2022年全球數(shù)據(jù)泄露成本高達435萬美元，超8成企業(yè)非首次泄露

根據(jù)IBM最新發(fā)布的《2022年數(shù)據(jù)泄露成本報告》，數(shù)據(jù)泄露的平均成本創(chuàng)下435萬美元的歷史新高，比2021年增長了2.6%，自2020年以來增長了12.7%。今年的研究首次發(fā)現(xiàn)，83%受訪組織已經(jīng)不是第一次發(fā)生數(shù)據(jù)泄露事件；60%的受訪組織在事后提高了商品和服務價格，然后數(shù)據(jù)泄露造成的損失將轉嫁到消費者身上。



《2022年數(shù)據(jù)泄露成本報告》基于2021年3月至2022年3月期間對全球550家組織所經(jīng)歷的真實數(shù)據(jù)泄露事件的深入分析和研究?！稊?shù)據(jù)泄露成本報告》是全球安全行業(yè)的領先基準報告之一，它為IT、安全和商業(yè)領袖提供了一個視角，讓他們了解可能增加數(shù)據(jù)泄露相關成本的風險因素，以及哪些安全實踐和技術可以幫助他們減輕安全風險和經(jīng)濟損失。

1、醫(yī)療健康行業(yè)的數(shù)據(jù)泄露成本突破千萬美元，連續(xù)12年成為平均數(shù)據(jù)泄露成本最高的行業(yè)。

根據(jù)普華永道的數(shù)據(jù)，美國的醫(yī)療健康行業(yè)的數(shù)據(jù)泄露成本自2020年以來出現(xiàn)了6%至7%的增長，該行業(yè)因數(shù)據(jù)泄露而上升的成本已經(jīng)遠遠超過同期因通脹給該行業(yè)帶來的成本飆升。醫(yī)療健康行業(yè)的數(shù)據(jù)泄露成本在過去兩年激增了42%，從2020年的713萬美元增長到2022年的1010萬美元。醫(yī)療健康行業(yè)已經(jīng)連續(xù)12年成為數(shù)據(jù)泄露成本最高的行業(yè)。

“企業(yè)需要將他們的安全防御放在進攻端，并擊敗攻擊者。是時候阻止對手實現(xiàn)其目標并開始盡量減少攻擊的影響了。越多的企業(yè)試圖完善他們的安全邊界而不是投資于檢測和響應，越多的數(shù)據(jù)泄露事件會加劇生活成本的增加。”IBM Security X-Force全球負責人Charles Henderson說：“這份報告表明，只有將正確的策略與正確的技術相結合，才能在企業(yè)受到攻擊時發(fā)揮重要作用。”

2、未部署零信任安全框架的企業(yè)數(shù)據(jù)泄露平均成本要高出100萬美元

部署零信任架構的企業(yè)占比從2021年的35%增加到2022年的41%。在2022年的報告中，其余59%沒有部署零信任的組織，比那些部署了零信任的組織的數(shù)據(jù)泄露平均成本高出了100萬美元。而那些部署了成熟的零信任安全框架的企業(yè)，他們節(jié)省的成本甚至更大--與處于零信任計劃初始階段的企業(yè)相比，他們節(jié)省了約150萬美元。
 

3、勒索軟件和破壞性攻擊造成的數(shù)據(jù)泄露成本更多

2022年，勒索軟件和破壞性攻擊造成的數(shù)據(jù)泄露成本比平均成本更高，而涉及勒索軟件的違規(guī)事件占比增長了41%。此次是該報告首次研究勒索軟件和破壞性攻擊的成本。2022年，勒索軟件攻擊的平均成本--不包括贖金成本--略有下降，從462萬美元降至454萬美元，而破壞性攻擊的成本從469萬美元增至512萬美元，而全球平均成本為435萬美元。勒索軟件造成的漏洞占比從2021年的7.8%增長到2022年的11%，增長率為41%。

組4、建事件應急響應團隊和組織攻防演練的企業(yè)更能減輕數(shù)據(jù)泄露的成本。

組建事件響應（IR）團隊和廣泛測試IR計劃是減輕數(shù)據(jù)泄露成本的兩個最有效的方法。然而，在有IR計劃的研究企業(yè)中（73%），37%沒有定期測試他們的計劃。企業(yè)必須通過桌面演習或在模擬環(huán)境（如網(wǎng)絡靶場）中運行漏洞場景來定期測試其IR計劃，這一點至關重要。

5、AI安全部署和自動化技術的投資回報率更可觀

部署了安全AI和自動化的組織的比例從2020年的59%增長到2022年的70%，增長率達18.6%。表示已經(jīng) "全面部署 "安全AI和自動化技術的受訪組織（約占31%），其數(shù)據(jù)泄露平均成本要比未部署相關技術的企業(yè)低305萬美元??沒有部署安全AI和自動化的組織其數(shù)據(jù)泄露成本平均為620萬美元，全面部署了這些技術的組織其數(shù)據(jù)泄露成本平均為315萬美元。

安全AI和自動化的投資回報率，還可以從另一個指標--即時間指標當中體現(xiàn)出來。安全AI和自動化降低了成本，而且還大大縮短了識別和控制數(shù)據(jù)泄露的時間（即泄露生命周期）。在全面部署這些技術后，數(shù)據(jù)泄露的平均生命周期比沒有部署安全AI和自動化的平均周期要短74天。

6、關鍵性基礎設施組織數(shù)據(jù)泄露的平均成本482萬美元

關鍵性基礎設施組織包括金融服務、工業(yè)、技術、能源、運輸、通信、醫(yī)療健康、教育和公共部門等行業(yè)的單位。28%的關鍵性基礎設施組織經(jīng)歷了破壞性或勒索軟件的攻擊，而17%的組織因為商業(yè)伙伴被破壞而經(jīng)歷了漏洞事件。關鍵性基礎設施組織的數(shù)據(jù)泄露的平均成本為482萬美元，比其他行業(yè)組織的平均成本高100萬美元。

7、云環(huán)境數(shù)據(jù)泄露占比45%，混合云環(huán)境中相對成本更低。

研究中45%的數(shù)據(jù)泄露事件發(fā)生在云中。采用混合云企業(yè)的數(shù)據(jù)泄露事件平均成本是380萬美元，而私有云中的數(shù)據(jù)泄露成本是424萬美元，公共云中的數(shù)據(jù)泄露成本高達502萬美元。與單一采用公有云或私有云模式的企業(yè)相比，采用混合云模式的企業(yè)其數(shù)據(jù)泄露事件的周期也更短。與公有云采用者相比，混合云采用者識別和控制漏洞的時間要少48天。

8、XDR技術可幫助企業(yè)縮短近一個月的數(shù)據(jù)泄露時間。

那些采用XDR技術的44%的企業(yè)在響應時間上有很大的優(yōu)勢。與沒有實施XDR的組織相比，部署了XDR的組織的數(shù)據(jù)泄露生命周期平均縮短了29天。

9、人員不足相比有足夠團隊的企業(yè)在數(shù)據(jù)泄露成本高50多萬美元。

研究中只有38%的企業(yè)表示他們配備有安全團隊和足夠的人員，這種技能差距導致人員不足的組織的數(shù)據(jù)泄露成本比人員充足的安全團隊高出55萬美元。

10、 近2成的違規(guī)事件是由供應鏈泄露引起，不僅成本更高，比平均生命周期高出26天。

近年來的一些重大攻擊是通過供應鏈到達組織的，比如組織由于商業(yè)伙伴或供應商的妥協(xié)而被攻破。2022年，19%的違規(guī)事件是供應鏈攻擊，平均成本為446萬美元，略高于全球平均水平。供應鏈泄露事件的平均生命周期比全球平均生命周期長26天。

11、支付勒索贖金企業(yè)的數(shù)據(jù)泄露總成本更高

根據(jù)2022年數(shù)據(jù)泄露成本報告，與選擇不支付贖金的企業(yè)相比，支付了勒索贖金要求的企業(yè)的平均泄露成本減少了61萬美元（不包括支付的贖金金額）。然而，考慮到平均贖金支付金額（根據(jù)Sophos的數(shù)據(jù)，2021年達到81.2萬美元），選擇支付贖金的企業(yè)的數(shù)據(jù)泄露總成本反而更高，而且還無意中為未來的勒索軟件攻擊提供資金，這些資金本可用于補救和恢復工作。

盡管全球努力阻止勒索軟件的持續(xù)存在，但網(wǎng)絡犯罪的工業(yè)化推動了它的存在。IBM Security X-Force發(fā)現(xiàn)，受訪企業(yè)勒索軟件攻擊的持續(xù)時間在過去三年中下降了94%——從兩個多月銳減到不足4天。

以指數(shù)級速度縮短的勒索軟件攻擊生命周期可能會引發(fā)影響更大的攻擊，因為網(wǎng)絡安全事件響應者只有非常短的機會窗口來檢測和遏制攻擊。隨著“贖金時間”減少到幾個小時，企業(yè)必須提前對事件響應手冊進行嚴格測試，這一點至關重要。但該報告指出，多達37%的已制訂事件響應計劃的組織沒有定期對其進行測試。

此外，更多要點如下

• 17個不同地域和17個行業(yè)的數(shù)據(jù)泄露平均成本，包括最高的國家（美國--944萬美元）。
• 事件響應團隊和定期測試的事件響應計劃對成本的影響（平均節(jié)省266萬美元）。
• 導致漏洞的最常見攻擊載體的頻率和平均成本，包括被盜憑證（19%，450萬美元）、網(wǎng)絡釣魚（16%，491萬美元）和云端錯誤配置（15%，414萬美元）。
• 安全措施和技術的影響，包括風險量化技術、身份和訪問管理、多因素認證和危機管理團隊。
• 安全漏洞的影響，包括安全系統(tǒng)的復雜性、云遷移中的攻擊、遠程工作和合規(guī)失敗。
• 超過100萬條記錄的巨型數(shù)據(jù)泄露事件成本（包括最大的高達6000萬條記錄的數(shù)據(jù)泄露事件）接近4億美元。

報告所展示的結論揭示了近年來企業(yè)數(shù)據(jù)和網(wǎng)絡安全的重要趨勢，企業(yè)必須關注到越來越高的數(shù)據(jù)泄露成本和越來越短的攻擊生命周期，意識到自身網(wǎng)絡安全建設存在的問題，確認自身的安全防御能力是否到位。正如Charles Henderson所說，正確的策略與正確的技術相結合，在企業(yè)受到攻擊時可以發(fā)揮重要作用。