<
>

2020年新闻稿

2020年7月29日

IBM在新报告中宣布过去一年中最昂贵的数据泄露

IBM Security宣布了一项全球研究的结果,该数据研究了数据泄露对财务的影响,揭示了这些事件平均使公司每次泄露造成386万美元的损失,而员工账户受损是最昂贵的根本原因。根据对全球500多家组织经历的数据泄露事件的深入分析,其中80%的事件导致了客户的个人身份信息(PII)暴露。在这些违规行为暴露的所有数据中,客户PII对企业而言是最昂贵的。
 
该报告阐明了如果企业越来越多地通过新的远程工作和基于云的业务操作来访问敏感数据,则如果这些数据被泄露,组织可能遭受的财务损失。单独的IBM 研究 研究发现,尽管与这种转变相关的风险模型发生了变化,但仍有超过一半的大流行新员工在家中上班,而他们并未获得有关如何处理客户PII的新准则。
 
The 2020年数据泄露报告的成本由IBM Security赞助并由Ponemon Institute进行,是基于对过去一年中遭受数据泄露的组织中的3200多名安全专业人员的深入采访而得出的。[1] 今年报告的一些主要发现包括:

  • 智能技术将违反成本降低了一半: 与未部署这些工具的公司相比,已完全部署了安全自动化技术(利用AI,分析和自动化编排来识别和响应安全事件的公司)经历的数据泄露成本少于未部署这些工具的公司的一半(245万美元与6.03美元)。百万。

  • 为凭证受损支付溢价:在攻击者通过使用被盗或被破坏的凭据访问公司网络的事件中,企业看到的数据泄露成本比全球平均水平高近100万美元-每次数据泄露达到477万美元。利用第三方漏洞是该组第二个最昂贵的恶意破坏根本原因(450万美元)。   

  • 巨型突破[2] 成本飙升百万:违反了5000万条记录的违规行为,使成本从去年的3.88亿美元跃升至3.92亿美元。泄露40到5000万条记录的违规行为平均使公司蒙受了3.64亿美元的损失,与2019年报告相比增加了1900万美元的成本。

  • 民族国家袭击–最具破坏性的违反行为:与报告中检查的其他威胁行为者相比,据信源自民族攻击的数据泄露是代价最高的。由政府资助的攻击平均造成443万美元的数据泄露成本,超过了出于经济动机的网络犯罪分子和黑客主义者。

IBM X-Force威胁情报副总裁Wendi Whitmore表示:“在企业减轻数据泄露影响的能力方面,我们开始看到投资自动化技术的公司拥有明显的优势。” 。 “当企业以更快的速度扩展其数字足迹并且安全行业的人才短缺持续存在时,团队可能不堪重负来保护更多设备,系统和数据。安全自动化可以帮助解决这一负担,不仅可以实现更快的违规响应,而且还可以显着提高成本效益。”
 
员工凭证和配置错误的云–攻击者的切入点
报告中的凭证被盗或泄露,云配置错误是公司恶意破坏的最常见原因,占恶意事件的近40%。企业应该通过采用零信任方法来重新考虑其安全策略, 85亿条记录 在研究的五项违规事件中,攻击者使用了以前暴露的电子邮件和密码,从而在2019年进行了暴露-重新检查他们如何验证用户身份以及授予访问权限的程度。
 
同样,公司在安全性复杂性(最高的违约成本因素)方面的努力可能会导致云配置错误成为日益严峻的安全挑战。 2020年的报告显示,攻击者几乎在20%的时间内都使用云配置错误来破坏网络,使破坏成本平均增加了50万美元以上,达到441万美元–使其成为报告中调查的第三昂贵的初始感染媒介。
 
国家赞助的攻击罢工最重
根据2020年的报告,尽管仅占研究的恶意破坏的13%,但国家赞助的威胁参与者却是最具破坏性的对手,这表明出于经济动机的攻击(53%)不会为企业带来更高的经济损失。国家支持的攻击的高度战术性,长寿和隐蔽性,以及针对性高价值数据,通常会导致受害者环境受到更大范围的破坏,平均破坏成本增加至443万美元。
 
实际上,与世界其他地区相比,中东是一个历史悠久的地区,该地区历来是由国家发起的攻击活动,[3],其平均违规成本每年增长超过9%,在研究的17个地区中,其平均违规成本排名第二高(652万美元)。同样,能源行业是美国各州针对性最强的行业之一,其违规成本同比增长了14%,平均为639万美元。
 
先进的安全技术证明业务智能
该报告强调了实施先进安全技术的企业与落后企业之间的违规成本之间的鸿沟越来越大,显示出完全部署了安全自动化的公司与尚未部署这种技术的公司相比,节省成本的差异为358万美元。成本差距从2018年的155万美元增加了200万美元。
 
在分析中显示出可以减少违规成本的另一个关键因素是,在研究中完全部署了安全自动化的公司还报告了对违规的响应时间大大缩短。该报告发现,人工智能,机器学习,分析和其他形式的安全自动化使公司对漏洞的响应速度比尚​​未部署安全自动化的公司要快27%,后者平均需要74天才能识别和遏制违反。
 
事故响应(IR)的准备工作也继续严重影响违规的财务后果。既没有IR团队也没有IR计划测试的公司,平均违约成本为529万美元,而同时拥有IR团队并且使用桌面练习或模拟来测试IR计划的公司的违反成本则减少了200万美元–重申准备和就绪该报告显示,该产品可显着提高网络安全的投资回报率。
 
今年报告的其他发现包括:

  • 远程工作风险将带来成本 –该报告发现,在大流行期间采用远程办公的研究公司中有70%希望通过混合工作模型创建可控环境较少的方式加剧数据泄露成本。

  • 尽管决策权有限,但首席信息安全官仍然为违反安全而犯错:46%的受访者表示,尽管有27%的受访者表示CISO / CSO是安全策略和技术决策者,但CISO / CSO最终应对违规行为负责。该报告发现,任命CISO可以节省14.5万美元的成本,而不是平均违反一次的成本。

  • 大多数网络保险企业都使用第三方费用索赔: 该报告发现,被研究组织的网络保险损失平均比全球平均值386万美元低近200,000美元。实际上,在使用网络保险的组织中,有51%的组织将其用于支付第三方咨询费和法律服务,而36%的组织将其用于受害者的赔偿。只有10%的人使用索赔来支付勒索软件或勒索的费用。

  • 区域性& Industry Insights: 尽管美国继续经历着全球最高的数据泄露成本,平均为864万美元,但报告发现斯堪的纳维亚的数据泄露成本同比增长最大,观察到近13%的增长。医疗保健继续是最高的平均违规成本,达到713万美元-与2019年的研究相比增加了10%以上。


[1] 报告分析了2019年8月至2020年4月之间发生的数据泄露事件。该报告方法的局限性可以在报告中找到。

[2] 2020年《数据泄露报告的成本》基于对特定样本的单独分析,检查了一次大型数据泄露的成本,即涉及丢失或失窃一百万条记录或更多的数据泄露。

[3] 根据IBM 2020 X-Force威胁情报指数: //ibm.biz/downloadxforcethreatindex