信息來源：Freebuf

在充滿變化和不確定的世界里，有些事情總是年復一年地進行著。這已經(jīng)是第15份數(shù)據(jù)泄露成本報告了，由Ponemon研究所進行研究，IBM Security機構(gòu)發(fā)布。通過提供安全事件可能對組織造成的財務(wù)影響的詳細視圖、歷史數(shù)據(jù)揭示了數(shù)據(jù)泄露的原因和未來趨勢。

今年的研究分析了2019年8月至2020年4月之間524個數(shù)據(jù)泄露事件，涉及17個地區(qū)和17個行業(yè)的各種規(guī)模的組織機構(gòu)。2020年數(shù)據(jù)泄露成本報告似乎和以前一樣，沒有很大的起伏，包括全球數(shù)據(jù)泄露總成本，2020年平均為386萬美元，比2019年研究下降約1.5％，但基本與往年持平。2020年研究中發(fā)現(xiàn)并修復數(shù)據(jù)泄露的平均時間為280天，幾乎與2019年的平均279天相同。

然而，2020年也是不平凡的一年。許多組織因為新冠疫情已轉(zhuǎn)向遠程工作模式。根據(jù)《 2020年數(shù)據(jù)泄露成本報告》中的調(diào)查結(jié)果，組織轉(zhuǎn)移到遠程工作的受訪者中有76％希望在家工作可能會增加數(shù)據(jù)泄露發(fā)現(xiàn)和修復的時間。此外，70％的受訪者預計遠程工作可能會增加數(shù)據(jù)泄露的成本。

這項報告真正的價值不僅僅是提供一個成本數(shù)據(jù)，更多的是了解影響成本的因素，這對于企業(yè)來說，是更有參考價值的，企業(yè)可以根據(jù)這些做出調(diào)整。

每年P(guān)onemon 研究所都要求參與組織估算數(shù)百種影響數(shù)據(jù)泄露的成本，這些因素從業(yè)務(wù)損失到檢測和響應活動，再到通知活動等等。為了適應不斷變化的業(yè)務(wù)需求、新技術(shù)和新威脅，今年這份報告探討了以前尚未涉及的因素，包括各種類型的威脅、組織因素和安全措施。

今年，該研究增加了對漏洞測試和紅隊測試的成本影響的分析，該分析使用對抗性方法進行滲透測試。與平均總成本386萬美元相比，進行紅隊測試的組織表示其平均成本降低了約24.3萬美元，而進行漏洞測試的組織表示，其平均成本比全球平均水平低約17.3萬美元。

這項研究首次探討了遠程工作的成本影響和安全技能短缺這兩項影響因素，這兩個因素會增加成本。遠程工作的組織涉及的成本比全球平均數(shù)386萬美元高出近13.7萬美元，而由于安全技能短缺，成本平均增加了25.7萬美元。

報告的五項關(guān)鍵發(fā)現(xiàn)

這是2020年數(shù)據(jù)泄露成本報告中的五個重要發(fā)現(xiàn)，包括一些新的研究領(lǐng)域。

1.安全自動化和事件響應準備可有效降低成本

人們發(fā)現(xiàn)通過使用自動化程序盡快發(fā)現(xiàn)數(shù)據(jù)泄露行為，并培養(yǎng)好事件響應（IR）團隊來修復數(shù)據(jù)泄露事件，可以大大降低數(shù)據(jù)泄露的財務(wù)損失。

在2020年的研究中，部署安全自動化技術(shù)（例如人工智能、機器學習、分析和自動化業(yè)務(wù)流程）的組織的數(shù)據(jù)泄露平均成本遠遠低于尚未部署這些技術(shù)的組織。實際上，在完全部署了安全自動化的組織中，一次泄露事件的平均成本為245萬美元，而在沒有安全自動化的組織中，平均成本為603萬美元，相差358萬美元。

同時，擁有IR團隊并通過模擬數(shù)據(jù)泄露事件定期測試的組織的平均數(shù)據(jù)泄露成本為329萬美元，而沒有IR團隊或未進行IR測試的組織的平均數(shù)據(jù)泄露成本為529萬美元，相差200
萬美元。

2.客戶PII 成本高于其他記錄類型

該報告首次根據(jù)數(shù)據(jù)記錄類型深入分析了數(shù)據(jù)泄露事件的每條記錄成本。客戶個人身份信息（PII）是最昂貴的記錄類型，每條丟失或被盜記錄的平均成本為150美元，而知識產(chǎn)權(quán)的每條記錄成本為147美元，匿名客戶記錄為143美元，員工PII為141美元 。客戶PII是最經(jīng)常泄露的數(shù)據(jù)類型，在80％的事件中均存在。

3.憑據(jù)受損和云配置錯誤是最大的攻擊媒介

在2020年的研究中，惡意攻擊造成了52％的數(shù)據(jù)泄露事件，比2019年的51％略有增加。2020年報告首次更深入地探討了惡意攻擊的類型，分析了九次初始攻擊的成本和頻率攻擊媒介。最常見的初始攻擊媒介包括憑據(jù)受損（占惡意破壞的19％），云配置錯誤（占19％）和第三方軟件中的漏洞（占16％）。這三個攻擊媒介也是成本代價最高的，由于憑證受損造成的平均損失為477萬美元，第三方軟件的漏洞平均為453萬美元，云配置錯誤的平均損失為441萬美元。

4.勒索軟件和破壞性攻擊的費用要比普通漏洞高

并非所有的數(shù)據(jù)泄露都涉及數(shù)據(jù)的盜竊或泄漏，有時記錄被損壞或被劫持索要贖金。該報告首次分析了涉及惡意軟件和勒索軟件的成本。惡意軟件平均成本為452萬美元，勒索軟件平均成本為444萬美元。惡意攻擊的平均總費用為427萬美元。

5.國家間諜攻擊比較少見，但是成本最高

2020年報告首次根據(jù)威脅參與者的主體類型或者說攻擊者的動機進行了分析。最常見的是出于經(jīng)濟動機的攻擊者（占惡意破壞的53％），而國家間諜攻擊者（占13％）和黑客攻擊者（占13％）占比較小。盡管不太常見，但由國家資助的攻擊行為（443萬美元）和黑客攻擊行為（428萬美元）的平均違規(guī)成本要高于出于經(jīng)濟動機的攻擊行為（423萬美元）。

具體報告參見：2020數(shù)據(jù)泄露成本報告