創(chuàng)新實踐 分析報告 零信任

報告顯示，單個數(shù)據(jù)泄露事件，可能導(dǎo)致企業(yè)付出高達(dá)424萬美元的代價，創(chuàng)該報告發(fā)布17年以來的最高紀(jì)錄。且數(shù)據(jù)泄露成本在新冠病毒疫情期間創(chuàng)歷史新高。

2021 年 7 月 28 日,IBM Security 發(fā)布了一項年度全球研究結(jié)果。該研究發(fā)現(xiàn),每單個數(shù)據(jù)泄露事件令受訪公司所承擔(dān)的平均成本高達(dá) 424 萬美元,創(chuàng)該報告發(fā)布17 年以來的最高紀(jì)錄。該報告對 500 多家組織所經(jīng)歷的真實數(shù)據(jù)泄露事件進(jìn)行了深入分析,研究顯示,由于組織在新冠病毒疫情期間的運營方式發(fā)生了重大轉(zhuǎn)變,因此安全事件給組織造成了更大的損失(較去年增加了 10%),也更加難以遏制。

去年,面對新冠病毒疫情危機(jī),各行各業(yè)都被迫快速適應(yīng)新的技術(shù)方法,許多公司鼓勵或要求員工在家辦公,60% 的組織進(jìn)一步轉(zhuǎn)向云端開展各項業(yè)務(wù)。此次研究的新發(fā)現(xiàn)顯示,組織的安全性可能已經(jīng)跟不上這些迅速出現(xiàn)的 IT 變革,從而削弱了組織應(yīng)對數(shù)據(jù)泄露的能力。

這項由 Ponemon Institute 操刀、由IBM Security 贊助和分析的年度數(shù)據(jù)泄露成本報告,揭示受訪組織出現(xiàn)了以下幾個趨勢:

遠(yuǎn)程辦公造成的影響:組織在新冠肺炎肆虐期間迅速轉(zhuǎn)向遠(yuǎn)程辦公,導(dǎo)致數(shù)據(jù)泄露的成本增加。與未采用遠(yuǎn)程辦公的組織相比,采用遠(yuǎn)程辦公的組織的數(shù)據(jù)泄露成本平均高出 100 萬美元(分別為 496 萬美元和 389 萬美元)【注2】。

醫(yī)療數(shù)據(jù)泄露的成本飆升:對于那些在新冠病毒疫情肆虐期間面臨運營方式巨變的行業(yè)(醫(yī)療、零售、酒店和消費品生產(chǎn)/分銷),數(shù)據(jù)泄露成本與去年同期相比大幅增加。迄今為止,醫(yī)療行業(yè)的數(shù)據(jù)泄露成本最高,每次泄露事件的成本高達(dá) 923 萬美元,較去年增加了 200 萬美元。

證書被盜導(dǎo)致數(shù)據(jù)泄露:研究顯示,用戶證書被盜是最常見的數(shù)據(jù)泄露根本原因。與此同時,客戶個人數(shù)據(jù)(如姓名、電子郵件、密碼)是數(shù)據(jù)泄露事件中最常見的被泄露的信息—— 44% 的泄露事件涉及此類數(shù)據(jù)。這些因素的疊加會導(dǎo)致螺旋效應(yīng),因為用戶名/密碼的泄露為攻擊者提供了未來發(fā)動更多數(shù)據(jù)盜竊的籌碼。

現(xiàn)代化的方法可降低成本:采用人工智能、安全分析和加密是降低數(shù)據(jù)泄露成本的三大緩解因素。與沒有廣泛采用這些工具的企業(yè)相比,使用這些工具的企業(yè)可節(jié)省 125 萬至 149 萬美元。在此次研究所涉及的云數(shù)據(jù)泄露事件當(dāng)中,實施混合云方法的組織其數(shù)據(jù)泄露成本(361 萬美元)低于主要采用公有云的組織(480 萬美元)或主要采用私有云的組織(455 萬美元)。

IBM Security 副總裁兼總經(jīng)理 Chris McCurdy 表示:“在新冠病毒疫情期間,企業(yè)經(jīng)歷了技術(shù)上的迅速轉(zhuǎn)變,隨之而來的數(shù)據(jù)泄露成本增加是企業(yè)不得不承擔(dān)的又一項額外支出。盡管數(shù)據(jù)泄露成本在去年創(chuàng)下了歷史新高,但這份報告同時也顯示,采用現(xiàn)代化的安全策略(例如:人工智能、自動化和采用零信任方法)會產(chǎn)生積極影響,有望降低此類數(shù)據(jù)泄露事件的成本。”

遠(yuǎn)程辦公與上云對數(shù)據(jù)泄露的影響

隨著整個社會在新冠病毒疫情期間更加依賴數(shù)字交互,企業(yè)在不斷適應(yīng)網(wǎng)絡(luò)世界的過程中也逐漸接受了遠(yuǎn)程辦公和云環(huán)境。報告發(fā)現(xiàn),這些因素對數(shù)據(jù)泄露響應(yīng)產(chǎn)生了重大影響。接受調(diào)查的組織之中有近 20% 表示,遠(yuǎn)程辦公是導(dǎo)致數(shù)據(jù)泄露的一個因素,而此類數(shù)據(jù)泄露則給公司造成高達(dá) 496 萬美元的損失(比平均水平高出近 15%)。

在云遷移項目期間遭遇數(shù)據(jù)泄露事件的企業(yè)所承擔(dān)的成本比平均水平高出 18.8%。然而,該研究還發(fā)現(xiàn),那些在整體云現(xiàn)代化戰(zhàn)略中走得更遠(yuǎn)的企業(yè)(進(jìn)入“成熟”階段)能夠?qū)?shù)據(jù)泄露事件做出更有效的檢測和響應(yīng),比處于“早期“階段的企業(yè)平均快 77 天。此外,在此次研究涉及的云數(shù)據(jù)泄露事件當(dāng)中,實施混合云方法的組織其數(shù)據(jù)泄露成本(361 萬美元)低于主要采用公有云的組織(480 萬美元)或主要采用私有云的組織(455 萬美元)。

證書泄露的風(fēng)險呈上升趨勢

該報告還揭示了一個日益嚴(yán)重的問題——即消費者數(shù)據(jù)(包括證書)在數(shù)據(jù)泄露事件中被盜,之后可被用于進(jìn)一步發(fā)動攻擊。82% 的受訪個人承認(rèn),他們在多個賬戶中重復(fù)使用相同密碼,因此,證書被盜既是數(shù)據(jù)泄露的主要原因,也是數(shù)據(jù)泄露的結(jié)果,這導(dǎo)致企業(yè)同時面臨多重風(fēng)險。

個人數(shù)據(jù)暴露:在調(diào)查中,近一半 (44%) 的泄露事件都分析了暴露在外的客戶個人數(shù)據(jù),例如姓名、電子郵箱、密碼,甚至是醫(yī)療數(shù)據(jù),這些都是報告中最常見的泄露記錄類型。

客戶個人身份信息(PII) 泄露造成的損失最大:與其他類型的數(shù)據(jù)相比,客戶個人身份信息泄露造成的損失最大——每條個人身份信息丟失或被盜造成的損失高達(dá) 180 美元,相較于總體每條信息被盜造成的平均損失為 161 美元。

最常見的攻擊方法:利用泄露的用戶證書是攻擊者最常用的切入點,本次研究涉及的所有漏洞事件中有 20%,攻擊者都是用這種方法來發(fā)動攻擊。

需要更長時間才能發(fā)現(xiàn)并遏制數(shù)據(jù)泄露:發(fā)現(xiàn)因用戶憑證被盜而導(dǎo)致的數(shù)據(jù)泄露所需的時間最長——平均需要 250 天才能發(fā)現(xiàn),相較于所有數(shù)據(jù)泄露類型的平均發(fā)現(xiàn)時間為 212 天。

現(xiàn)代化企業(yè)的數(shù)據(jù)泄露成本較低

雖然企業(yè)在新冠病毒疫情期間進(jìn)行的 IT 轉(zhuǎn)型導(dǎo)致數(shù)據(jù)泄露成本增加,但是,那些沒有為了實現(xiàn)經(jīng)營現(xiàn)代化而實施任何數(shù)字化轉(zhuǎn)型項目的組織遭受的損失更大。那些沒有因為新冠病毒疫情而進(jìn)行任何數(shù)字化轉(zhuǎn)型的組織,因每次數(shù)據(jù)泄露事件而承擔(dān)的成本比平均水平高 75 萬美元(比平均水平高 16.6%)。

研究表明,采用零信任安全方法的企業(yè)能夠更好地應(yīng)對數(shù)據(jù)泄露事件。零信任方法是假設(shè)用戶身份或網(wǎng)絡(luò)本身可能已經(jīng)受到攻擊,在此前提下依靠人工智能和分析來持續(xù)驗證用戶、數(shù)據(jù)與資源之間的連接。擁有成熟的零信任策略的組織,其平均數(shù)據(jù)泄露成本為 328 萬美元,比未部署該方法的組織低 176 萬美元。

報告還顯示,與前幾年相比,更多企業(yè)正在部署安全自動化,從而節(jié)省了大量成本。大約 65% 的受訪企業(yè)表示,他們在企業(yè)安全環(huán)境中部分或全面部署了自動化,而兩年前這一比例僅為 52%。那些已“全面部署”安全自動化策略的組織因每次數(shù)據(jù)泄露而承擔(dān)的平均成本為 290 萬美元,而那些未部署自動化的組織的平均成本要高出一倍多,達(dá)到 671 萬美元。

此外,對事件響應(yīng)團(tuán)隊和計劃的投資降低了受訪企業(yè)的數(shù)據(jù)泄露成本。設(shè)有事件響應(yīng)團(tuán)隊并對事件響應(yīng)計劃進(jìn)行測試的企業(yè),其平均成本為 325 萬美元,而那些既沒有響應(yīng)團(tuán)隊,也未進(jìn)行測試的企業(yè),其平均成本為 571 萬美元(相差 54.9%)。

更多關(guān)于2021 年報告的發(fā)現(xiàn)還包括:

響應(yīng)時間:發(fā)現(xiàn)并遏制數(shù)據(jù)泄露所需的平均時間為 287 天(發(fā)現(xiàn)所需的時間為 212 天,遏制所需的時間為 75 天),比去年報告的時間長一周。

超大規(guī)模數(shù)據(jù)泄露:導(dǎo)致 5,000 萬至 6,500 萬條記錄泄露的超大規(guī)模數(shù)據(jù)泄露的平均成本為 4.01 億美元。【注3】這比報告中研究的大多數(shù)數(shù)據(jù)泄露事件(泄露數(shù)量在 1,000-100,000 條之間)的成本高出近 100 倍。

按行業(yè)分析:醫(yī)療行業(yè)的數(shù)據(jù)泄露成本最高(923 萬美元),其次是金融行業(yè)(572 萬美元)和制藥行業(yè)(504 萬美元)。雖然零售、媒體、酒店和公共部門的總體成本較低,但較去年也有大幅增加。

按國家/地區(qū)分析:美國的數(shù)據(jù)泄露成本最高,每次事件的成本高達(dá) 905 萬美元,其次是中東(693 萬美元)和加拿大(540 萬美元)

研究方法及其它數(shù)據(jù)泄露統(tǒng)計數(shù)據(jù)

IBM Security 和 Ponemon Institute 對全球 500 多個組織在 2020 年 5 月至 2021 年 3 月期間經(jīng)歷的涉及 100,000 條或以下記錄的真實數(shù)據(jù)泄露事件進(jìn)行了深入分析,在此基礎(chǔ)上發(fā)布了《2021 年數(shù)據(jù)泄露成本報告》。本報告考慮了數(shù)據(jù)泄露事件涉及的數(shù)百個成本因素,包括法律、監(jiān)管和技術(shù)活動以及數(shù)據(jù)泄露帶來的品牌資產(chǎn)、客戶和員工生產(chǎn)力損失等等。