随着信息系统在各类企业中的使用日趋广泛和深入,信息系统安全问题成为信息系统研究人员和实践人员共同关注的重要问题。从2013年爆发的美国“棱镜门”事件到2014年发生的马来西亚MH370航班失联折射出的机场安检漏洞问题,无一不反映了目前世界范围内信息系统安全问题的严峻性以及信息系统安全防御的迫切性。信息系统安全是指在既定的密级条件下,网络与信息系统抵御意外事件或恶意行为的能力。在信息系统安全防御过程中,企业通常选择各种安全技术对相应的信息系统安全威胁加以防范,形成信息系统安全技术策略。企业信息系统安全技术策略涉及安全资源投入与分配、安全技术选择与运用、安全效益分析等诸多方面,不仅是一个技术问题,也是一个管理问题。目前学术界从管理视角有关企业信息系统安全技术选择与配置等问题的研究还存在明显不足。本文在对国内外相关研究进行归纳分析,对相关理论进行概述的基础上,运用博弈论、优化理论、决策理论与仿真方法等从五个方面对信息系统安全技术选择与配置优化策略进行了深入研究。首先,研究了企业信息系统安全技术类型与数量的优化选择策略。利用博弈论将安全技术类型选择与信息系统安全威胁类型相联系,将威胁类型设为模型参数之一,构建攻击防御博弈模型,模型分析表明,安全技术类型选择及其选择概率决定于威胁发生概率和该安全技术处理各种威胁的效率；信息系统安全资源最优分配比例取决于威胁发生概率和安全技术选择概率。同时,利用博弈论将安全技术数量的选择同信息系统安全技术的功能与特性相联系,针对入侵检测系统与人工调查技术组合,构建企业与入侵者博弈模型,研究发现,部署多个入侵检测系统,一是可以提高入侵检测率,降低企业人工调查概率；二是人工调查概率在警报情形下的降低幅度由大趋小,非警报情形下反之；三是部署多个入侵检测系统时的期望收益并不总是高于部署单个入侵检测系统。其次,分别研究了考虑脆弱性水平和安全等级的企业信息系统安全技术配置优化策略。首先,研究考虑脆弱性水平的企业信息系统安全技术配置优化策略,针对入侵检测系统与脆弱性管理技术组合,构建了企业和入侵者博弈模型,研究显示,当企业信息系统脆弱性水平较低时,人工调查策略为对入侵检测系统警报事件进行部分调查,对非警报事件均不调查；当脆弱性水平较高时,调查策略为对所有警报事件调查,对部分非警报事件调查；还有,入侵者选择入侵的概率并不总是随着脆弱性水平的提高而提高。其次,研究考虑信息系统安全等级的企业信息系统安全技术配置优化策略,以防火墙和入侵检测系统组合为例,构建企业与入侵者博弈模型,并将未考虑安全等级与考虑安全等级时的技术配置策略相比较,研究认为,一是无论入侵检测系统检测率配置高低,企业信息系统安全等级越高,遭遇入侵的概率越小；二是企业信息系统安全等级对其人工调查概率无直接影响；三是未考虑安全等级时的均衡策略只是考虑安全等级时的一个边界,且这个边界特例在现实中通常无法或无需达到。接着,研究了考虑风险偏好的企业信息系统安全技术选择与配置优化策略。分别针对入侵检测系统和蜜罐技术组合、入侵检测系统和人工调查技术组合构建博弈模型,模型分析发现,风险偏好对不同信息系统安全技术组合及其配置既具有相同影响也具有不同影响。相同影响为企业在入侵者期望收益很低时对风险厌恶型入侵者的人工调查率高,在入侵者期望收益很高时其对风险中立型入侵者的调查率高,入侵者在企业人工调查成本较低时更倾向于入侵风险中立型企业,在人工调查成本很高时更愿意入侵风险厌恶型企业。这样,企业应加强对自身风险偏好的隐藏和对入侵者风险偏好的甄别。不同影响则因安全技术组合类型不同而异,如风险厌恶型企业配置蜜罐的数量并不总是高于风险中立型企业,企业选择多入侵检测系统或单入侵检测系统与人工调查技术相组合时并不受其风险偏好的直接影响。随后,研究了企业信息系统安全技术策略实施优化问题。企业信息系统安全技术策略实施不仅可以考虑自主防御还可以考虑外包,两者之间存在选择边界。假定企业选择信息系统安全技术外包和选择自主防御时所达到的安全水平是一致的,从而可对两种方式下的期望收益展开比较,构建了博弈模型和数学优化模型,研究认为,企业外包信息系统安全技术的成本之和总是高于其自主防御时各种安全技术成本之和；企业外包各种信息系统安全技术的成本之和与其自主防御时各种技术成本之和的差值在临界值及以下,企业可选择外包。最后,论文研究分析了与模型分析密切相关的三个案例,以体现理论研究结论的实际应用价值。