Software vulnerability disclosure and security investment - Université de Rennes Accéder directement au contenu
Communication Dans Un Congrès Année : 2019

Software vulnerability disclosure and security investment

L'impact de la divulgation d’une faille de sécurité : au-delà des motivations de l’éditeur de logiciel

Résumé

Around the debate on software vulnerability disclosure, existing works have mostly explored how disclosure gives an incentive to software vendors to better secure their software. The role of third parties such as business users, security firms or downstream software vendors is rarely taken account, while in fact these actors are increasingly involved in improving the security of a software. In this paper, we argue that vulnerability disclosure may act as a signal that revises the perceived security quality of the affected software and we examine how it affects the level of security effort exerted by different actors. Using data from 2009 to 2018 on a public vulnerability database, we show that after the disclosure of a critical vulnerability, the vulnerability research activity on the software that is subject to the disclosure significantly increases compared to the control group of unaffected software. In particular, vulnerability disclosure has a greater impact on actors who perceive the disclosure as an opportunity to find new security flaw and to financially benefit from it (such as the security firms and individual researchers) than on those who suffer the security risks (such as users and downstream vendors).
Autour du débat sur l’impact de la divulgation d’information sur les vulnérabilités des systèmes, les travaux existants ont essentiellement exploré comment la divulgation incite les éditeurs de logiciel à mieux sécuriser leur logiciel. Le rôle des acteurs autre que l’éditeur de logiciel est rarement pris en compte, alors que ceux-ci sont de plus en plus impliqués dans le processus de sécurisation des logiciels. Dans cet article, nous examinons comment la divulgation publique d'une vulnérabilité critique sur un logiciel affecte le comportement de différents acteurs à fournir un effort pour améliorer sa sécurité. A travers l'analyse de données de panel sur 3 cas de divulgation de faille de sécurité particulièrement critique, nous montrons que les acteurs autres que l'éditeur de logiciel - les chercheurs individuels, les firmes de sécurité, les organismes publiques - contribuent de manière significative à améliorer la sécurité du logiciel et sont davantage impactés par la divulgation. Par ailleurs, Nos résultats suggèrent que la divulgation publique de failles critiques affecte davantage les tierces parties qui considère ce « choc médiatique » comme une opportunité à trouver une nouvelle faille et à en tirer profit plutôt que les utilisateurs qui la perçoivent comme une externalité négative.
Fichier principal
Vignette du fichier
Paper_DisclosureAndSecurity.pdf (1.6 Mo) Télécharger le fichier
Origine : Fichiers produits par l'(les) auteur(s)

Dates et versions

hal-03033198 , version 1 (01-12-2020)

Identifiants

  • HAL Id : hal-03033198 , version 1

Citer

Arrah-Marie Jo. Software vulnerability disclosure and security investment. Workshop on the Economics of Information Security (WEIS 2019), Boston College; Harvard University, Jun 2019, Boston, MA, United States. ⟨hal-03033198⟩
310 Consultations
171 Téléchargements

Partager

Gmail Facebook X LinkedIn More