報告發(fā)現(xiàn)，人工智能及自動化讓數(shù)據(jù)泄露處理周期縮短了 108 天; 未尋求法律幫助的勒索軟件受害者平均遭受 47 萬美元的額外損失; 只有三分之一的企業(yè)能夠自主檢測到漏洞。

IBM Security 于 7 月 24 日發(fā)布了其年度《數(shù)據(jù)泄露成本報告》 (Cost of a Data Breach Report)，報告顯示，2023 全球數(shù)據(jù)泄露的平均成本達到 445 萬美元，創(chuàng)該報告有史以來以來最高記錄，也較過去 3 年均值增長了 15%。同一時期內(nèi)，檢測安全漏洞和漏洞惡化帶來的安全成本上升了 42%，占安全漏洞總成本的比值也來到史上最高，這也表明，企業(yè)應(yīng)對漏洞的調(diào)查和處理正在變得更加復(fù)雜。

該報告發(fā)現(xiàn)，面對不斷增加的數(shù)據(jù)漏洞成本和發(fā)生頻次，各企業(yè)的應(yīng)對方式卻大相徑庭：雖然 95% 的受訪企業(yè)都經(jīng)歷過不止一次的數(shù)據(jù)泄露事件，但被泄露企業(yè)更有可能將安全事件的成本轉(zhuǎn)嫁給消費者 (57% 的企業(yè)這樣做)，而不是增加安全投資 (僅有 51% 的企業(yè)有此意愿)。

2023 《數(shù)據(jù)泄露成本報告》是對全球 553 家企業(yè)組織自 2022 年 3 月至 2023 年 3 月期間經(jīng)歷的真實數(shù)據(jù)泄露事件的深入調(diào)研分析。該報告已連續(xù)發(fā)布 18 年，IBM Security 是該報告的贊助方及分析方，而調(diào)研工作則由致力于隱私、數(shù)據(jù)保護和信息安全政策的專業(yè)研究機構(gòu) Ponemon Institute 開展。這份 2023 年最新報告中的主要發(fā)現(xiàn)包括:

• 人工智能加速威脅應(yīng)對– 人工智能和自動化對被調(diào)研組織的漏洞識別和遏制速度幫助最大。與研究中未部署這些技術(shù)的組織相比，廣泛使用人工智能和自動化的組織的數(shù)據(jù)泄露處理周期會短上 108 天（二者分別為 214 天和 322 天）。

• 沉默意味著更高代價– 研究中訴諸法律的勒索軟件受害者與那些選擇不求助法律的勒索軟件受害者相比，平均能減少 47 萬美元的數(shù)據(jù)泄露成本。盡管求助法律能降低損失，但在被調(diào)研的勒索軟件受害者中，有 37% 并未求助執(zhí)法部門。

• 威脅檢測存在鴻溝– 在所有被研究的數(shù)據(jù)泄露中，只有三分之一是由被調(diào)研企業(yè)內(nèi)部安全團隊檢測到的，而網(wǎng)絡(luò)攻擊者披露的數(shù)據(jù)泄露占比則為 27%。與企業(yè)自行發(fā)現(xiàn)數(shù)據(jù)泄露相比，攻擊者發(fā)布數(shù)據(jù)泄露會造成平均 100 萬美元的額外損失。

IBM 全球安全服務(wù)部總經(jīng)理 Chris McCurdy表示：“就網(wǎng)絡(luò)安全而言，無論對于防御者還是攻擊者來說，時間都意味著金錢。正如報告所示，早期檢測和快速響應(yīng)可以顯著降低安全漏洞的影響。相關(guān)安全團隊必須重視對手的殺手锏并集中力量阻止對方攻擊。在攻擊者實現(xiàn)目標(biāo)之前，企業(yè)需要抓緊對威脅檢測和響應(yīng)方法等進行投資，例如應(yīng)用人工智能和自動化技術(shù)提高防御的速度和效率，這對于打破目前這種平衡狀態(tài)至關(guān)重要。”

每一秒都是代價

根據(jù) 2023 年的報告，與未部署這些技術(shù)的組織相比，全面部署安全人工智能和自動化的被研究組織數(shù)據(jù)泄露周期平均縮短了 108 天，并且相關(guān)安全事件的成本顯著降低。事實上，廣泛部署安全人工智能和自動化的被研究組織與未部署這些技術(shù)的組織相比，數(shù)據(jù)泄露成本平均降低了近 180 萬美元，這是報告中提到的最大的成本節(jié)約項。

與此同時，現(xiàn)在攻擊者們完成勒索軟件攻擊的平均時間又降低了。好消息是，由于近 40% 的被研究組織尚未部署安全人工智能和自動化，因此，它們?nèi)杂邢喈?dāng)大的機會通過這些技術(shù)手段來進一步提高檢測和響應(yīng)速度。

別掉入勒索軟件的“沉默”陷阱

一些被研究組織在遭勒索軟件攻擊后仍不愿與執(zhí)法部門接觸，因為他們擔(dān)心這只會使情況變得復(fù)雜。今年，IBM《數(shù)據(jù)泄露成本報告》首次深入研究了這個情況，并證明，結(jié)論與擔(dān)憂的恰恰相反。無執(zhí)法部門介入的情況下，被攻擊組織的數(shù)據(jù)泄露生命周期比有執(zhí)法組織介入的情況平均長 33 天。而這種“沉默”意味著巨大的代價。研究表明，相比采取法律行動的勒索軟件受害者，未采取法律行動的受害者平均要承受高出 47 萬美元的數(shù)據(jù)泄露成本。

盡管執(zhí)法部門不懈地尋求與勒索軟件受害者協(xié)作，但 37% 的受訪者仍然選擇避免讓其介入。此外，據(jù)報道，近一半 (47%) 的勒索軟件受害者向攻擊者支付了贖金。顯然，各組織應(yīng)該糾正這些關(guān)于勒索軟件的誤解，支付贖金并規(guī)避執(zhí)法部門介入很可能只會增加安全事件成本并延遲響應(yīng)速度。

自有安全團隊不易發(fā)現(xiàn)漏洞

在威脅檢測和響應(yīng)方面，企業(yè)已經(jīng)取得了一定的進展。根據(jù) IBM 今年早些時候發(fā)布的《2023 IBM Security X-Force 威脅情報指數(shù)》，去年被各企業(yè)自身安全團隊阻止的勒索軟件攻擊占總數(shù)的比例已經(jīng)有所上升。然而，對手仍在不遺余力尋找防線的突破口。該報告發(fā)現(xiàn)，只有三分之一被研究組織遭受的攻擊行為是由其自有安全團隊或工具檢測到的，而 27% 是由攻擊者們披露的，另有 40% 是由執(zhí)法部門等中立第三方披露的。

自主發(fā)現(xiàn)漏洞的組織所承受的漏洞損失，比由攻擊者披露所承受的損失低了近 100 萬美元（前者 430 萬美元，而后者達 523 萬美元）。與內(nèi)部發(fā)現(xiàn)的漏洞相比，攻擊者披露的漏洞的生命周期也延長了近 80 天（分別為 241 天與 320 天）。早期檢測可以節(jié)省大量成本和時間，這表明，依據(jù)這些策略進行投資從長遠來看可以獲得可觀的回報。

這份 2023 年最新報告中的其它重要發(fā)現(xiàn)還包括：

• 跨環(huán)境泄露數(shù)據(jù)現(xiàn)象普遍– 在被研究的數(shù)據(jù)泄露事件中，近 40% 的數(shù)據(jù)泄露會導(dǎo)致跨多個數(shù)據(jù)環(huán)境（包括公共云、私有云和本地云）的數(shù)據(jù)丟失，這表明攻擊者能夠在避免被檢測到的同時危害多個環(huán)境。研究發(fā)現(xiàn)，涉多個環(huán)境的數(shù)據(jù)泄露也會導(dǎo)致更高的泄露成本（平均 475 萬美元）。

• 醫(yī)衛(wèi)相關(guān)泄露成本繼續(xù)飆升– 2023 年，醫(yī)療保健領(lǐng)域數(shù)據(jù)泄露的平均成本將達到近 1100 萬美元，自 2020 年以來這一數(shù)據(jù)上漲了 53%。根據(jù)《2023 IBM Security X-Force 威脅情報指數(shù)》，威脅行為實施者以醫(yī)療記錄為杠桿，給受攻擊組織帶來了更大的支付贖金的壓力。事實上，在所研究的所有行業(yè)中，客戶個人身份信息是最常被泄露的數(shù)據(jù)類型，也是成本最高的。

• DevSecOps 的優(yōu)勢– 對所有行業(yè)中具有高水平 DevSecOps（開發(fā)、安全和運維）的企業(yè)組織進行研究發(fā)現(xiàn)，其數(shù)據(jù)泄露的全球平均成本比那些采用低水平或不使用 DevSecOps 方法的組織低了近 170 萬美元。

• 關(guān)鍵基礎(chǔ)設(shè)施相關(guān)泄露造成的損失超過 500 萬美元– 與去年相比，被研究的關(guān)鍵基礎(chǔ)設(shè)施相關(guān)組織的平均數(shù)據(jù)泄露成本上升了 4.5%，從 482 萬美元增加到了 504 萬美元，比全球數(shù)據(jù)泄露平均成本高出 59 萬美元。

相關(guān)鏈接：

• 下載 2023 年《數(shù)據(jù)泄露成本報告》，請點擊“閱讀原文”訪問：https://www.ibm.com/security/data-breach.??

• 在 IBM Security Intelligence 博客中詳細了解該報告的主要洞察：https://securityintelligence.com/posts/whats-new-2023-cost-of-a-data-breach-report/

• 走近 IBM Security X-Force 團隊，對報告洞察進行個性化解讀：https://ibm.biz/book-a-consult??

• 如需詳細了解報告中相關(guān)建議，請訪問：數(shù)據(jù)泄露成本行動指南：https://www.ibm.com/reports/data-breach-action-guide

關(guān)于 IBMSecurity

IBM Security 通過集成的安全產(chǎn)品和服務(wù)組合，融合動態(tài) AI 和自動化能力，為全球大型企業(yè)和政府機構(gòu)保駕護航。這一產(chǎn)品組合輔以全球知名的 IBM Security X-Force 研究團隊的支持，能讓相關(guān)組織準確預(yù)知威脅、實時保護數(shù)據(jù)，在不影響業(yè)務(wù)創(chuàng)新的前提下，快速精準地做出安全響應(yīng)。IBM 分布于全球各地的安全專家，是數(shù)以千計的企業(yè)組織評估安全威脅、制定安全戰(zhàn)略、實施和管理安全轉(zhuǎn)型可信賴的合作伙伴。IBM 運營著全球范圍最廣泛的安全研究、開發(fā)和交付機構(gòu)之一，其每天在 130 多個國家和地區(qū)監(jiān)控 1500 多億起網(wǎng)絡(luò)安全事件，并在全球范圍內(nèi)獲得了 10000 多項安全專利。

END 往期回顧

→湖倉一體：揭秘數(shù)據(jù)湖架構(gòu)現(xiàn)代化之道

→達成長期戰(zhàn)略合作協(xié)議，IBM 助徐工推進“智改數(shù)轉(zhuǎn)”，加速打造世界一流企業(yè)