根據IBM發布的第19期年度數據泄露成本研究報告，相較于前一周期，全球企業因數據泄露所承受的成本平均上漲了10%，達到488萬美元。此份報告的時間范圍是從2023年3月到2024年2月。
這一數字相較于2018年的386萬美元增長了26.4%，與2014年相比更是上升了39.4%。
“這份報告凸顯了我自2023年下半年以來一直關注的問題，當時我們看到組織削減了安全團隊和預算。”Beauceron Security公司的首席執行官兼聯合創始人David Shipley說道：“這種做法如同任由網絡犯罪的野火蔓延，同時卻削減了預防和應對火災的措施，其影響結果顯而易見?！?/span>
在對604家組織的研究中，有70%的組織遭遇了由于數據泄漏引起的極其嚴重的業務中斷。
在過去的14年中，美國一直處于數據泄露成本領先的位置（盡管這種地位并不是什么好事）。美國的平均數據泄露成本為936萬美元，盡管這一數字從2023年的948萬美元略有下降，但每次數據泄漏的成本仍然比世界其他地區高出五十多萬美元。在全球接受調查的16個國家和地區中，中東地區的沙特阿拉伯和阿拉伯聯合酋長國以875萬美元排名第二，這一數字高于2023年的807萬美元。值得注意的是，不同國家或地區在接受調查的組織數量上可能存在顯著差異，例如在中東地區有39名受訪者，而美國則有71名受訪者。
英國在成本榜單上位列第七，其成本為453萬美元。東盟國家包括新加坡、印度尼西亞、菲律賓、馬來西亞、泰國和越南，它們的平均成本為323萬美元，排名第十二。澳大利亞的單件成本稍低，為278萬美元，緊隨東盟之后。印度的成本則為235萬美元，居于第十五位。
連續二年，巴西以每起數據泄露成本136萬美元（盡管比2023年的122萬美元上升了11.5%）奪得了數據泄露成本最低國家的桂冠。
報告指出，攻擊類型對經濟損失有顯著影響。破壞性攻擊中，惡意行為者刪除關鍵數據并對系統造成損害，其成本最高：每次數據泄漏造成的損失為568萬美元（2023年）。緊隨其后的是數據泄露和勒索軟件攻擊，分別導致每次數據泄漏的經濟損失達521萬和491萬美元，位列第二和第三位。
根據Info-Tech Research Group的首席網絡安全顧問Fritz Jean-Louis的說法，雙重勒索攻擊已成為影響數據泄露成本的重要因素。自2023年以來，他注意到勒索軟件攻擊中出現了雙重勒索的情況。在這種類型的攻擊中，攻擊者不僅加密了受害者的數據，還會在加密之前泄露這些數據。通過這種方式，他們能夠同時利用被加密的數據和泄露的信息來威脅組織支付更高的贖金。這種導致了更高的恢復成本以及更長的業務中斷時間。
該報告指出，專業安全人員的短缺與數據泄露成本的增加有著密切的聯系。預計到2024年，有53%的企業面臨人才技能缺口，而在2023年這一比例為42%。這些企業為此付出了高昂的代價：在2024年，這些公司的數據泄露成本總計達到了574萬美元，與2023年的相比增長了7.1%，同時比全球平均成本高出86萬美元。
盡管醫療保健行業仍然是數據泄露成本最高的行業，每起事件平均損失達到977萬美元，但這個數字已有所下降。與2023年相比，每起事件的成本降低了10.6%。在17個行業中，共有四個行業的這一數字在減少，這三個行業是研究（下降2.5%）、教育（下降4.3%）和公共部門（下降2%）。
在2023年至2024年間，公共部門、零售、教育和酒店行業相繼發生了多起數據泄漏事件。盡管這些組織面臨的挑戰在增加，尤其是零售業的數據泄露成本在2024年上升了17.5%，酒店行業的泄露成本也增加了13.7%。
有趣的是，2016年的數據表明，教育行業的數據泄漏成本僅次于醫療保健行業。
個人身份信息（PII）在數據泄漏中被竊取的數據占比最高，2024年達到了48%，較2023年的52%略有下降。員工個人信息在2023年是第二大受關注的數據類型，占比為40%，到了2024年則降至第三位，占比為37%，其位置被知識產權信息所取代。到2024年，知識產權信息的數據被盜比例上升至47%，而2023年這一比例為34%。
排在前五名的數據類型包括匿名客戶數據和企業其他數據，它們在2023年的排名分別是第四和第五。到了2024年，這兩者位置發生了互換。
2024年新增一種數據類型：影子數據。影子數據指的是存儲在未被管理的數據源中的信息，而35%的安全事件涉及此類數據。更糟糕的是，報告發現，與非影子數據相關的安全事件相比，影子數據的被盜導致每次事件的成本平均高出16%。
“在不同環境中存儲數據的策略極為常見，它們占所有泄露數據的40%。這些數據泄露也更難被識別和控制。與之形成對比的是，在單一環境中存儲的數據遭受破壞的頻率較低，無論是公共云、本地服務器還是私有云，其數據泄露的比例分別約為25%、20%和15%。
IBM安全副總裁Jennifer Kady補充道：“在AI時代，隨著影子數據的激增，其潛在風險也隨之上升。數據已成為構建新一代AI驅動應用與場景的關鍵基礎。從安全角度出發，對影子數據進行有效控制和增強可見性變得尤為重要。企業需迅速采用生成式人工智能技術的同時，確保安全和隱私保護要走在前面。”
數據泄露的根本原因是憑證被盜或泄露，這一問題突顯出對更強身份驗證機制的需求。其次，是過時的安全標準，包括網絡釣魚等攻擊手段。此外，云服務配置錯誤也是一個重要因素。
對于公司而言，令人遺憾的是，在2024年，多達45%的數據泄漏是由于IT故障或人為錯誤所導致。盡管惡意的內部攻擊可能只占整體的一小部分，但它們卻是成本最高的一種，其平均損失在2024年達到了499萬美元。
Kady說：“在過去幾年中，憑證失竊已成為主要的安全威脅之一，它不僅成本高昂，而且是一種周期性趨勢的表現。隨著數據泄露事件的不斷增加，越來越多的密碼和憑據在暗網上被公開，這使得攻擊者能夠更輕易地利用這些有效憑據進行登錄，而無需采取復雜的黑客手段。因此，更現代化的、基于身份的安全檢測與響應已成為安全團隊重點投資的關鍵領域。”
“我們常聽到的一個誤解是，眾多安全專家認為即使憑證或個人身份信息遭到盜竊，通過加密也能確保數據的安全。然而，隨著量子技術的高速發展，我們不能僅僅依賴傳統加密來保證數據的安全性。因此，為了在量子時代中更好的保護數據，公司現在對保護其敏感數據和個人身份信息的投資，在量子時代將帶來顯著的回報。”
在2023年和2024年的調查中，受訪者被問及了執法部門的參與對勒索軟件攻擊的影響。報告顯示，到2024年，有52%的勒索軟件受害者聯系了執法部門。在這些聯系執法部門的人群中，63%的人選擇了不支付贖金。與那些未聯系執法部門的人員相比，這些人總共節省了近100萬美元（除去贖金支付），他們的數據泄露成本在2023年為464萬美元，而在2024年下降至438萬美元。同時，在缺乏執法部門參與的情況下，平均數據泄露成本從2023年的511萬美元增加到2024年的537萬美元。
執法部門的介入還有效地提高了對勒索軟件攻擊事件的識別與控制效率，將應對這類事件所需的時間由原先的297天縮減至281天。
根據報告顯示，到2024年，采用安全AI與自動化工具的企業在遭遇每次信息泄露后可節約成本約222萬美元，相較而言，這一數字在2023年為176萬美元。
“在本報告開始發布以來的大部分時間內，盡管數據泄露造成的損失在持續增加，但我們注意到對關鍵安全技術和方法的應用及投資有了顯著改善?！盞ady補充說：“越來越多的組織正在采用基于人工智能和自動化的安全措施，這些措施的核心目標是提高響應速度——這是減少數據泄露成本的關鍵因素之一。此外，除了技術上的投入外，更多的企業正致力于完善事件響應流程，他們不僅通過技術手段，還借助更為正式的劇本指導整個企業在應對安全威脅時的角色和行動。”
不斷變化的安全環境意味著公司需要修改其戰略。Kady 說：“與 10 年前相比，安全專業人員負責保護的當今 IT 環境規模呈指數級增長，復雜程度也呈指數級增長，員工使用新應用程序和云資源的輕松程度和速度前所未有。“報告的調查結果強調了這些問題的嚴重性，其中40%的數據泄露涉及跨多個環境存儲的數據，35%涉及到影子數據。”
根據Shipley的觀點，為了有效應對有組織的網絡犯罪，組織內部以及國家層面的持續網絡安全投資是至關重要的。“應當注重對人員、流程、文化和技術的投資，以提高組織的安全防護水平。同時，應避免過度炒作人工智能工具，轉而重視基礎知識的建設，包括身份、資產管理和安全文化。”
* 本文為陳發明編譯，原文地址：https://www.csoonline.com/article/3479321/the-cost-of-a-data-breach-continues-to-escalate.html
浙公網安備 33010502006954號 
