مقاله تشویق توسعه نرم افزار ایمن: نقش تعهد (معافیت) و بازرسی

چکیده

Misaligned incentives in secure software development have long been the focus of research in the economics of security. Product liability, a powerful legal framework in other industries, has been largely ineffective for software products until recent times. However, the rapid regulatory responses to recent global cyberattacks by both the United States and the European Union, together with the (relative) success of the General Data Protection Regulation in defining both duty and standard of care for software vendors, may just enable regulators to use liability to re-align incentives for the benefit of the digital society. Specifically, the recently proposed United States National Cybersecurity Strategy shifts responsibility for cyber incidents back to software vendors. In doing so, the strategy also puts forward the concept of the liability waiver: if a software company voluntarily undergoes and passes an IT security audit, its liability is waived. In this paper, we analyze this audit scenario from the aspect of the software vendor. We propose a mechanism where a software vendor should first undergo a repeated auditing process in each stage of which the vendor decides whether to quit early or stay with additional security investment. We show that the optimal strategy for an opt-in vendor is to never quit; and exert cumulative investments in either “one-and-done” or “incremental” manner. We relate the audit mechanism to a liability waiver insurance policy and revealed its effect on reshaping the vendor’s risk perception. We also discuss influence of audit quality on the vendor’s incentives and pinpoint that a desirable audit rule should be highly accurate and less strict.

چکیده به فارسی (ترجمه ماشینی)

مشوق های نادرست در توسعه نرم افزار ایمن مدتهاست که تمرکز تحقیقات در اقتصاد امنیت بوده است.مسئولیت محصول ، یک چارچوب حقوقی قدرتمند در صنایع دیگر ، تا زمان های اخیر تا حد زیادی برای محصولات نرم افزاری ناکارآمد بوده است.با این حال ، پاسخ های نظارتی سریع به حملات سایبری جهانی اخیر توسط ایالات متحده و اتحادیه اروپا ، همراه با موفقیت (نسبی) مقررات مربوط به حمایت از داده های عمومی در تعریف وظیفه و استاندارد مراقبت از فروشندگان نرم افزار ، فقط ممکن است تنظیم کننده ها را قادر سازداز مسئولیت برای تراز مجدد مشوق ها به نفع جامعه دیجیتال استفاده کنید.به طور خاص ، استراتژی ملی امنیت ملی ایالات متحده که اخیراً پیشنهاد شده است ، مسئولیت حوادث سایبری را به فروشندگان نرم افزار باز می گرداند.با انجام این کار ، این استراتژی همچنین مفهوم چشم پوشی از مسئولیت را مطرح می کند: اگر یک شرکت نرم افزاری داوطلبانه دستگیر شود و از حسابرسی امنیتی IT عبور کند ، مسئولیت آن از بین می رود.در این مقاله ، ما این سناریوی حسابرسی را از جنبه فروشنده نرم افزار تجزیه و تحلیل می کنیم.ما مکانیسمی را پیشنهاد می کنیم که یک فروشنده نرم افزار ابتدا باید در هر مرحله ای که فروشنده تصمیم می گیرد زودتر از آن خارج شود یا با سرمایه گذاری امنیتی اضافی ، از آن استفاده کند ، یک فرآیند حسابرسی مکرر انجام دهد.ما نشان می دهیم که استراتژی بهینه برای یک فروشنده انتخابی این است که هرگز ترک نشود.و سرمایه گذاری های تجمعی را به روش “یک و” انجام “یا” افزایشی “انجام دهید.ما مکانیسم حسابرسی را با یک بیمه نامه چشم پوشی از مسئولیت مرتبط می کنیم و تأثیر آن را در تغییر شکل ریسک خطر فروشنده نشان دادیم.ما همچنین در مورد تأثیر کیفیت حسابرسی بر مشوق های فروشنده بحث می کنیم و نکته ای که یک قانون حسابرسی مطلوب باید بسیار دقیق و سخت تر باشد ، بحث می کنیم.