Утечка данных обошлась в рекордные 4,3 млн долларов, при этом фирмы перекладывают ответственность на клиентов
Средняя стоимость нарушения безопасности данных достигла очередного рекордного уровня в 4,35 миллиона долларов, и 60% предприятий решили повысить цены на свои продукты и услуги, чтобы компенсировать понесенные убытки, говорится в исследовании IBM за 2022 год.
Средняя стоимость нарушения безопасности данных достигла очередного рекордного уровня в $4,35 млн за инцидент, увеличившись на 12,7% за последние два года. А некоторые предприятия перекладывают ответственность на клиентов, даже несмотря на то, что стоимость продуктов и услуг выросла на фоне инфляции и ограничений в цепочке поставок.
Согласно отчету IBM о стоимости утечки данных за 2022 год, этот показатель вырос на 2,6% по сравнению с прошлогодним показателем в 4,24 миллиона долларов за утечку, который также показал, что 83% опрошенных компаний столкнулись с более чем одной утечкой данных. В отчете, проведенном Ponemon Institute, были проанализированы 550 организаций на 17 мировых рынках, которые пострадали от утечек данных в период с марта 2021 года по март 2022 года.
Только 17% заявили, что это было их первое нарушение. Кроме того, 60% заявили, что увеличили цены на свои продукты и услуги из-за потерь, понесенных в результате утечки данных. Они также продолжали записывать убытки еще долгое время после утечки, причем почти половина таких расходов была понесена более чем через год после инцидента.
Организации в США зафиксировали самую высокую среднюю стоимость утечки, которая выросла на 4,3% до 9,44 млн долларов, за ними следует регион Ближнего Востока, где средняя стоимость составила 7,46 млн долларов в этом году по сравнению с 6,93 млн долларов в 2021 году. Канада, Великобритания и Германия замыкают пятерку лидеров, набрав средние потери в размере $5,64 млн, $5,05 млн и $4,85 млн соответственно.
На шести рынках, включая Японию, Южную Корею и Францию, среди 17 проанализированных рынков наблюдалось снижение средней стоимости утечки.
Цепочки поставок и учетные данные пользователей подпитывают атаки
В целом, компаниям потребовалось в среднем 207 дней, чтобы выявить утечку, и 70 дней, чтобы сдержать ее, по сравнению с 212 днями в среднем в прошлом году на выявление и 75 дней на локализацию утечки.
Около 19% утечек были результатом атак на цепочку поставок, которые обошлись в среднем в 4,46 млн долларов США и составили на 26 дней дольше, чем в среднем по миру (277 дней). Нарушения в цепочке поставок были связаны с тем, что деловой партнер был первоначальной точкой компрометации.
Человеческие ошибки, которые включали в себя халатные действия сотрудников или внешних подрядчиков, составили 21% инцидентов, в то время как сбои в работе ИТ-систем компании, приведшие к потере данных, составили 24% утечек. К последним относились ошибки в исходных кодах или сбои процессов, такие как ошибки автоматической связи.
Около 11% утечек были атаками программ-вымогателей по сравнению с 7,8% в прошлом году и темпом роста 41%, но средняя стоимость таких атак немного снизилась до 4,54 млн долларов США с 4,62 млн долларов США в 2021 году.
В отчете говорится, что атаки с использованием украденных или скомпрометированных учетных данных остаются наиболее распространенной причиной утечки данных, на их долю приходится 19% всех инцидентов в этом году. Утечки в результате кражи или компрометации учетных данных обходятся в среднем в 4,5 миллиона долларов США за инцидент и имеют самый длительный жизненный цикл — 243 дня для выявления и 84 дня для локализации утечки.
Фишинг был второй по распространенности причиной утечки данных, на долю которой приходилось 16% от общего числа атак, но самой дорогостоящей со средними потерями в 4,91 миллиона долларов.
Среди секторов здравоохранение понесло рекордно высокие средние затраты на утечку в размере $10,1 млн, что почти на $1 млн больше, чем в 2021 году, и закрепило за ним звание самой дорогой отрасли. Фактически, затраты на утечки в этом секторе выросли на 41,6% с 2020 года.
Сектор финансовых услуг зафиксировал вторую по величине среднюю стоимость утечки в размере $5,97 млн, за ней следуют фармацевтика, технологии и энергетика с $5,01 млн, $4,97 млн и $4,72 млн соответственно.
Средняя стоимость утечки для организаций, использующих критически важную инфраструктуру, составила 4,82 млн долларов США, что на 1 млн долларов США больше, чем средняя стоимость для организаций в других секторах. Компании, занимающиеся критически важной инфраструктурой, работали в таких секторах, как финансовые услуги, энергетика, транспорт, здравоохранение и государственное управление.
Среди этих организаций 28% подверглись разрушительной атаке или атаке программ-вымогателей, а 17% указали на скомпрометированного партнера по цепочке поставок.
Снижение потерь с помощью рекламируемых стратегий безопасности
В исследовании IBM также изучались различия в влиянии утечки данных среди компаний, которые внедрили и не внедрили стратегии и технологии безопасности, такие как нулевое доверие, расширенное обнаружение и реагирование (XDR) и искусственный интеллект (AI).
В отчете отмечается, что почти 80% организаций критической инфраструктуры, не использующих стратегию нулевого доверия, столкнулись с более высокими средними затратами на утечку в размере $5,4 млн, что на $1,17 млн больше, чем в тех, кто внедрил фреймворк нулевого доверия. По всем направлениям 41% организаций заявили, что они внедрили систему безопасности с нулевым доверием, по сравнению с 35% в прошлом году, а остальные 59% не сделали того же.
Кроме того, те, кто развернул инструменты безопасности, искусственного интеллекта и автоматизации, столкнулись с более низкими затратами на утечки, которые были на 3,05 млн долларов ниже, чем их коллеги, которые не внедрили ни одного из таких инструментов. Им также потребовалось на 74 дня больше времени для выявления и локализации нарушений, чем тем, которые внедрили технологии безопасности, искусственного интеллекта и автоматизации.
Количество организаций, использующих такие инструменты, достигло 70% в этом году по сравнению с 59% в 2020 году.
Кроме того, 43% компаний, которые находились на ранних стадиях или еще не внедрили методы безопасности на своих облачных платформах, понесли более высокие потери в размере не менее 660 000 долларов США, чем те, у которых были зрелые облачные среды безопасности.
Около 44% утечек в исследовании произошли в облаке, причем те, которые произошли в гибридной облачной среде, стоили в среднем 3,8 млн долларов, по сравнению с 4,24 млн долларов за утечки в частных облаках и 5,02 млн долларов в общедоступных облаках.
Утечки, связанные с удаленной работой, обходятся в среднем почти на 1 млн долларов США на инцидент почти на 1 млн долларов США, чем утечки, в которых удаленная работа не была фактором.
Около 44% компаний внедрили технологии XDR, и их жизненный цикл утечек сократился — в среднем около месяца, по сравнению с их коллегами, которые не развертывали такие инструменты, которым потребовалось 304 дня для выявления и локализации утечки.
Среди организаций, подвергшихся атакам программ-вымогателей, те, кто заплатил, снизили затраты на нарушение на 610 000 долларов США (без учета стоимости выкупа) по сравнению с теми, кто решил не платить.
Кроме того, 62% компаний, заявивших, что они недостаточно укомплектованы персоналом для удовлетворения своих потребностей в кибербезопасности, столкнулись в среднем на 550 000 долларов США с более высокими затратами на утечки, чем те, которые были достаточно укомплектованы.