2023-10-11-IBM-2023年数据泄露成本报告_78页_4mb

2023年数据泄露成本报告总结

核心内容

• 数据泄露成本持续上升：2023年，数据泄露的平均总成本达到445万美元，比2022年增长2.3%，较2020年增长15.3%。
• 安全投资与成本的关系：51%的组织计划因数据泄露而增加安全投资，主要集中在事件响应（IR）规划和测试、员工培训以及威胁检测和响应技术。
• 安全AI和自动化：广泛采用安全AI和自动化的组织在识别并遏制泄露方面耗费的时间平均缩短108天，数据泄露成本降低176万美元。
• 泄露识别方式：仅1/3的数据泄露是由组织自身安全团队或工具发现，其余由第三方或攻击者披露，后者造成的损失更高。
• 勒索软件影响：37%的组织未让执法部门介入勒索软件攻击，导致额外成本增加9.6%（47万美元）。
• 医疗行业成本最高：医疗保健行业连续13年为数据泄露成本最高的行业，平均成本达1,093万美元，比2020年增长53.3%。
• 云环境风险增加：82%的数据泄露涉及云环境，其中跨多个环境的泄露成本更高（475万美元），且生命周期更长（291天）。
• 大规模泄露成本下降：大规模泄露事件平均成本有所下降，其中100万至1000万条记录的泄露成本下降26.5%。
• DevSecOps的显著影响：采用DevSecOps的组织节省了168万美元，比未采用的组织降低38.4%。
• IR团队与测试：同时拥有IR团队和IR计划测试的组织识别泄露事件的速度比无此措施的组织快54天，节省成本149万美元。
• 威胁情报：使用威胁情报服务的组织识别泄露的时间平均缩短28天，比未使用组织快8.2%。
• 漏洞管理方式：采用基于风险的漏洞管理策略的组织平均数据泄露成本为398万美元，比仅依赖CVE评分的组织低18.3%。
• 攻击面管理（ASM）：部署ASM解决方案的组织识别和遏制泄露的时间为254天，仅为未部署组织的75%。
• MSSP的作用：使用MSSP的组织识别和遏制泄露的时间缩短21%，平均为204天，比无MSSP的组织快8.2%。

主要观点

• 成本与时间：数据泄露的平均识别和遏制时间为277天，而生命周期超过200天的泄露平均成本为495万美元，比生命周期短的泄露高出23%。
• 识别方式影响成本：由攻击者披露的泄露平均成本为523万美元，比内部识别的泄露高出19.5%。
• 安全措施的重要性：安全AI、自动化、IR团队、威胁情报、ASM和MSSP等技术显著降低了数据泄露成本，缩短了响应时间。
• 行业差异：医疗保健行业因高监管和关键基础设施属性，数据泄露成本最高。科技行业则成为网络犯罪分子最常攻击的行业。
• 组织规模影响成本：员工少于5000人的组织平均成本更高，而大型组织的平均成本略有下降。

关键信息

• 数据泄露成本：445万美元（全球平均）。
• 勒索软件成本：513万美元（2023年），比2022年增长13%。
• 破坏性攻击成本：524万美元（2023年），比2022年增长2.3%。
• 云泄露成本：跨多个环境的泄露成本为475万美元，比私有云泄露高17.6%。
• 安全技能短缺：安全技能严重短缺的组织平均成本为536万美元，比平均水平高18.6%。
• 安全系统复杂性：安全系统复杂性高的组织平均成本为528万美元，比平均水平高17.1%。
• 不合规成本：不合规的组织平均成本为505万美元，比平均水平高12.6%。
• IR规划和测试：采用IR规划和测试的组织节省成本149万美元。
• DevSecOps：采用DevSecOps的组织节省成本168万美元。
• 威胁情报：使用威胁情报服务的组织识别泄露时间缩短28天。
• 漏洞管理：基于风险的漏洞管理策略的组织平均成本为398万美元，比依赖CVE评分的组织低18.3%。
• ASM：部署ASM的组织识别和遏制泄露时间为254天，比未部署的组织快83天。
• MSSP：使用MSSP的组织识别和遏制泄露时间为204天，比未使用组织快12.8%。

建议

1. 将安全性融入软件开发和部署的每个阶段，并定期进行测试。
2. 跨混合云实现数据保护现代化，确保数据在多云环境中的可见性和控制。
3. 使用安全AI和自动化，以提高速度和准确性，降低数据泄露成本。
4. 通过了解攻击面态势和实践IR，增强恢复弹性，减少泄露影响。