувати інвестиції в інформаційну безпеку. Запропоновано 10 соціально-психологічних типів зловмисника, використання яких дозволяє розширити застосу-вання та підвищити точність оцінки економіко-вартісної моделі при проведенні оцінки інформаційних ризиків

The compliance budget: Managing security behaviour in organisations

A significant number of security breaches result from employees’ failure to comply with security policies. Many organizations have tried to change or influence security behaviour, but found it a major challenge. Drawing on previous research on usable security and economics of security, we propose a new approach to managing employee security behaviour. We conducted interviews with 17 employees from two major commercial organizations, asking why they do or don’t comply with security policies. Our results show that key factors in the compliance decision are the actual and anticipated cost and benefits of compliance to the individual employee, and perceived cost and benefits to the organization. We present a new paradigm – the Compliance Budget - as a means of understanding how individuals perceive the costs and benefits of compliance with organisational security goals, and identify a range of approaches that security managers can use to influence employee’s perceptions (which, in turn, influence security behaviour). The Compliance Budget should be understood and managed in the same way as any financial budget, as compliance directly affects, and can place a cap on, effectiveness of organisational security measures