Phân biệt hai vấn đề chính trong thị trường an ninh thông tin: agency problem (lỗi nội bộ tổ chức) và externalities (tác động lan truyền giữa các tổ chức).

• Cho rằng phần lớn vi phạm dữ liệu là agency problem, nhưng hệ thống pháp lý lại không đủ mạnh để xử lý do các tòa án thường từ chối Article III standing.
• - Phân tích 761 thông báo vi phạm dữ liệu tại California (2012–2016) và các vụ kiện liên quan đến năm 2018.
• - Tỷ lệ kiện tụng chỉ 7.8%, chủ yếu là các vụ kiện tập thể của người tiêu dùng hoặc nhân viên.
• - Các tòa án ở các khu vực khác nhau có xu hướng khác nhau về việc công nhận standing, ảnh hưởng đến khả năng khởi kiện và tỷ lệ thắng kiện.
• - Các vụ vi phạm lớn như Yahoo, Equifax, Facebook cho thấy hệ thống công không đủ mạnh để xử lý các externalities nghiêm trọng.
• - Đề xuất: tăng cường khả năng khởi kiện của cá nhân (standing), và thiết kế quy định công nhắm đúng vào các điểm yếu trong chuỗi bảo mật liên tổ chức (như các nhà xử lý thẻ thanh toán, nền tảng dữ liệu lớn).
• - Phân tích chi tiết các vụ kiện, các hành động của FTC và các cơ quan nhà nước, cho thấy sự thiếu hiệu quả và định hướng sai trong thực thi công.