[論文レビュー] Security Pricing as an Enabler of Cyber-Insurance: A First Look at Differentiated Pricing Markets

Ranjan Pal, Leana Golubchik+2 more|arXiv (Cornell University)|Jul 9, 2016

Information and Cyber Security参考文献 17被引用数 9

ひとこと要約

本稿では、セキュリティベンダーがサイバー保険のデータを活用して、クライアントのセキュリティ投資水準およびネットワーク中心性（ボナチッチ中心性）に基づいて差別的価格設定を実施する共生的マーケットメカニズムを提案する。独占市場では利益を最大25%、寡占市場では最大18%まで向上可能であり、保険会社への利益還元を適正に実施することで、サイバー保険の実現可能性を高める。

ABSTRACT

Despite the promising potential of network risk management services (e.g., cyber-insurance) to improve information security, their deployment is relatively scarce, primarily due to such service companies being unable to guarantee profitability. As a novel approach to making cyber-insurance services more viable, we explore a symbiotic relationship between security vendors (e.g., Symantec) capable of price differentiating their clients, and cyber-insurance agencies having possession of information related to the security investments of their clients. The goal of this relationship is to (i) allow security vendors to price differentiate their clients based on security investment information from insurance agencies, (ii) allow the vendors to make more profit than in homogeneous pricing settings, and (iii) subsequently transfer some of the extra profit to cyber-insurance agencies to make insurance services more viable. oindent In this paper, we perform a theoretical study of a market for differentiated security product pricing, primarily with a view to ensuring that security vendors (SVs) make more profit in the differentiated pricing case as compared to the case of non-differentiated pricing. In order to practically realize such pricing markets, we propose novel and \emph{computationally efficient} consumer differentiated pricing mechanisms for SVs based on (i) the market structure, (ii) the communication network structure of SV consumers captured via a consumer's \emph{Bonacich centrality} in the network, and (iii) security investment amounts made by SV consumers.

研究の動機と目的

• 保険会社の利益が不十分であることと、クライアントがセキュリティに投資するインセンティブが欠如していることが原因で、サイバー保険サービスの実現性が低いという問題に対処すること。
• セキュリティベンダー（SVs）とサイバー保険機関の間で共生的関係を構築し、利益を上げられる差別的価格設定市場を創出すること。
• クライアントのセキュリティ投資水準とネットワーク内での位置（ボナチッチ中心性を介して）を組み込んだ、計算効率の良い価格設定メカニズムを設計すること。
• 差別的価格設定がクライアントに不公正な負担を強いることなく、全投資額に基づく公平性を保証しながら、SVの利益を増加させること。
• 実際のネットワークトポロジーを用いたシミュレーションにより理論モデルを検証し、実用的妥当性と性能向上を示すこと。

提案手法

• クライアントのセキュリティ投資水準と通信ネットワーク内でのボナチッチ中心性を2つの主要な入力として使用する、セキュリティベンダー向けの新規消費者差別的価格設定メカニズムを提案する。
• SV（独占または寡占）と保険機関を含むゲーム理論的設定として市場をモデル化し、利益最大化を目的とする。
• 価格設定モデルに生じるバイナリ二次計画問題を解くために、半定値計画（SDP）緩和を用い、計算を効率化する。
• 文献[26]のランダム化ラウンディングアルゴリズムを適用し、最適解に対して保証された0.878の近似比を達成することで、近似的に最良の価格決定を実現する。
• 合理的な入力仮定のもとで、価格設定問題に対する証明可能な近似保証を導出することで、計算の実行可能性とロバストネスを確保する。
• 実世界に類似したネットワークトポロジーを用いた広範なシミュレーションにより、モデルを検証し、異なる市場構造における利益増加と公平性指標を測定する。

実験結果

リサーチクエスチョン

• RQ1 セキュリティベンダーは、クライアントのセキュリティ投資水準とネットワーク中心性に基づいて価格を差別化することで、より高い利益を達成できるか？
• RQ2 ボナチッチ中心性によるネットワーク構造の組み込みが、セキュリティ製品の価格設定における利益性と公平性に与える影響は何か？
• RQ3 共生的マーケットモデルにおいて、サイバー保険機関がクライアントのセキュリティデータをセキュリティベンダーと共有することで、どの程度利益を得られるか？
• RQ4 利益向上と近似品質の観点から、提案された価格設定メカニズムの理論的および実用的性能限界は何か？
• RQ5 提案された差別的価格設定メカニズムは、クライアントの全セキュリティ投資に基づいて公平か？

主な発見

• 独占市場では、セキュリティベンダーがクライアントのセキュリティ投資水準とネットワーク中心性に基づいた差別的価格設定を採用することで、利益率を最大で約25%まで向上できる。
• 寡占市場では、同様の差別的価格設定メカニズムにより、利益率の向上が最大で約18%達成できる。
• 提案された価格設定メカニズムはクライアント間で公平であり、各クライアントの全セキュリティ投資額に基づいた価格反映により、不均衡な負担を回避する。
• 半定値緩和とランダム化ラウンディングの活用により、最適価格解に対して保証された0.878の近似保証が得られ、計算効率と解の品質を両立する。
• 実際のネットワークトポロジーを用いたシミュレーションにより、理論的利得が確認され、提案されたマーケットメカニズムの実用的妥当性が示された。
• このフレームワークは、特定のユースケースに限定されず、一般化可能であり、セキュリティ製品価格設定およびリスク管理分野への広範な応用基盤を提供する。