伴随着信息安全市场的快速发展,企业进行信息安全防护的选择越来越多。传统意义上来说,企业可以选择将信息安全外包给一个安全托管服务(MSSP),或者企业自身进行投资建设来加强信息安全的防护工作。现阶段已有的关于外包信息安全经济学上的研究认为企业选择完全外包信息安全是由于安全托管服务商的成本优势,但却忽略了外包过程中所存在的一个风险——信息泄露。当企业选择外包时,安全托管服务商将有机会接触到企业的信息资产。因此,企业无论是选择完全外包还是部分外包,都会伴随着信息资产被泄露的可能。在本文提出的模型中,除了讨论已有的两种可供选择的两种策略:在企业投资自建和完全外包这两种已有研究中涉及到的安全管理策略,还提出了一种部分外包的策略。这种部分外包策略将企业的信息资产分成两类,一种选择是外包关键资产,一种选择是企业外包非关键资产。通过对比分析,本文得出了在获得最优效用的前提下,企业分别选择以上三种安全管理策略的条件。研究发现,即使安全服务托管服务商能够提供更诱人的成本优势,当企业所处的环境具有较高的信息泄露风险时,并不推荐企业选择外包策略(无论是完全外包还是部分外包)。此外,随着企业自身关键资产占所有资产的比例的提高,企业会逐渐由完全外包过渡到部分外包,并最终选择由企业自己来投资发展信息安全。最后,研究表明当企业选择部分外包策略时,只外包关键资产将是一个严格劣势策略。相反,只外包非关键资产对于企业来说是一个可供选择的部分外包策略。