2025年信息风险洞察研究（英）_36页_2mb

信息风险洞察研究（IRIS）2025：时间才是关键

关键发现

1. 绝对数量激增： 每季度报告的安全事件从约450起增加到3000起（增长650%）。
2. 事件频率上升： 任何企业一年内遭遇安全事件的概率从约5%上升到9%（近四倍）。
3. 事件成本飙升：
   • 典型（中位数）事件成本从$19万增至$300万美元（增长约15倍）。
   • 极端损失（95%分位数）从$1400万增至$4.07亿美元（增长近5倍）。
   • 失事占企业年收入的比例从$11.2万增至$950万美元，增长约8.5倍。
4. 规模差异：
   • 绝对数量：中小型企业（< $1B）受影响更多。
   • 相对风险：超大型企业（>$100B）平均事件发生率显著下降，但极端事件成本极高。小型企业相对人均风险最高。
5. 行业差异：
   • 财务、医疗和受监管行业（如公共部门）相对风险高。
   • 零售业和教育部分行业的相对风险下降。
6. 事件类型变化：
   • 系统入侵和勒索软件是持久的重大威胁。
   • 公开应用漏洞利用和外部远程服务利用的技术显著上升。
   • 偷窃凭证是持续最普遍的入侵技术。
7. 攻击手段演变：
   • 网络犯罪者从“大而快”策略转向更隐蔽的持久策略。
   • 后门、供应链攻击等技术在部分大型组织中有所增加。

核心论文要点

• 事件数量和损失金额整体呈上升趋势，尤其极端事件成本极具破坏性。
• 不同企业规模是风险差异的重要调节因素。
• 行业风险和事件损失模式存在显著差异。
• 攻击技术不断演变，需要持续跟踪新威胁。