考虑数字资产类型与互补的企业信息安全决策研究

Research on Firm Information Security Decision Considering Digital Asset Types and Complementarity

摘要: 随着企业数字化转型的深入，信息资产已成为核心战略资源，其安全防护面临严峻挑战。在资源约束下，企业需对价值迥异的资产制定差异化的安全策略。本文基于资产分类视角，构建了企业信息安全投资决策模型，研究企业如何为核心与非核心资产分配最优安全努力。通过模型求解与比较静态分析发现：(1) 安全投入成本的上升会显著抑制企业对两类资产的防护投入，且核心资产投入对成本变化的敏感度更高；(2) 安全成本对企业最终收益具有持续的负面影响，揭示了成本控制在企业安全治理中的核心价值；(3) 损失比率对安全努力的影响呈现差异化特征，非核心资产价值提升会直接促进其自身防护，并通过互补效应间接带动核心资产投入；(4) 损失比率对企业收益的影响存在临界阈值，揭示非核心资产在特定条件下的战略价值。研究进一步表明，建立动态资产价值评估和关联体系、重视安全投入的成本效率，有助于企业优化安全资源配置。本研究为企业从“孤立防护”向“协同防御”体系转型提供了理论依据与管理启示。

Abstract: With the advancement of digital transformation, information assets have evolved into core strategic resources for enterprises, while their security protection faces increasingly severe challenges. Under resource constraints, enterprises need to formulate differentiated security strategies for assets of heterogeneous values. From an asset classification perspective, this paper develops an enterprise information security investment decision model to examine how firms optimally allocate security efforts between core and non-core assets. Through model solution and comparative static analysis, the findings reveal that: (1) Rising security investment costs significantly suppress corporate protection investments in both asset categories, with core asset investments demonstrating higher sensitivity to cost variations; (2) Security costs exert a persistent negative impact on enterprises’ ultimate benefits, underscoring the fundamental importance of cost control in security governance; (3) The loss ratio exhibits differentiated effects on security efforts - increased non-core asset value directly enhances their own protection while indirectly stimulating core asset investments through complementarity effects; (4) The impact of loss ratio on corporate benefits demonstrates a critical threshold, revealing the strategic value of non-core assets under specific conditions. Further research indicates that establishing dynamic asset valuation and correlation systems, while emphasizing cost efficiency in security investments, facilitates optimized security resource allocation. This study provides theoretical foundation and managerial implications for enterprises transitioning from “isolated protection” to “collaborative defense” systems.

1. 引言

在数字经济的浪潮下，数据资产已成为企业运营与战略决策的新命脉。然而，数据价值的集中与流动性的增强，也使其成为网络攻击的高价值目标，使得企业面临的安全态势日趋复杂。根据国际数据公司(IDC)最新预测，到2026年，全球范围内因数据泄露事件导致的直接经济损失可能突破万亿美元大关。这一严峻趋势表明，构建与资产价值相匹配的精准防护体系，而非进行无差别的技术堆砌，是企业应对当前威胁环境的必然选择。

在此背景下，对数据资产进行科学分类构成了精细化安全管理的逻辑起点。企业普遍依据数据在业务连续性、合规要求及竞争优势中的角色，将其划分为核心数据资产与非核心数据资产。前者一旦遭损，可能导致灾难性后果；后者的安全事件则影响范围相对有限，二者之间存在显著的损失差异。传统防护理念倾向于将两类资产孤立看待，并为其部署独立的安全措施。然而，现代企业IT架构的集成性与统一性，使得核心与非核心资产共享着底层的安全能力与控制策略。这种技术上的共生关系，导致对任一类别资产的防护投入，都会对另一类资产的安全状态产生外溢效应，即存在协同互补性。忽略这种内在的互补性，仅基于资产价值的线性决策模型，难以真实反映企业整体的安全韧性。

信息安全经济学研究指出，企业的安全决策本质上是在一个相互关联的约束体系下寻求最优解[1]。当核心与非核心数据资产的防护效果彼此影响时，管理者的决策逻辑变得高度复杂：是应优先强化核心资产的防线，利用其强大的溢出效应来提升非核心资产的安全基准？还是需要在非核心资产层面维持相当的直接努力，以构筑更为稳固的纵深防御体系？这一战略抉择的答案，并非固定不变，而是深刻地受到损失比率与互补系数这两个关键系统参数的共同支配。

基于此，本文构建了一个纳入资产分类与协同互补效应的企业安全决策模型。核心研究目的在于，求解企业对两类资产的最优安全努力水平，并系统性地剖析以下问题：第一，安全努力成本系数如何动态调节企业在核心与非核心资产间的努力分配结构？第二，损失比率又将如何重塑这一最优配置策略？第三，在上述两个关键参数的作用下，最终如何决定企业所能达成的最大安全收益？通过对这些机理的深入探索，本文旨在为企业从价值维度出发，制定精准高效的数据安全防护策略，提供一个严谨的理论框架与决策依据。

2. 文献综述

本文的研究立足于信息安全经济学的理论框架，并深度融合了资产分类管理与安全互补性这两个关键维度。信息安全经济学自Gordon和Loeb (2002)的开创性研究[1]以来，其核心思想已从论证“安全是经济问题”演进至探索复杂环境下的最优决策。近年来，随着监管环境的强化，研究更加强调在外部约束下的资源优化。例如，董坤祥等(2021)研究了在强制性标准下，企业如何将安全投资与网络保险进行组合决策，揭示了合规要求对投资策略的深刻影响[2]。与此同时，研究情境也日益复杂化，从单个企业扩展到竞争市场与供应链。Gao和Yang (2023) [3]构建了一个双头模型，分析两家竞争企业在黑客攻击不同概率下如何进行安全投资。研究表明，在竞争激烈且企业更依赖安全差异化的环境中，增加攻击概率反而可能使企业获益。这些研究共同表明，现代企业的安全决策是一个在多维约束下寻求均衡的复杂过程。

在这一决策过程中，对信息资产进行科学分类是实施精准防护、满足监管要求的逻辑起点。我国《数据安全法》(2021)¹与欧盟《通用数据保护条例》(2016)²等法规均以数据分类分级作为核心监管抓手。早期，Alexander等人所指出，那些能够为企业创造高价值并推动其长期发展的信息资产、系统或项目，可被识别为核心项目，从而在分类体系中赋予更高优先级[4]。学术研究在此基础上进一步深化，构建出资产分类模型并量化资产重要性。例如，Chen等人(2023) [5]从企业业务场景出发，通过数据血缘图识别核心数据资产，并总结出一套通用指标体系，用以量化其关键性和业务价值，从而为核心数据资产分级保护提供了经验性、结构化方法。然而，现有基于分类的决策模型大多隐含了一个假设，即各类资产的防护效果是相互独立的，这与企业日益集成的安全架构现实相悖。

事实上，现代统一安全架构的核心特征正是打破了资产防护间的孤岛，使得安全措施呈现出强烈的“互补性”。美国国家标准与技术研究院(NIST)发布的零信任架构指南(2020)强调，安全措施应当协同工作，形成纵深防御体系[6]。学术综述与模型研究进一步探讨了在竞争与监管环境下这种互补性的政策含义与公司行为影响[7] [8]。因此，忽略互补性将导致企业系统性低估集成安全措施的投资回报，从而制定出次优的防护策略。本文的研究正是为了弥补现有文献将资产分类与安全互补性割裂开来的不足，旨在构建一个统一的决策模型，深入探讨在存在互补效应的异构资产环境中，企业如何实现安全资源的最优配置。

3. 问题描述和模型建立

3.1. 问题描述

本节聚焦于单一企业的决策过程，该企业作为唯一的决策主体拥有两类信息资产，分别为核心资产与非核心资产。核心资产指企业维持竞争优势和运营稳定性的关键资源，如客户数据库、知识产权与核心业务系统；非核心资产则包括一般办公文件、内部公告及测试环境数据等。为刻画企业的安全防护行为，记企业对核心资产的安全努力水平为$x_c$ ，对非核心资产的安全努力水平为$x_{nc}$ 。安全努力泛指企业在技术、管理与人员方面的所有防护投入。

企业的安全努力需要消耗资源。假设安全投入成本函数为二次形式，即：

$C\left(x_i\right)=\frac{a}{2}{x}_i^2,i\in \left\{c,nc\right\}$

其中$a>0$ 为单位努力成本系数。该凸性成本函数广泛用于信息安全经济学文献，它反映了安全投入中普遍存在的边际成本递增现象：初期部署基础防御措施成本较低，而随着防护水平向高级阶段提升，所需的技术复杂度与维护精力会急剧增加，导致成本加速上升。

当信息资产遭受攻破时，企业将面临财务与声誉损失。设核心资产被攻破的潜在损失为$L$ 。非核心资产的潜在损失相对于核心资产存在一个折价，记为$\theta L$ ，其中$0<\theta <1$ 为损失比率。$\theta$ 值越高，意味着非核心资产在企业整体风险敞口中的重要性越高。

此外，由于企业信息系统内部通常采用统一的安全架构与管理策略，不同资产的防护效果之间存在协同效应。例如，强化网络边界的防火墙在保护核心服务器的同时，也惠及了同一网络内的非核心办公终端。为刻画这种跨资产的安全外溢性，引入安全互补系数$0<\gamma <1$ 。该系数量化了对一类资产的安全投入对另一类资产防护水平的间接提升程度。在此基础上，资产的实际防御能力由直接努力与间接努力共同构成。具体地，核心资产的最终有效防御水平为$x_c+\gamma x_{nc}$ ，非核心资产的最终有效防御水平为$x_{nc}+\gamma x_c$ 。

资产的有效防御水平越高，其被成功攻破的概率越低。据此，定义核心资产与非核心资产的攻破概率分别为：

$p_c=1-k\left(x_c+\gamma x_{nc}\right)$

$p_{nc}=1-k\left(x_{nc}+\gamma x_c\right)$

其中$k>0$ 为安全努力效率系数，它将有效努力转化为具体的风险降低效果。为确保概率$p_c,p_{nc}\in \left(0,1\right)$ ，我们假设参数$k$ 足够小，使得$k\left(x_c+\gamma x_{nc}\right)<1$ 且$k\left(x_{nc}+\gamma x_c\right)<1$ 在合理的努力水平范围内恒成立。此概率设定清晰地表明，任一资产的安全状态均同时受到两类安全努力的共同影响，为后文分析资产间的策略性互补关系奠定了基础。

表1总结了本章节涉及的主要符号及含义。

Table 1. Main symbols and meanings

表1. 关键符号及含义

符号	含义
$x_c$	企业对核心资产的安全努力水平
$x_{nc}$	企业对非核心资产的安全努力水平
${\Pi }_0$	企业的固定收益
$L$	核心资产被攻破导致的安全损失
$\theta$	非核心资产与核心资产的损失比率
$a$	安全努力成本系数
$k$	安全努力效率系数
$\gamma$	核心与非核心资产间的安全互补系数
$p_c$	核心资产被攻破的概率
$p_{nc}$	非核心资产被攻破的概率

3.2. 模型构建

本节构建一个企业信息安全投资决策模型，以分析在资产分类管理框架下企业如何为核心与非核心资产分配安全资源以实现自身期望收益的最大化。考虑到信息安全事件虽可能造成经济损失，但并不会直接导致企业经营活动终止，本文假设即便发生安全泄露事件，企业仍能获得正向经营利润${\Pi }_0>0$ 。该设定反映了现实情形：多数企业的信息安全事故通常导致短期经济损失与声誉受损，而非立即破产或退出市场。为简化分析，进一步假设${\Pi }_0$ 足够大，以确保企业的最优安全努力决策不会因破产风险而受到扭曲。

基于此，企业的期望净收益$\Pi$ 由固定经营收益${\Pi }_0$ 、核心与非核心资产被攻破的期望损失，总安全投入成本三部分构成。企业的决策问题可表述为如下优化问题：选择最优的安全努力水平$x_c\ge 0$ 和$x_{nc}\ge 0$ ，以最大化其期望净收益函数$\Pi \left(x_c,x_{nc}\right)$ ：

$\Pi \left(x_c,x_{nc}\right)={\Pi }_0-p_c\left(x_c,x_{nc}\right)L-p_{nc}\left(x_c,x_{nc}\right)\theta L-\frac{a{x}_c^2}{2}-\frac{a{x}_{nc}^2}{2}$

该优化问题是一个经典的凹规划问题。为求解企业的最优决策，我们分别对决策变量$x_c$ 和$x_{nc}$ 求一阶偏导数，并令其等于零，可得企业关于核心资产与非核心资产的最优安全努力水平，如定理3-1。

定理3-1：(1) 企业对核心资产的最优安全努力为$x_c^{\text{*}}=\frac{kL}{a}\left(1+\gamma \theta \right)$ ，对非核心资产的最优安全努力水平分别为$x_{nc}^{\text{*}}=\frac{kL}{a}\left(\theta +\gamma \right)$ ；

(2) 核心资产的最优安全努力水平始终高于非核心资产的最优安全努力水平，即$x_c^{\text{*}}>x_{nc}^{\text{*}}$ 。

证明：决策变量$x_c$ 和$x_{nc}$ 求一阶偏导数分别为$\frac{\partial \Pi }{\partial x_c}=kL+k\theta L\gamma -a{x}_c=0$ ，$\frac{\partial \Pi }{\partial x_{nc}}=kL\gamma +k\theta L-a{x}_{nc}=0$ ，由一阶条件$\frac{\partial \Pi }{\partial x_c}=0$ 和$\frac{\partial \Pi }{\partial x_{nc}}=0$ 直接求解即可证定理3-1(1)。对最优解进行比较，$x_c^{\text{*}}-x_{nc}^{\text{*}}=\frac{kL}{a}\left(1+\gamma \theta \right)-\frac{kL}{a}\left(\theta +\gamma \right)=\frac{kL}{a}\left(1-\theta -\gamma +\gamma \theta \right)=\frac{kL}{a}\left(1-\theta \right)\left(1-\gamma \right)$ 。由于$\frac{kL}{a}>0$ ，且$0\le \theta <1$ ，$0\le \gamma <1$ ，故$\left(1-\theta \right)>0$ ，$\left(1-\gamma \right)>0$ ，因此$x_c^{\text{*}}-x_{nc}^{\text{*}}>0$ 。定理3-1(2)得证。

定理3-1清晰地揭示了企业最优安全努力的结构。核心资产的最优努力$x_c^{\text{*}}$ 由直接保护核心资产的动机(1)和通过互补性间接保护非核心资产的动机($\gamma \theta$ )共同驱动。同理，非核心资产的最优努力$x_{nc}^{\text{*}}$ 由直接保护非核心资产的动机($\theta$ )和通过互补性间接保护核心资产的动机($\gamma$ )共同驱动。成本系数$a$ 和努力效率$k$ 则以相同的比例影响两类努力水平。企业“重核心、轻非核心”的天然倾向始终没有改变。

4. 比较静态分析

基于定理3-1求得的企业最优安全努力水平，本章将通过比较静态分析，深入探究模型关键外生参数安全努力成本系数$a$ 与损失比率$\theta$ 的变动，如何影响企业的最优决策以及其在最优决策下所能实现的期望收益。这有助于理解在不同成本结构与风险认知下，企业安全资源分配策略的内在规律及其最终成效。

4.1. 安全努力成本系数a的影响

本小节旨在分析安全努力成本系数$a$ 的变化，如何影响企业的最优安全努力分配及其最终实现的期望收益。

命题4-1：企业核心资产最优核心安全努力$x_c^{\text{*}}$ 和非核心资产最优安全努力$x_{nc}^{\text{*}}$ 总是随着安全努力成本系数$a$ 的增加而减少，即$\frac{\partial x_c^{\text{*}}}{\partial a}<0$ ，$\frac{\partial x_{nc}^{\text{*}}}{\partial a}<0$ ；核心资产努力对成本系数的敏感度高于非核心资产努力，即$\left|\frac{\partial x_c^{\text{*}}}{\partial a}\right|>\left|\frac{\partial x_{nc}^{\text{*}}}{\partial a}\right|$ 。

证明：对定理3-1中的均衡解$x_c^{\text{*}}$ 和$x_{nc}^{\text{*}}$ 分别关于安全努力成本系数$a$ 求偏导数，可得$\frac{\partial x_c^{\text{*}}}{\partial a}=-\frac{kL}{a^2}\left(1+\gamma \theta \right)$ ，$\frac{\partial x_{nc}^{\text{*}}}{\partial a}=-\frac{kL}{a^2}\left(\theta +\gamma \right)$ 。由于$k,L,a>0$ 且$0<\theta ,\gamma <1$ ，易知$\frac{\partial x_c^{\text{*}}}{\partial a}<0$ 且$\frac{\partial x_{nc}^{\text{*}}}{\partial a}<0$ 。另外，比较两者敏感度的绝对值，$\left|\frac{\partial x_c^{\text{*}}}{\partial a}\right|-\left|\frac{\partial x_{nc}^{\text{*}}}{\partial a}\right|=\frac{kL}{a^2}\left(1+\gamma \theta \right)-\frac{kL}{a^2}\left(\theta +\gamma \right)=\frac{kL}{a^2}\left(1-\theta \right)\left(1-\gamma \right)>0$ 。因此，核心资产努力对成本变化的敏感度更高。

命题4-1揭示了安全投入成本对企业资源分配的普遍抑制与差异化影响。首先，安全成本的上升会直接压缩企业的安全预算，导致其在两类资产上的投入均被迫削减，这凸显了控制安全运营成本的重要性。其次，核心资产投入对成本变化更为敏感，这表明当安全技术或服务的成本过高时，企业战略中那些旨在保护“皇冠宝石”的高强度防护措施可能首当其冲地被削弱，从而可能在无形中积累更大的战略风险。企业在进行安全采购和技术路线选型时，必须权衡某项技术或解决方案的长期拥有成本(TCO)及其对核心防护能力的潜在影响。

企业的终极目标是收益最大化。我们进一步分析在最优努力$x_c^{\text{*}},x_{nc}^{\text{*}}$ 下，安全努力成本系数$a$ 的变动如何影响企业的最优期望收益${\Pi }^{*}=\Pi \left(x_c^{*},x_{nc}^{*}\right)$ ，得到命题4-2。

命题4-2：企业在最优决策下所能实现的期望收益${\Pi }^{*}$ 总是随着安全努力成本系数$a$ 的增加而减少。即，$\frac{\text{d}{\Pi }^{*}}{\text{d}a}<0$ 。

证明：根据包络定理，参数对最优值函数的边际影响，等于该参数在最优解处对原始目标函数的偏导数。因此，$a$ 对最优收益的边际影响为$\frac{\text{d}{\Pi }^{*}}{\text{d}a}={\frac{\partial \Pi }{\partial a}|}_{\left(x_c^{*},x_{nc}^{*}\right)}=-\frac{1}{2}\left(x_c^{*2}+x_{nc}^{*2}\right)$ 。由于$x_c^{\text{*}}>0$ 且$x_{nc}^{\text{*}}>0$ ，故上式恒小于零。命题4-2得证。

命题4-2从财务结果上明确指出了降低安全成本的价值。它表明，任何能够有效降低安全努力成本系数$a$ 的举措(例如，通过采纳自动化安全工具以提升人效、利用云服务的规模效应降低边际成本、或优化安全流程减少冗余开销)，都将直接转化为企业净利润的提升。这不仅是一个技术或运营问题，更是一个直接关乎企业盈亏的战略问题。安全管理者在构建安全体系时，应将“成本效率”与“防护效果”置于同等重要的地位，致力于寻求性价比最优的解决方案，从而在给定的预算约束下最大化企业的安全状态和价值。

4.2. 损失比率$\theta$ 的影响

同4.1，本小节将聚焦于$\theta$ 的变化对企业决策和最终收益的影响。

命题4-3：企业核心资产最优核心安全努力$x_c^{\text{*}}$ 和非核心资产最优安全努力$x_{nc}^{\text{*}}$ 总是随着损失比率$\theta$ 的增加而增加，即$\frac{\partial x_c^{\text{*}}}{\partial \theta }>0$ ，$\frac{\partial x_{nc}^{\text{*}}}{\partial \theta }>0$ ；且非核心资产努力$x_{nc}^{\text{*}}$ 对损失比率的敏感度高于核心资产努力$x_c^{\text{*}}$ ，即$\frac{\partial x_{nc}^{\text{*}}}{\partial \theta }>\frac{\partial x_c^{\text{*}}}{\partial \theta }$ 。

证明：对定理3-1中的均衡解$x_c^{\text{*}}$ 和$x_{nc}^{\text{*}}$ 分别关于损失比率$\theta$ 求偏导数，可得$\frac{\partial x_c^{\text{*}}}{\partial \theta }=\frac{kL}{a}\gamma$ ，$\frac{\partial x_{nc}^{\text{*}}}{\partial \theta }=\frac{kL}{a}$ 。由于$k,L,a>0$ ，且$0<\gamma <1$ ，易知$\frac{\partial x_c^{\text{*}}}{\partial \theta }>0$ ，$\frac{\partial x_{nc}^{\text{*}}}{\partial \theta }>0$ 恒成立。且$\frac{kL}{a}>\frac{kL}{a}\gamma$ ，故$\frac{\partial x_{nc}^{\text{*}}}{\partial \theta }>\frac{\partial x_c^{\text{*}}}{\partial \theta }$ 。

命题4-3揭示了损失比率对企业安全资源分配的差异化激励效果。非核心资产价值的提升会直接且显著地激励企业增加对其的直接防护，这体现了边际收益原则的直接应用。与此同时，由于安全互补性的存在，核心资产投入产生了“副产品收益”——通过协同效应间接提升了非核心资产的防护水平。当非核心资产价值增加时，这种副产品收益相应提高，从而激励企业追加核心资产投入。值得注意的是，非核心资产努力对价值变化的敏感度更高，这表明企业在策略调整时更倾向于采取针对性强的直接防护措施。

命题4-4：企业最优期望收益${\Pi }^{*}$ 随着损失比率$\theta$ 的增加先减少后增加，即存在阈值$\widehat{\theta }$ ，当$\theta <\widehat{\theta }$ 时，$\frac{\text{d}{\Pi }^{*}}{\text{d}\theta }<0$ ；当$\theta >\widehat{\theta }$ 时，$\frac{\text{d}{\Pi }^{*}}{\text{d}\theta }>0$ 。

证明：根据包络定理$\frac{\text{d}{\Pi }^{*}}{\text{d}\theta }={\frac{\partial \Pi }{\partial \theta }|}_{\left(x_c^{*},x_{nc}^{*}\right)}=-L+kL\left(x_{nc}^{*}+\gamma x_c^{*}\right)$ ，代入最优解得$\frac{\text{d}{\Pi }^{*}}{\text{d}\theta }=L\left(-1+\frac{k^{2}L}{a}\left[\left(\theta +\gamma \right)+\gamma \left(1+\gamma \theta \right)\right]\right)$ 。令$A=\frac{k^{2}L}{a}>0$ ，该表达式是$\theta$ 的线性递增函数，故存在唯一阈值$\widehat{\theta }=\frac{1/A-\gamma \left(1+\gamma \right)}{1+{\gamma }^2}$ 。证毕。

命题4-4揭示了一个重要的管理洞见：非核心资产价值的提升未必总是损害企业收益。当$\theta$ 较小时，其增长主要表现为潜在损失的绝对增加，对企业收益产生负面影响；然而当$\theta$ 超过临界值后，其将通过激励企业提升安全努力水平，显著降低整体风险，最终实现收益的改善。这一发现说明，企业应当动态评估非核心资产价值，在特定条件下甚至可以将其转化为提升整体安全绩效的机遇。

接下来，我们通过数值仿真进一步验证上述结论的稳健性。图1展示了企业的最优安全努力$x_c^{\text{*}}$ 和$x_{nc}^{\text{*}}$ ，以及最优安全努力下的期望收益${\Pi }^{*}$ 随着安全努力成本系数$a$ 的变化情况，参数定义为：${\Pi }_0=200$ ，$L=100$ ，$k=0.3$ ，$\gamma =0.5$ ，$\theta =0.3$ (改变这些参数取值仍然可以得到类似的结果)。

(a) $x_c^{*}$ 和$x_{nc}^{*}$ 随着$a$ 的变化情况 (b) ${\Pi }^{*}$ 随着$a$ 的变化情况

Figure 1. The variation of $x_c^{\text{*}}$ , $x_{nc}^{\text{*}}$ and ${\Pi }^{*}$ with respect to changes in $a$

图1. $x_c^{\text{*}}$ 、$x_{nc}^{\text{*}}$ 和${\Pi }^{*}$ 随$a$ 的变化情况

我们继续对企业的最优安全努力$x_c^{\text{*}}$ 和$x_{nc}^{\text{*}}$ ，以及最优安全努力下的期望收益${\Pi }^{*}$ 随着损失比率$\theta$ 变化情况进行数值分析，如图2。使用参数：${\Pi }_0=200$ ，$L=100$ ，$k=0.3$ ，$a=12.5$ ，$\gamma =0.5$ (改变这些参数取值仍然可以得到类似的结果)。

(a) $x_c^{*}$ 和$x_{nc}^{*}$ 随着$\theta$ 的变化情况 (b) ${\Pi }^{*}$ 随着$\theta$ 的变化情况

Figure 2. The variation of $x_c^{\text{*}}$ , $x_{nc}^{\text{*}}$ and ${\Pi }^{*}$ with respect to changes in $\theta$

图2. $x_c^{*}$ 、$x_{nc}^{*}$ 和${\Pi }^{*}$ 随$\theta$ 的变化情况

5. 结论与展望

本文基于资产分类管理视角，构建了企业信息安全投资决策模型，研究了在资产价值差异、安全互补性与成本结构共同作用下的企业最优决策机制。研究发现：首先，安全投入成本的上升会显著抑制企业对两类资产的防护投入，且核心资产投入对成本变化的敏感度更高，这反映了高价值防护措施在预算紧缩时面临的更大压力。其次，损失比率对企业安全决策具有差异化影响，非核心资产价值的提升会直接激励其自身防护投入，同时通过互补效应间接促进核心资产投入。最重要的是，损失比率对企业最终收益的影响存在临界阈值，揭示了非核心资产在特定条件下的战略价值。

在管理实践方面，本研究为企业信息安全治理提供了重要启示。企业应当高度重视安全投入的成本效率，通过推进安全自动化、采用云安全服务等举措有效降低安全努力的成本系数。同时需要建立动态的资产价值评估体系，充分认识非核心资产的潜在价值，避免因过度偏重核心资产而造成安全短板。此外，资源分配决策应综合考虑资产价值差异、技术关联性和成本结构特征，制定更加精细化的安全投资策略。

本研究仍存在一些局限性。本文采用了资产的二元分类方法，而实践中企业往往需要管理更复杂的资产层级结构，不同层级的资产可能面临不同的成本函数。未来的研究可以考虑引入更细粒度的资产分类标准，探讨不同层级资产间的防护关联性和成本优化问题。此外，模型主要聚焦企业内生决策，后续研究可引入外部监管因素或竞争环境，分析多主体互动下的策略均衡。随着零信任架构、安全即服务等新兴模式的发展，安全互补性的内涵与成本结构的影响机制也将不断丰富，这为后续研究提供了富有前景的方向。

NOTES

^*通讯作者。

¹全国人民代表大会常务委员会(2021). 《中华人民共和国数据安全法》。

²European Union. General Data Protection Regulation (GDPR) S. Regulation (EU) 2016/679.