Social engineering attacks in the light of security economics

Sikkerhetsøkonomi er et tverrfaglig forskningsfelt som kombinerer økonomi og sikkerhet for å beskrive mangler ved informasjonssikkerhet fra et økonomisk synspunkt. Forskningsfeltet gir en bedre forståelse av hvorfor sikkerhetsbrudd fortsatt oppstår til tross for robuste tekniske tiltak, og sikkerhetsøkonomi gir et økonomisk rammeverk for å analysere cybersikkerhet. Sosial manipulasjon er kunsten å bruke manipulasjon og psykologisk overtalelse for å få folk til å kompromittere informasjonssystemer. Denne oppgaven ser på sosial manipulasjon fra en sikkerhetsøkonomisk kontekst, hvor de sikkerhetsøkonomiske konseptene som brukes hovedsakelig er eksternaliteter, feiljusterte insentiver og asymmetrisk informasjon. Disse konseptene brukes til å diskutere angrep som phishing, spoofing og Business Email Compromise (BEC). Denne oppgaven bruker en kvalitativ tilnærming basert på dybdeintervjuer for å innhente informasjon. Fem sikkerhetseksperter og fire ofre for sosiale manipulasjonsangrep er intervjuet. De innsamlede empiriske dataene brukes til å bidra til forståelsen av hvordan man håndterer sosiale manipulasjonsangrep, utfordre etablerte idéer som mennesket er det svakeste leddet, gi forklaringer på hvorfor tiltak mot sosial manipulasjon mislykkes i praksis, og utvide teorien om sikkerhetsøkonomi. Funnene avdekker nye perspektiver som vi argumenterer for at bør inkluderes i sikkerhetsøkonomi som fagfelt, hovedsakelig begrepene tillit, skam, åpenhet og kultur. Basert på empiriske data gir vi dessuten anbefalinger for å redusere antallet vellykkede angrep der sosial manipulasjon brukes. Disse anbefalingene inkluderer blant annet holdningsendringer i hvordan vi ser på ofre for sosial manipulasjon og mennesker i sikkerhetskjeden, forslag til retningslinjer og et nytt konsept som vi foreslår, kalt Security