IBM：企业数据外泄成本创新高

IBM日前发布报告指出，过去一年间企业数据外泄金额与影响程度创新高，尤其关键基础设施企业的受损成本较一般企业更高，而过去3年来勒索软件攻击的持续时间从2个多月缩短至4天以内，表示网安人员可因应时间变得相当紧凑。

IBM Security《2022年企业数据外泄成本报告》探讨全球550家企业和组织，在2021年3月~2022年3月间遭遇的真实数据外泄事件。83%受访企业表示，曾遭遇不止一次的数据外泄事件，45%发生在云端，且17%表示是首次发生。79%受访的关键基础设施型企业尚未采用IT零信任策略架构，有17%是受其合作伙伴遭受的攻击波及。

单起数据外泄事件使企业成本平均增加435万美元，创纪录新高且较2020年度的386万美元成长12.7%。关键基础设施型企业(包括金融服务、工业、科技、能源、交通、通讯、医疗、教育及公用事业等)因数据外泄而增加的成本平均高达482万美元。

受访的关键基础设施企业的数据外泄事件，有28%是由勒索软件和破坏式攻击造成；黑客透过攻击基础设施型企业，破坏与其紧密依存的全球供应链。此外，医疗照护产业已连续12年成为数据外泄平均成本最高的行业，在2022年增加将近100 万美元、来到史上最高的1,010万美元。

报告指出，发生数据外泄事件时，单纯支付赎金并非有效的因应策略，如果将高昂的赎金(根据Sophos数据显示，2021年平均勒索赎金为81.2 万美元)纳入成本考量，交付赎金的受害企业遭受的经济损失可能更大。

此外，43%的受访企业表示，尚未在其多云环境中部署安全解决方案、或是处于早期部署阶段；比起拥有多云安全方案的受访企业，安全方案不成熟的企业支付的数据外泄成本平均高出66万美元。已全面部署AI和自动化安全解决方案的受访企业，其数据外泄的平均成本要比未部署相关技术的企业少305万美元。

网络犯罪「产业化」不断推进勒索软件的发展，IBM网安团队IBM Security X-Force发现，网攻生命周期「指数级」的缩短，可能造成更严重的影响。因为网安人员可进行检测和遏制攻击的反应时间变得非常短。随着发动勒索的时间骤减到几小时内，企业必须将预先严谨测试事件回应(IR)列为优先工作项目。

报告也指出，高达37%的受访组织虽已制定了IR计划，却并没有定期演练。混合云是近半数受访企业采用的IT环境，采用率45%。采用混合云架构的企业数据外泄平均成本为380万美元，低于单纯采用公有云(502 万美元)或私有云(424万美元)模式的企业。

责任编辑：朱原弘