IBM发布《2021年数据泄露成本报告》

近日，已经步入17个年头的《2021年数据泄露成本报告》重磅发布，这份全球性报告已成为网络安全行业中领先的基准报告之一，综合了来自 17个国家和地区、17个行业的 537个组织机构的研究结果，以展示全球平均情况。

[[423199]]

由 Ponemon Institute 操刀、由 IBM Security 赞助和分析的年度数据泄露成本报告，揭示受访组织出现了以下趋势：

(1) 2020-2021年间数据泄露的平均总成本增加了 10%

数据泄露成本从 386万美元上升到 424万美元，成为本报告有史以来最高的年度平均总成本。

(2) 远程办公造成数据泄露的成本增加

众多组织在疫情期间迅速转向远程办公，导致数据泄露的成本增加。与未采用远程办公的组织相比, 采用远程办公的组织的数据泄露成本平均高出 100万美元 (分别为 496万美元和 389万美元)。

(3) 凭证被盗导致数据泄露

研究显示，用户凭证被盗是最常见的数据泄露根本原因。与此同时，客户个人数据 (如姓名、电子邮件、密码) 是数据泄露事件中最常见的被泄露的信息—44% 的泄露事件涉及此类数据。这些因素的叠加会导致螺旋效应，因为用户名/密码的泄露为攻击者提供了未来发动更多数据盗窃的筹码。

(4) 零信任方法有助于降低数据泄露事件的平均成本

未部署零信任方法的组织，其数据泄露的平均成本为 504万美元。然而，部署成熟的零信任方法的组织，其数据泄露的平均成本为 328万美元，比未部署零信任方法的组织少 176万美元，相差 2.3%。

(5) 超大规模数据泄露

导致 5,000万至 6,500万条记录泄露的超大规模数据泄露的平均成本为 4.01亿美元。这比报告中研究的大多数数据泄露事件(泄露数量在 1,000-100,000条之间)的成本高出近 100倍。

(6) 数据泄露成本TOP 3 行业

医疗行业的数据泄露成本最高(923万美元)，其次是金融行业(572万美元)和制药行业(504万美元)。虽然零售、媒体、酒店和公共部门的总体成本较低，但较去年也有大幅增加。

(7) 数据泄露成本TOP 3 国家/地区

美国的数据泄露成本最高，每次事件的成本高达 905万美元，其次是中东(693万美元)和加拿大(540万美元)。

(8) 识别和遏制数据泄露事件所需的时间越长成本就越高

花费超过 200天的时间来识别和遏制数据泄露事件的平均成本为 487万美元，而花费不到 200天来识别和遏制数据泄露事件的平均成本仅为 361万美元。总体而言，识别和遏制数据泄露事件平均需要 287天，比上一份报告长 7天。

远程办公与上云对数据泄露的影响

随着整个社会在疫情期间更加依赖数字交互，企业在不断适应网络世界的过程中也逐渐接受了远程办公和云环境。报告发现，这些因素对数据泄露响应产生了重大影响。接受调查的组织之中有近 20% 表示，远程办公是导致数据泄露的一个因素，而此类数据泄露则给公司造成高达 496万美元的损失 (比平均水平高出近 15%)。

在云迁移项目期间遭遇数据泄露事件的企业所承担的成本比平均水平高出 18.8%。然而，该研究还发现，那些在整体云现代化战略中走得更远的企业 (进入“成熟”阶段) 能够对数据泄露事件做出更有效的检测和响应，比处于“早期”阶段的企业平均快 77天。此外，在此次研究涉及的云数据泄露事件当中，实施混合云方法的组织其数据泄露成本 (361万美元) 低于主要采用公有云的组织 (480万美元) 或主要采用私有云的组织 (455万美元)。

现代化企业的数据泄露成本较低

采用人工智能、安全分析和数据加密是降低数据泄露成本的三大缓解因素。与没有广泛采用这些工具的企业相比，使用这些工具的企业可节省 125万至 149万美元。

研究表明，采用零信任安全方法的企业能够更好地应对数据泄露事件。零信任方法是假设用户身份或网络本身可能已经受到攻击，在此前提下依靠人工智能和分析来持续验证用户、数据与资源之间的连接。拥有成熟的零信任策略的组织,其平均数据泄露成本为 328万美元，比未部署该方法的组织低 176万美元 。

报告还显示，与前几年相比，更多企业正在部署安全自动化，从而节省了大量成本。大约 65% 的受访企业表示，他们在企业安全环境中部分或全面部署了自动化，而两年前这一比例仅为 52%。那些已“全面部署”安全自动化策略的组织因每次数据泄露而承担的平均成本为 290万美元，而那些未部署自动化的组织的平均成本要高出一倍多，达到 671万美元。