La economía de la seguridad de la información

La economía de la seguridad de la información

En los últimos 6 años, las personas se han dado cuenta de que la falla de seguridad se produce al menos con la misma frecuencia por malos incentivos como por mal diseño. Los sistemas son particularmente propensos al fracaso cuando la persona que los protege no es la persona que sufre cuando fallan. El uso creciente de mecanismos de seguridad para permitir que un usuario del sistema ejerza poder sobre otro usuario, en lugar de que simplemente excluir a las personas que no deberían ser usuarios en absoluto, introduce muchas estrategias y asuntos de política. Las herramientas y conceptos de la teoría de juegos y la teoría microeconómica son llegando a ser tan importante como las matemáticas de la criptografía para el ingeniero de seguridad.

Revisamos los resultados recientes y los desafíos de la investigación en vivo en la economía de la seguridad de la información. Como la disciplina todavía es joven, nuestro objetivo en esta revisión es presentar varias aplicaciones prometedoras de teorías e ideas económicas para la seguridad de la información práctica en lugar de enumerar los muchos resultados establecidos. Primero consideramos incentivos desalineados en el diseño y despliegue de sistemas informáticos. A continuación, estudiamos el impacto de las externalidades: la inseguridad de las redes es algo así como la contaminación del aire o la congestión del tráfico, en el sentido de que las personas que conectan máquinas inseguras a Internet no soportan todas las consecuencias de sus acciones. La dificultad para medir los riesgos de seguridad de la información presenta otro desafío: estos riesgos no se pueden gestionar mejor hasta que puedan medirse mejor. El software inseguro domina el mercado por la sencilla razón de que la mayoría de los usuarios no pueden distinguirlo del software seguro; por lo tanto, los desarrolladores no son compensados ​​por los esfuerzos costosos para fortalecer su código. Sin embargo, los mercados de vulnerabilidades pueden utilizarse para cuantificar la seguridad del software, recompensando así las buenas prácticas de programación y castigando las malas. Asegurar contra los ataques también podría proporcionar métricas mediante la creación de un conjunto de datos para valorar los riesgos. Sin embargo, las correlaciones locales y globales exhibidas por diferentes tipos de ataques determinan en gran medida qué tipo de mercados de seguros son factibles. Los mecanismos o fallas de seguridad de la información pueden crear, destruir o distorsionar otros mercados; la gestión de derechos digitales (DRM) en los mercados de software de música y productos en línea ofrece un ejemplo tópico.

Los factores económicos también explican muchos desafíos a la privacidad personal. Los precios discriminatorios, que son económicamente eficientes pero socialmente controvertidos, se vuelven simultáneamente más atractivos para los comerciantes y más fáciles de implementar debido a los avances tecnológicos. Concluimos discutiendo un esfuerzo de investigación incipiente: examinando el impacto de seguridad de la estructura de la red en las interacciones, confiabilidad y robustez.

Incentivos desalineados.

Una de las observaciones que impulsó el interés inicial en la economía de la seguridad de la información provino de la banca. En los Estados Unidos, los bancos son generalmente responsables de los costos del fraude de tarjetas; cuando un cliente disputa una transacción, el banco debe mostrar que el cliente está tratando de hacer trampa o debe ofrecer un reembolso. En el Reino Unido, los bancos tuvieron un viaje mucho más fácil: generalmente se salieron con la suya afirmando que su sistema de cajero automático era "seguro", por lo que un cliente que se quejaba debía estar equivocado o mintiendo. "Banqueros afortunados", uno podría pensar; sin embargo, los bancos del Reino Unido gastaron más en seguridad y sufrieron más fraude. ¿Cómo podría ser esto? Parece haber sido lo que los economistas llaman un efecto de riesgo moral: el personal del banco del Reino Unido sabía que las quejas de los clientes no se tomarían en serio, por lo que se volvieron perezosos y descuidados. Esta situación provocó una avalancha de fraudes.

En 2000, Varian hizo una observación clave similar sobre el mercado de software antivirus. La gente no gastó tanto en proteger sus computadoras como podrían haberlo hecho. Por qué no? En ese momento, una carga de virus típica era un ataque de servicio contra el sitio web de una empresa como Microsoft. Aunque un consumidor racional bien podría gastar $ 20 para evitar que un virus destruya su disco duro, podría no hacerlo solo para evitar un ataque a otra persona.

Los teóricos legales saben desde hace tiempo que la responsabilidad debe asignarse a la parte que mejor pueda gestionar el riesgo. Sin embargo, en todos los lugares que vemos, vemos que los riesgos en línea se asignan de manera deficiente, lo que da como resultado fallas de privacidad y peleas reglamentarias prolongadas. Por ejemplo, los sistemas de registros médicos son comprados por directores de hospitales y compañías de seguros, cuyos intereses en la administración de cuentas, control de costos e investigación no están bien alineados con los intereses de privacidad de los pacientes. Los incentivos también pueden influir en las estrategias de ataque y defensa. En la teoría económica, surge un problema de acción oculto cuando dos partes desean realizar transacciones, pero una de las partes puede tomar medidas inobservables que afectan el resultado. El ejemplo clásico proviene del seguro, donde el asegurado puede comportarse imprudentemente (aumentando la probabilidad de un reclamo) porque la compañía de seguros no puede observar su comportamiento.

Podemos utilizar estos conceptos económicos para clasificar los problemas de seguridad informática [3]. Los enrutadores pueden colocar silenciosamente los paquetes seleccionados o falsificar las respuestas a las solicitudes de enrutamiento; los nodos pueden redirigir el tráfico de red para espiar las conversaciones; y los jugadores de los sistemas de intercambio de archivos pueden ocultar si han decidido compartir con otros, por lo que algunos pueden 'utilizarlo' en lugar de ayudarlo a mantener el sistema. En tales ataques de acción oculta, algunos nodos pueden ocultar el comportamiento malicioso o antisocial de los demás. Una vez que se ve el problema bajo esta luz, los diseñadores pueden estructurar las interacciones para minimizar la capacidad de acción oculta o para facilitar el cumplimiento de contratos adecuados.

Esto ayuda a explicar la evolución de los sistemas peer-to-peer en los últimos 10 años. Los primeros sistemas propuestos por académicos, como Eternity, Freenet, Chord, Pastry y OceanStore, requieren que los usuarios sirvan una selección aleatoria de archivos de toda la red. Estos sistemas nunca fueron ampliamente adoptados por los usuarios. Los sistemas posteriores que lograron atraer a muchos usuarios, como Gnutella y Kazaa, en cambio, permiten que los nodos iguales sirvan el contenido que han descargado para su uso personal, sin cargarlos con los archivos de los demás. La comparación entre estas arquitecturas originalmente se centró en aspectos puramente técnicos: los costos de búsqueda, recuperación, comunicaciones y almacenamiento. Sin embargo, resulta que los incentivos también importan aquí.

...