Den amerikanska federala regeringen har främjat en rörelse mot att dela information om datasäkerhet, med särskild tonvikt på att skydda kritiska infrastrukturtillgångar som till stor del ägs av den privata sektorn. Eftersom informationssäkerhet är av största vikt för korrekt ekonomisk rapportering och tillhandahållande av aktuella och relevanta redovisningsrapporter för beslutsfattande, har frågan om utbyte av information om datasystems säkerhet direkt relevans för redovisningen och för den allmänna ordningen. I detta dokument presenteras en modell för att undersöka de sociala ekonomiska konsekvenserna av denna rörelse. I avsaknad av informationsutbyte fastställer varje företag självständigt sina utgifter för informationssäkerhet på en nivå där marginalvinsterna motsvarar marginalkostnaderna. Det visas att när information delas minskar varje företag det belopp som spenderas på informationssäkerhetsaktiviteter. Informationsutbyte kan dock leda till ökad informationssäkerhet. Dokumentet ger nödvändiga och tillräckliga villkor för informationsutbyte för att leda till en ökad (minskad) nivå av informationssäkerhet. Den nivå av informationssäkerhet som skulle vara optimal för ett företag i avsaknad av informationsutbyte kan uppnås av företaget till en lägre kostnad när datasäkerhetsinformation delas. Att dela med sig ger därför fördelar för varje företag och den totala välfärden ökar också. I avsaknad av lämpliga incitamentsmekanismer kommer dock varje företag att försöka att frilägga andra företags säkerhetsutgifter (dvs. avstå från delningsavtalet och vägra att dela med sig av information). Denna senare situation leder till underinvesteringar i informationssäkerhet. Lämpliga incitamentsmekanismer är därför nödvändiga för att öka vinsterna på både företagsnivå och den sociala välfärden genom informationsutbytet.
En annan oro för informationsutbyte som utforskas i den akademiska litteraturen är att företag kan fritt flytta bort säkerhetsutgifterna för andra företag genom att bara "krävande" delad säkerhetsinformation (t.ex. phishing feeds) och aldrig lämna några uppgifter om sina egna REF.
Sharing Information on Computer Systems Security: An Economic Analysis
{'venue': None, 'journal': 'Journal of Accounting and Public Policy', 'mag_field_of_study': ['Economics']}