نموذج جوردون-لوب

نموذج جوردون-لوب هو نموذج اقتصادي يحلل المستوى الأمثل للاستثمار في أمن المعلومات .

تنبع فوائد الاستثمار في الأمن السيبراني من تقليل التكاليف المرتبطة بالاختراقات الإلكترونية . يوفر نموذج غوردون-لوب إطارًا لتحديد حجم الاستثمار الأمثل في الأمن السيبراني، باستخدام منهجية تحليل التكلفة والعائد.

يتضمن النموذج المكونات الرئيسية التالية:

• البيانات التنظيمية المعرضة للهجمات الإلكترونية، مع الإشارة إلى مستوى الضعف بواسطة v ( 0 ≤ v ≤ 1 )، مما يمثل احتمال حدوث اختراق في ظل الظروف الحالية.

• الخسارة المحتملة الناجمة عن الاختراق، والمُمثلة بالرمز L ، يُمكن التعبير عنها بقيم نقدية. تُحسب الخسارة المتوقعة كـ vL قبل احتساب أي استثمارات إضافية في مجال الأمن السيبراني.

• يؤدي الاستثمار في الأمن السيبراني، والذي يرمز إليه بـ z ، إلى تقليل v بناءً على فعالية التدابير الأمنية، والمعروفة باسم دالة احتمالية اختراق الأمن.

أثبت غوردون ولوب أن المستوى الأمثل للاستثمار الأمني، z* ، لا يتجاوز 37% من الخسارة المتوقعة من الاختراق. تحديدًا، z* ( v ) ≤ (1/ e ) vL .

مثال : لنفترض قيمة بيانات تبلغ مليون يورو ، مع احتمال هجوم بنسبة 15% وفرصة نجاح الاختراق بنسبة 80% . الخسارة المحتملة هي مليون يورو × 0.15 × 0.8 = 120,000 يورو . بناءً على نموذج غوردون-لوب، يجب ألا يتجاوز استثمار الشركة في الأمن السيبراني 120,000 يورو × 0.37 = 44,000 يورو .

طُرح هذا النموذج لأول مرة من قِبل لورانس أ. جوردون ومارتن ب. لوب في ورقة بحثية نُشرت عام 2002 في مجلة ACM Transactions on Information and System Security ، بعنوان "اقتصاديات الاستثمار في أمن المعلومات". ^{[ 1 ]} وأُعيد نشرها في كتاب " اقتصاديات أمن المعلومات" عام 2004. ^{[ 2 ]} كلا المؤلفين أستاذان في كلية روبرت هـ. سميث للأعمال بجامعة ميريلاند .

يُعتبر هذا النموذج على نطاق واسع أحد أبرز الأدوات التحليلية في اقتصاديات الأمن السيبراني. ^{[ 3 ]} وقد تمّت الإشارة إليه بكثرة في الأدبيات الأكاديمية والصناعية. ^{[ 4 ] [ 5 ] [ 6 ]} كما تمّ اختباره في سياقات مختلفة من قِبل باحثين مثل مارك ليلارج ^{[ 7 ]} ويولي باريشنيكوف. ^{[ 8 ]}

وقد حظي هذا النموذج بتغطية إعلامية واسعة، بما في ذلك صحيفة وول ستريت جورنال ^{[ 9 ]} وصحيفة فاينانشيال تايمز ^{[ 10 ]} .

انتقدت أبحاث لاحقة افتراضات النموذج، مشيرةً إلى أن بعض دوال اختراق الأمن قد تتطلب تعويضًا لا يقل عن نصف الخسارة المتوقعة، مما يُشكك في عمومية عامل 1/e . بل إن بعض الصيغ البديلة تقترح أن بعض دوال الخسارة قد تُبرر الاستثمار بقيمة الخسارة المُقدَّرة كاملةً. ^{[ 11 ]}

• مؤشر التقدم الحقيقي