Средние затраты на утечку данных вырастут до 4.4 млн долларов в 2022 году

Согласно годовому отчету, опубликованному 27 июля, XNUMX% нарушений привели к тому, что компании возместили стоимость штрафов, очистки и технологических усовершенствований за счет повышения цен, что, по сути, заставило потребителей платить за нарушения и неподготовленность компаний.

В отчете «Cost of Data Breach Report 2022», основанном на опросе руководителей и специалистов по безопасности в 550 компаниях, говорится, что средняя стоимость утечки данных продолжала расти в 2022 году, достигнув в среднем 4.4 млн долларов по всему миру (рост на 13% по сравнению с 2020) и 9.4 миллиона долларов в США. В среднем компаниям требовалось 277 дней для выявления и пресечения утечек данных по сравнению с 287 днями в 2021 году, а 83% компаний пострадали более чем от одной утечки.

«Ясно, что кибератаки превращаются в рыночные стрессоры, вызывающие цепные реакции, [и] мы видим, что эти нарушения способствуют инфляционному давлению», — говорит Джон Хендли, руководитель отдела стратегии исследовательской группы IBM Security X-Force. «Мы должны думать о киберсобытиях как о факторах, способных вызвать нагрузку на экономику, подобно COVID, войне в Украине, ценам на газ и всему этому».

Ассоциация годовой отчет, основанный на опросах, проведенных Ponemon Institute, — это не первая попытка оценить влияние нарушений на балансы предприятий. В прошлом году исследование, проведенное фирмой по обеспечению безопасности IronNet, показало, что большинство компаний пострадали от атаки цепочки поставок на фирму по управлению сетями SolarWinds. падение выручки на 11% в связи с инцидентом. 

В целом, по оценкам экспертов, инцидент обойдется самой SolarWinds примерно в около 18 миллионов долларов. Что касается 18,000 100 пострадавших предприятий и государственных учреждений (и примерно XNUMX организаций, которые в конечном итоге были скомпрометированы), они столкнулись с 100 миллиардов долларов затрат на очистку, по анализам.

«Киберналог» на потребителей

Хотя эксперты по кибербезопасности все чаще призывают компании рассчитывать на компрометацию своих систем, у них по-прежнему возникают проблемы с остановкой злоумышленников, и они перекладывают расходы на потребителей, отмечает Хендли. Это говорит о том, что утечка данных и кибератаки создают налог на кибербезопасность, утверждает он, увеличивая затраты для последующих потребителей и клиентов.

«Когда вы думаете о том факте, что 83% предприятий хотя бы раз в жизни подвергались взлому, я думаю, становится сложно сказать, что нам нужно применять штрафные санкции, чтобы помочь предотвратить нарушения», — говорит Хендли. «Всегда будет путь внутрь, поэтому я думаю, что лучшая инвестиция, которую мы можем сделать, — это попытаться сместить линию с защиты периметра на мышление атакующего».

Помимо обозначения нарушений и штрафов как киберналога, в отчете отмечены различные тенденции в отраслях, сталкивающихся с кибератаками. Компании, которые смогли сократить общее время обнаружения нарушений и реагирования до менее чем 200 дней, сэкономили 1.1 миллиона долларов, или 23% от средней стоимости взлома.

Затраты на утечку данных самые высокие в здравоохранении 

Стоимость одной утечки данных значительно варьировалась в зависимости от типа затронутой отрасли. Жестко регулируемый сектор здравоохранения по-прежнему выплачивал самые высокие суммы за компрометацию данных, достигнув в среднем 10 миллионов долларов за утечку в 2022 году, по сравнению с финансовыми компаниями, которые платили в среднем 6 миллионов долларов за утечку данных, что является второй по величине стоимостью взлома. Фармацевтические компании и технологические фирмы, по сути, делят третье место, платя около 5 миллионов долларов за каждое нарушение.

Программы-вымогатели продолжали оказывать значительное влияние на бизнес, несмотря на признаки того, что в этом году количество атак программ-вымогателей несколько уменьшилось. Опрос показал, что компании, которые платят выкуп, тратят меньше на уборку, но высокие суммы выкупа сводят на нет большую часть экономии. Кроме того, по данным отчет «Программы-вымогатели: реальная цена для бизнеса» опубликовано охранной фирмой Cybereason в прошлом году.

Программы-вымогатели обходятся не так дорого, как фишинговые атаки

Другое исследование выявило влияние программ-вымогателей на компании, которые не подготовились должным образом к разрушительным атакам. По их словам, две трети глобальных фирм, пострадавших от программ-вымогателей, понесли значительную потерю доходов, как и 58% опрошенных в американских компаниях. В целом атаки привели к тому, что 31% глобальных компаний закрыли часть своего бизнеса.

«Интересно видеть разницу в стоимости между жертвами программ-вымогателей, которые решили заплатить, и теми, кто предпочел не платить», — Николь Хоффман, старший аналитик по киберугрозам в Digital Shadows, фирме по защите от цифровых рисков. «Те, кто платит, часто снова становятся мишенью в течение нескольких месяцев после первоначальной атаки, что значительно увеличивает финансовые потери. Эти факторы важно учитывать при принятии сложного делового решения о том, платить или нет».

Тем не менее, первоначальный вектор атаки также оказал значительное влияние на стоимость. Компрометация корпоративной электронной почты (BEC) и фишинговые атаки привели к самым высоким средним затратам на взлом — около 4.9 млн долларов США за инцидент — при этом ущерб от сторонних уязвимостей и скомпрометированных учетных данных составил примерно 4.5 млн долларов США за инцидент.

В отчете IBM-Ponemon также отмечены технологии, которые могут оказать наибольшее влияние на затраты на утечку данных. Компании, которые используют технологии искусственного интеллекта и машинного обучения (AI/ML), процессы DevSecOps и сформировали группу реагирования на инциденты, сэкономили около 300,000 276,000, 253,000 XNUMX и XNUMX XNUMX долларов на каждый инцидент соответственно. 

Напротив, компании, которые страдали от сложности системы безопасности, переносили бизнес в облако и имели проблемы с соблюдением требований, наблюдали наибольший рост затрат на каждый инцидент.

Отчет основан на более чем 3,600 интервью с представителями 550 компаний разного размера с акцентом на взломе от 2,200 до 102,000 записей. Нарушения за пределами этого диапазона не учитывались.