近日，IBM Security發(fā)布了一項年度全球研究結(jié)果。該研究發(fā)現(xiàn)，每單個數(shù)據(jù)泄露事件令受訪公司所承擔(dān)的平均成本高達(dá)424萬美元，創(chuàng)該報告發(fā)布17年以來的最高紀(jì)錄。該報告對500多家組織所經(jīng)歷的真實數(shù)據(jù)泄露事件進(jìn)行了深入分析，研究顯示，由于組織在新冠病毒疫情期間的運營方式發(fā)生了重大轉(zhuǎn)變，因此安全事件給組織造成了更大的損失(較去年增加了 10%)，也更加難以遏制。

[[414655]]

去年，面對新冠病毒疫情危機(jī)，各行各業(yè)都被迫快速適應(yīng)新的技術(shù)方法，許多公司鼓勵或要求員工在家辦公，60%的組織進(jìn)一步轉(zhuǎn)向云端開展各項業(yè)務(wù)。[1]此次研究的新發(fā)現(xiàn)顯示，組織的安全性可能已經(jīng)跟不上這些迅速出現(xiàn)的IT變革，從而削弱了組織應(yīng)對數(shù)據(jù)泄露的能力。

這項由Ponemon Institute操刀、由IBM Security贊助和分析的年度數(shù)據(jù)泄露成本報告，揭示受訪組織出現(xiàn)了以下幾個趨勢：

• 遠(yuǎn)程辦公造成的影響：組織在新冠肺炎肆虐期間迅速轉(zhuǎn)向遠(yuǎn)程辦公，導(dǎo)致數(shù)據(jù)泄露的成本增加。與未采用遠(yuǎn)程辦公的組織相比，采用遠(yuǎn)程辦公的組織的數(shù)據(jù)泄露成本平均高出100萬美元(分別為496萬美元和389萬美元)[2]。
• 醫(yī)療數(shù)據(jù)泄露的成本飆升：對于那些在新冠病毒疫情肆虐期間面臨運營方式巨變的行業(yè)(醫(yī)療、零售、酒店和消費品生產(chǎn)/分銷)，數(shù)據(jù)泄露成本與去年同期相比大幅增加。迄今為止，醫(yī)療行業(yè)的數(shù)據(jù)泄露成本最高，每次泄露事件的成本高達(dá)923萬美元，較去年增加了200萬美元。
• 證書被盜導(dǎo)致數(shù)據(jù)泄露：研究顯示，用戶證書被盜是最常見的數(shù)據(jù)泄露根本原因。與此同時，客戶個人數(shù)據(jù)(如姓名、電子郵件、密碼)是數(shù)據(jù)泄露事件中最常見的被泄露的信息—— 44%的泄露事件涉及此類數(shù)據(jù)。這些因素的疊加會導(dǎo)致螺旋效應(yīng)，因為用戶名/密碼的泄露為攻擊者提供了未來發(fā)動更多數(shù)據(jù)盜竊的籌碼。
• 現(xiàn)代化的方法可降低成本：采用人工智能、安全分析和加密是降低數(shù)據(jù)泄露成本的三大緩解因素。與沒有廣泛采用這些工具的企業(yè)相比，使用這些工具的企業(yè)可節(jié)省125萬至149萬美元。在此次研究所涉及的云數(shù)據(jù)泄露事件當(dāng)中，實施混合云方法的組織其數(shù)據(jù)泄露成本(361萬美元)低于主要采用公有云的組織(480萬美元)或主要采用私有云的組織(455萬美元)。

IBM Security副總裁兼總經(jīng)理Chris McCurdy 表示：“在新冠病毒疫情期間，企業(yè)經(jīng)歷了技術(shù)上的迅速轉(zhuǎn)變，隨之而來的數(shù)據(jù)泄露成本增加是企業(yè)不得不承擔(dān)的又一項額外支出。盡管數(shù)據(jù)泄露成本在去年創(chuàng)下了歷史新高，但這份報告同時也顯示，采用現(xiàn)代化的安全策略(例如：人工智能、自動化和采用零信任方法)會產(chǎn)生積極影響，有望降低此類數(shù)據(jù)泄露事件的成本。”

遠(yuǎn)程辦公與上云對數(shù)據(jù)泄露的影響

隨著整個社會在新冠病毒疫情期間更加依賴數(shù)字交互，企業(yè)在不斷適應(yīng)網(wǎng)絡(luò)世界的過程中也逐漸接受了遠(yuǎn)程辦公和云環(huán)境。報告發(fā)現(xiàn)，這些因素對數(shù)據(jù)泄露響應(yīng)產(chǎn)生了重大影響。接受調(diào)查的組織之中有近20%表示，遠(yuǎn)程辦公是導(dǎo)致數(shù)據(jù)泄露的一個因素，而此類數(shù)據(jù)泄露則給公司造成高達(dá)496萬美元的損失(比平均水平高出近15%)。

在云遷移項目期間遭遇數(shù)據(jù)泄露事件的企業(yè)所承擔(dān)的成本比平均水平高出18.8%。然而，該研究還發(fā)現(xiàn)，那些在整體云現(xiàn)代化戰(zhàn)略中走得更遠(yuǎn)的企業(yè)(進(jìn)入“成熟”階段)能夠?qū)?shù)據(jù)泄露事件做出更有效的檢測和響應(yīng)，比處于“早期“階段的企業(yè)平均快77天。此外，在此次研究涉及的云數(shù)據(jù)泄露事件當(dāng)中，實施混合云方法的組織其數(shù)據(jù)泄露成本(361萬美元)低于主要采用公有云的組織(480萬美元)或主要采用私有云的組織(455萬美元)。

證書泄露的風(fēng)險呈上升趨勢

該報告還揭示了一個日益嚴(yán)重的問題——即消費者數(shù)據(jù)(包括證書)在數(shù)據(jù)泄露事件中被盜，之后可被用于進(jìn)一步發(fā)動攻擊。82%的受訪個人承認(rèn)，他們在多個賬戶中重復(fù)使用相同密碼，因此，證書被盜既是數(shù)據(jù)泄露的主要原因，也是數(shù)據(jù)泄露的結(jié)果，這導(dǎo)致企業(yè)同時面臨多重風(fēng)險。

• 個人數(shù)據(jù)暴露：在調(diào)查中，近一半 (44%) 的泄露事件都分析了暴露在外的客戶個人數(shù)據(jù)，例如姓名、電子郵箱、密碼，甚至是醫(yī)療數(shù)據(jù)，這些都是報告中最常見的泄露記錄類型。
• 客戶個人身份信息(PII)泄露造成的損失最大：與其他類型的數(shù)據(jù)相比，客戶個人身份信息泄露造成的損失最大——每條個人身份信息丟失或被盜造成的損失高達(dá)180美元，相較于總體每條信息被盜造成的平均損失為161美元。
• 最常見的攻擊方法：利用泄露的用戶證書是攻擊者最常用的切入點，本次研究涉及的所有漏洞事件中有20%，攻擊者都是用這種方法來發(fā)動攻擊。
• 需要更長時間才能發(fā)現(xiàn)并遏制數(shù)據(jù)泄露：發(fā)現(xiàn)因用戶憑證被盜而導(dǎo)致的數(shù)據(jù)泄露所需的時間最長——平均需要250天才能發(fā)現(xiàn)，相較于所有數(shù)據(jù)泄露類型的平均發(fā)現(xiàn)時間為212天。

現(xiàn)代化企業(yè)的數(shù)據(jù)泄露成本較低

雖然企業(yè)在新冠病毒疫情期間進(jìn)行的 IT 轉(zhuǎn)型導(dǎo)致數(shù)據(jù)泄露成本增加，但是，那些沒有為了實現(xiàn)經(jīng)營現(xiàn)代化而實施任何數(shù)字化轉(zhuǎn)型項目的組織遭受的損失更大。那些沒有因為新冠病毒疫情而進(jìn)行任何數(shù)字化轉(zhuǎn)型的組織，因每次數(shù)據(jù)泄露事件而承擔(dān)的成本比平均水平高75萬美元(比平均水平高16.6%)。

研究表明，采用零信任安全方法的企業(yè)能夠更好地應(yīng)對數(shù)據(jù)泄露事件。零信任方法是假設(shè)用戶身份或網(wǎng)絡(luò)本身可能已經(jīng)受到攻擊，在此前提下依靠人工智能和分析來持續(xù)驗證用戶、數(shù)據(jù)與資源之間的連接。擁有成熟的零信任策略的組織，其平均數(shù)據(jù)泄露成本為328萬美元，比未部署該方法的組織低176萬美元。

報告還顯示，與前幾年相比，更多企業(yè)正在部署安全自動化，從而節(jié)省了大量成本。大約65%的受訪企業(yè)表示，他們在企業(yè)安全環(huán)境中部分或全面部署了自動化，而兩年前這一比例僅為52%。那些已“全面部署”安全自動化策略的組織因每次數(shù)據(jù)泄露而承擔(dān)的平均成本為290萬美元，而那些未部署自動化的組織的平均成本要高出一倍多，達(dá)到671萬美元。

此外，對事件響應(yīng)團(tuán)隊和計劃的投資降低了受訪企業(yè)的數(shù)據(jù)泄露成本。設(shè)有事件響應(yīng)團(tuán)隊并對事件響應(yīng)計劃進(jìn)行測試的企業(yè)，其平均成本為325萬美元，而那些既沒有響應(yīng)團(tuán)隊，也未進(jìn)行測試的企業(yè)，其平均成本為571萬美元(相差54.9%)。

更多關(guān)于2021年報告的發(fā)現(xiàn)還包括：

• 響應(yīng)時間：發(fā)現(xiàn)并遏制數(shù)據(jù)泄露所需的平均時間為287天(發(fā)現(xiàn)所需的時間為212天，遏制所需的時間為75天)，比去年報告的時間長一周。
• 超大規(guī)模數(shù)據(jù)泄露：導(dǎo)致5000萬至6500萬條記錄泄露的超大規(guī)模數(shù)據(jù)泄露的平均成本為4.01億美元。[3]這比報告中研究的大多數(shù)數(shù)據(jù)泄露事件(泄露數(shù)量在1000-100000條之間)的成本高出近100倍。
• 按行業(yè)分析：醫(yī)療行業(yè)的數(shù)據(jù)泄露成本最高(923萬美元)，其次是金融行業(yè)(572萬美元)和制藥行業(yè)(504萬美元)。雖然零售、媒體、酒店和公共部門的總體成本較低，但較去年也有大幅增加。
• 按國家/地區(qū)分析：美國的數(shù)據(jù)泄露成本最高，每次事件的成本高達(dá)905萬美元，其次是中東(693萬美元)和加拿大(540萬美元)

研究方法及其它數(shù)據(jù)泄露統(tǒng)計數(shù)據(jù)

IBM Security和Ponemon Institute對全球500多個組織在2020年5月至2021年3月期間經(jīng)歷的涉及10萬條或以下記錄的真實數(shù)據(jù)泄露事件進(jìn)行了深入分析，在此基礎(chǔ)上發(fā)布了《2021年數(shù)據(jù)泄露成本報告》。本報告考慮了數(shù)據(jù)泄露事件涉及的數(shù)百個成本因素，包括法律、監(jiān)管和技術(shù)活動以及數(shù)據(jù)泄露帶來的品牌資產(chǎn)、客戶和員工生產(chǎn)力損失等等。

• IBM商業(yè)價值研究院：新冠病毒疫情與企業(yè)的未來
• 采用遠(yuǎn)程辦公的受訪者的平均成本為496萬美元，未采用遠(yuǎn)程辦公的組織的平均成本為389萬美元
• 《2021 年數(shù)據(jù)泄露成本報告》對涉及一百萬條及更多記錄丟失或被盜的特定樣本進(jìn)行了單獨分析，審視了超大規(guī)模數(shù)據(jù)泄露的成本?？傮w平均數(shù)據(jù)泄露報告計算未包含超大規(guī)模數(shù)據(jù)泄露樣本，僅包含數(shù)據(jù)泄露量在1000-100000條之間的數(shù)據(jù)泄露事件。