26、信息安全的经济、心理与社会学剖析

信息安全的经济、心理与社会学剖析

1. 引言

计算机与通信安全备受媒体关注，也是政府和企业决策者关心的重点。这主要是因为实际攻击不断增加、系统漏洞不断被发现，以及社会对信息和通信基础设施的依赖日益增强。尽管一直有预测称行业将推出安全系统，但多年过去，情况并未有明显改善。然而，世界也并未因此停滞，过去几年的重大金融灾难也并非由信息安全系统不足导致。

众多观察者认为，需要理解安全的非技术层面，尤其是经济层面。安全并非免费，因此必须权衡成本与收益，同时要考虑各方的激励因素，因为很多人想把安全成本转嫁给他人，或者利用安全来维护垄断。

信息安全的根本问题在于人与形式化方法难以兼容，甚至可以说人与现代技术总体上难以很好融合。在很多情况下，人们无需深入了解技术就能受益，比如飞机调度优化让乘客受益但他们无需了解算法，过桥时只需知道桥安全即可。但在安全领域，技术与人类无法完全分离。随着信息技术普及，越来越多人参与其中，而人往往是系统安全的薄弱环节。例如常见的网络幽默“荣誉系统病毒”，现实中也有很多人会因类似的邮件提示而删除文件，导致无法连接网络。社会工程学攻击，如假冒电脑支持人员索要密码，也是常见且有效的攻击方式。

技术人员通常呼吁加强教育，但过去证明这效果不佳，未来也可能如此。因为未来使用信息和通信系统的人会增多，系统也会更复杂。我们不应消极对待信息安全，而应现实看待所能取得的成果。以汽车安全为例，虽然过去有很大改善，但由于出行量增加，死亡人数只是略有下降，且近年来趋于稳定，社会默认接受了一定数量的死亡。在信息和通信技术领域，我们也能与不安全共存，不必追求构建完美安全的系统，设置“减速带”减缓攻击速度和影响即可，因为通信的背景以及阻碍安全系统部署的经济、社会和心理因素也能提供