研究表明：數(shù)據(jù)泄露財務影響持續(xù)數(shù)年 損失最高可占企業(yè)年收入5%

2019 年8月8日，北京——IBM (NYSE: IBM)IBM 安全事業(yè)部日前公布了一項年度調(diào)研結(jié)果，揭示了數(shù)據(jù)泄露對企業(yè)財務產(chǎn)生的影響。報告表明，過去 5 年數(shù)據(jù)泄露成本上升了 12%，目前數(shù)據(jù)泄露的平均成本已達到 392 萬美元。這些不斷增長的數(shù)字進一步說明數(shù)據(jù)泄露、不斷增加的法規(guī)以及抵御罪犯攻擊的復雜流程，將會對企業(yè)造成持續(xù)數(shù)年的財務影響。

數(shù)據(jù)泄露對中小型企業(yè)的財務影響尤為嚴重。調(diào)研表明，員工人數(shù)少于 500 的企業(yè)，數(shù)據(jù)泄露的平均成本超過 250 萬美元，這對于年收入通常不超過 5,000 萬美元的小型企業(yè)而言無疑是沉重的損失。

今年的調(diào)研第一次對數(shù)據(jù)泄露造成財務影響的長尾效應進行了研究，結(jié)果表明，數(shù)據(jù)泄露的影響持續(xù)數(shù)年。數(shù)據(jù)泄露成本平均有 67% 出現(xiàn)在事發(fā)后的第一年，但仍有 22% 出現(xiàn)在第二年，另有 11% 在兩年后才會顯現(xiàn)出來。對于醫(yī)療保健、金融服務、能源和醫(yī)藥等受到嚴格監(jiān)管的組織機構(gòu)而言，第二年和第三年的長尾成本損失相對會更高。

“網(wǎng)絡(luò)犯罪分子通過網(wǎng)絡(luò)犯罪行為獲得巨額非法收入，但不幸的是，這同時意味著企業(yè)會蒙受巨大損失。”IBM X-Force 事件響應和情報服務全球主管Wendi Whitmore表示，“僅在過去 3 年，便出現(xiàn)了超過 117 億條企業(yè)數(shù)據(jù)數(shù)據(jù)丟失或被盜的記錄。因此，這些企業(yè)必須認識到數(shù)據(jù)泄露對其財務情況造成的所有影響，并積極關(guān)注如何降低這些成本和損失。”

本次“數(shù)據(jù)泄露成本報告”年度調(diào)研由 IBM 安全事業(yè)部和Ponemon Institute 聯(lián)合開展，對過去一年中全球范圍內(nèi)遭遇過數(shù)據(jù)泄露事件的 500 多家企業(yè)進行了深入訪談和研究，從而得出結(jié)論。該分析考慮了數(shù)百種成本因素，包括法律、合規(guī)、技術(shù)活動以及數(shù)據(jù)泄露帶來的品牌資產(chǎn)、客戶和員工生產(chǎn)力損失等。本次調(diào)研的主要結(jié)論包括：

·惡意數(shù)據(jù)泄露——代價最高且最常見的數(shù)據(jù)泄露事件：超過 50% 的數(shù)據(jù)泄露源于惡意網(wǎng)絡(luò)攻擊，給企業(yè)帶來的平均損失比意外事件引起的數(shù)據(jù)泄露高出 100 萬美元。

·“巨大規(guī)模的數(shù)據(jù)泄露”帶來巨額損失：此類數(shù)據(jù)泄露相對較少，一旦發(fā)生則會為企業(yè)帶來巨大損失。超過 100 萬條記錄的泄露預計會給企業(yè)帶來 4,200 萬美元的損失;而超過 5,000 萬條記錄的泄露預計會帶來 3.88 億美元的巨額損失。

·應急響應，有備無患：擁有事件響應團隊并對事件響應計劃進行了全面測試的企業(yè)，平均數(shù)據(jù)泄露成本要比二者皆無的企業(yè)少 123 萬美元。

·美國的數(shù)據(jù)泄露成本是全球平均水平的兩倍：美國的數(shù)據(jù)泄露平均成本為 819 萬美元，高出全球平均水平兩倍之多。

·醫(yī)療健康行業(yè)的數(shù)據(jù)泄露成本最高：醫(yī)療保健組織連續(xù)第 9 年“榮登”數(shù)據(jù)泄露成本排行榜榜首，平均達到 650 萬美元(比調(diào)研中的其他行業(yè)高出 60%)。

惡意網(wǎng)絡(luò)攻擊最常見 損失最慘重

本次調(diào)研發(fā)現(xiàn)，源自惡意網(wǎng)絡(luò)攻擊的數(shù)據(jù)泄露不僅是引發(fā)數(shù)據(jù)泄露事件最常見的根本原因，所造成的代價也最慘重。惡意數(shù)據(jù)泄露平均給調(diào)研中的受訪企業(yè)帶來 445 萬美元的損失，比系統(tǒng)故障和人為錯誤等意外原因?qū)е碌臄?shù)據(jù)泄露高出 100 多萬美元。這些數(shù)據(jù)泄露事件帶來的威脅日益嚴重，在過去六年的調(diào)研期間，報告中因惡意或犯罪攻擊而引發(fā)的數(shù)據(jù)泄露事件的百分比已從 42% 上升至 51%(同比增長 21%)。

此外，調(diào)研結(jié)果顯示，人為錯誤和系統(tǒng)故障導致的數(shù)據(jù)泄露事件仍占事件總量的近一半(49%)，分別給企業(yè)造成了平均 350 萬美元和 324 萬美元的損失。從人為和機器錯誤導致的數(shù)據(jù)泄露事件中可總結(jié)出改進方法，從而降低其發(fā)生的次數(shù)。比如對員工開展安全意識培訓，進行技術(shù)投資，以及測試服務以盡早發(fā)現(xiàn)意外泄露事件端倪，從而進行有效預防或阻斷。IBM X-Force 威脅情報指數(shù)顯示，云服務器配置不當是特別值得關(guān)注的數(shù)據(jù)泄露原因之一，這一原因在 2018 年曾導致 9.9 億條記錄被曝光，占全年記錄數(shù)據(jù)丟失總數(shù)的 43%。

提高響應能力降低數(shù)據(jù)泄露成本

過去 14 年，Ponemon Institute 一直在對導致數(shù)據(jù)泄露成本增加或減少的多項因素進行深入研究。研究表明，企業(yè)應對數(shù)據(jù)泄露事件的響應速度和效率將對總體成本產(chǎn)生重大影響。

今年的調(diào)研顯示，數(shù)據(jù)泄露的平均生命周期為 279 天，即在事件發(fā)生后企業(yè)平均需要 206 天才能發(fā)現(xiàn)，另需 73 天才能控制住事件發(fā)展態(tài)勢?？稍?00天內(nèi)發(fā)現(xiàn)并有效控制數(shù)據(jù)泄露事件的調(diào)研受訪企業(yè)，其數(shù)據(jù)泄露事件的總體成本可減少 120 萬美元。

此外，關(guān)注于響應能力可幫助企業(yè)加快響應速度。建立完善的事件響應團隊以及對事件響應計劃開展全面測試是節(jié)省成本的兩項重要舉措。采用這兩項措施的企業(yè)，其數(shù)據(jù)泄露事件的總體平均成本要比二者皆無的企業(yè)少 123 萬美元(前者為 351 萬美元，后者為 474 萬美元)。

影響受訪企業(yè)數(shù)據(jù)泄露成本的其他因素包括：

·遭泄露的記錄數(shù)量：每條丟失或被盜的記錄會給企業(yè)帶來約 150 美元的數(shù)據(jù)泄露成本。

·全面部署了安全自動化技術(shù)的企業(yè)，其數(shù)據(jù)泄露成本(平均為 265 萬美元)大約是未部署此項技術(shù)的企業(yè)的一半(平均為 516 萬美元)。

·廣泛使用加密技術(shù)也是節(jié)省成本的最重要渠道之一，可使數(shù)據(jù)泄露的總體成本降低 36 萬美元。

·包括合作伙伴或供應商在內(nèi)的第三方導致的數(shù)據(jù)泄露給企業(yè)造成的損失平均多出 37 萬美元，因此企業(yè)對合作單位開展嚴格的安全審查、調(diào)整安全標準以及積極監(jiān)控第三方訪問權(quán)限也非常重要。

美國數(shù)據(jù)泄露成本更高

本次調(diào)研還研究了不同行業(yè)和地區(qū)的數(shù)據(jù)泄露成本的差別，發(fā)現(xiàn)美國的數(shù)據(jù)泄露成本更高，平均可達 819 萬美元，是調(diào)研中全球受訪企業(yè)平均水平的兩倍多。在過去 14 年的調(diào)研中，美國的數(shù)據(jù)泄露成本增長了 130%，其2006 年的調(diào)研結(jié)果為 354 萬美元。

中東地區(qū)的受訪企業(yè)指出，他們每次事件泄露的記錄平均數(shù)量最多近 4 萬條(全球平均值約為 2.55 萬條)。此外，醫(yī)療保健組織已經(jīng)連續(xù)第 9 年蟬聯(lián)數(shù)據(jù)泄露損失排行榜冠軍，平均成本接近 650 萬美元，高出其他行業(yè)總體平均的60%。

【關(guān)于 IBM 安全事業(yè)部】

IBM 安全事業(yè)部提供最先進的集成式企業(yè)級安全產(chǎn)品與服務組合。這些產(chǎn)品與服務組合以世界知名的 IBM X-Force®研究成果為堅實后盾，幫助企業(yè)有效管控風險，抵御新興威脅。作為世界上涉及面最廣的安全研發(fā)與交付組織，IBM 安全事業(yè)部每天在 130 多個國家/地區(qū)監(jiān)控 700 億次安全事件，已在全球范圍內(nèi)獲得了超過 1 萬項安全專利。在 Twitter 上關(guān)注 ?@IBMSecurity?或閱讀IBM Security Intelligence?博客。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。