[논문 리뷰] Pricing and Investments in Internet Security: A Cyber-Insurance Perspective

Ranjan Pal, Leana Golubchik|arXiv (Cornell University)|2011. 03. 08.

Information and Cyber Security참고 문헌 16인용 수 4

한 줄 요약

이 논문은 인터넷 보안에서 최적의 사이버 보험 가격 설정과 자가 방어 투자에 대한 게임 이론적 프레임워크를 개발하며, 완전 보험은 효율적인 협력 기반의 투자로 이어지고, 비협력적이고 비대칭 정보 환경에서는 부분 보험을 최적으로 보여준다. 이는 이상적 조건과 비이상적 조건 모두에서 실현 가능한 사이버 보험 시장의 존재를 입증한다.

ABSTRACT

Internet users such as individuals and organizations are subject to different types of epidemic risks such as worms, viruses, spams, and botnets. To reduce the probability of risk, an Internet user generally invests in traditional security mechanisms like anti-virus and anti-spam software, sometimes also known as self-defense mechanisms. However, such software does not completely eliminate risk. Recent works have considered the problem of residual risk elimination by proposing the idea of cyber-insurance. In this regard, an important research problem is the analysis of optimal user self-defense investments and cyber-insurance contracts under the Internet environment. In this paper, we investigate two problems and their relationship: 1) analyzing optimal self-defense investments in the Internet, under optimal cyber-insurance coverage, where optimality is an insurer objective and 2) designing optimal cyber-insurance contracts for Internet users, where a contract is a (premium, coverage) pair.

연구 동기 및 목표

• 인터넷 사용자가 사이버 보험 계약을 체결할 경우 최적의 자가 방어 투자 수준을 모델링하는 것.
• 위험 회피 성향을 보이는 사용자를 위한 최적의 (보험료, 보상 범위) 사이버 보험 계약을 설계하는 것.
• 정보 비대칭이 보험 가격 설정과 사용자 인centives에 미치는 영향을 분석하는 것.
• 사용자 간 협력 또는 비협력 여부가 전체 네트워크 보안과 투자 효율성에 미치는 영향을 평가하는 것.
• 단일 보험사 환경에서 지속 가능한 사이버 보험 시장의 존재를 입증하는 것.

제안 방법

• 사용자의 자가 방어 투자 결정을 사이버 보험 하에서 일반적인 수학 모델로 기술하며, 효용 극대화 원리를 통합한다.
• 사용자 위험 유형(LC, HC)에 따라 분리 균형 계약을 도출하기 위해 게임 이론적 균형 분석을 적용한다.
• 개별 합리성과 인centive 호환성 제약 조건을 포함한 라그랑주 최적화를 사용해 보험사의 의사결정 모델링.
• 위험 회피 성향을 반영한 유틸리티 함수를 도입해 사용자 선호도를 모델링하고 최적의 보상 수준을 유도한다.
• 대칭 정보 및 비대칭 정보 시나리오를 모두 분석하며, 사용자가 계약 체결 이전 또는 이후에 위험 유형 정보를 확보하는 경우를 포함한다.
• 일阶 조건과 균형 분석을 통해 최적의 계약을 유도하며, 유일한 분리 균형의 존재를 입증한다.

실험 결과

연구 질문

• RQ1 사용자가 네트워크 환경에서 완전 보험에 가입하고 협력할 경우 최적의 자가 방어 투자 수준은 무엇인가?
• RQ2 사용자 위험 유형에 대한 정보 비대칭이 존재할 경우 사이버 보험사가 (보험료, 보상 범위) 계약을 어떻게 설계해야 하는가?
• RQ3 단일 보험사 환경에서 지속 가능한 사이버 보험 시장이 존재하는 조건은 무엇인가?
• RQ4 위험 유형 정보의 존재가 자가 방어 투자 효율성과 보험사 수익에 어떤 영향을 미치는가?
• RQ5 사용자 간 협력과 비협력이 보안 투자 효율성과 보험 결과에 미치는 영향은 무엇인가?

주요 결과

• 사이버 보험 시장에서 분리 균형이 존재하며, 보험사는 저위험 및 고위험 사용자 유형에 따라 다른 계약을 제공한다.
• 정보 비대칭이 없는 경우 완전 보상이 최적이며, 협력 조건 하에서 자가 방어 투자가 효율적으로 이루어진다.
• 비협력적이고 비대칭 정보 환경에서는 수익 극대화를 추구하는 보험사에게 부분 보상이 최적이며, 이는 고위험 사용자 유형의 사용자 잉여가 감소함에도 불구하고 성립한다.
• 사용자가 계약 체결 이전에 위험 유형 정보를 확보할 수 있는 경우, 사용자 복지가 증가하고 보험사 수익은 감소한다. 이는 정보 없음 또는 계약 후 정보 확보 경우와 비교할 때의 결과이다.
• 이상적 또는 비이상적 단일 보험사 환경 모두에서 사이버 보험 시장가 존재하며, 분리 균형의 존재로 인해 정보 비대칭 조건 하에서도 성립한다.
• 모델은 보험으로 인해 위험 노출이 감소함에 따라 자가 방어 투자가 증가함을 입증하며, 이는 경제적 인센티브와 일치한다.