IBM 发布年度《数据泄露成本报告》，显示 2023 年全球数据泄露平均成本达到 445 万美元，比过去 3 年增加了 15%。创下该报告的历史新高。

报告显示，企业在计划如何应对日益增长的数据泄露频率和成本方面存在分歧。研究发现，虽然 95% 的受访企业经历过一次以上的数据泄露事件，但它们更倾向于将事件成本转嫁给消费者（57%），而不是增加安全投资（51%）。

时间就是金钱

报告显示，人工智能和自动化能够遏制数据泄露的速率，广泛使用人工智能和自动化技术的企业组织与未部署这些技术的相比，数据泄露周期缩短了 108 天，从而让事件成本显著降低180万美元。

“对于防御者和攻击者来说，时间是网络安全的新货币。正如报告所示，早期检测和快速响应可以显著减少漏洞的影响。” IBM 全球安全服务部总经理Chris McCurdy说道。“安全团队必须关注对手最成功的地方，并集中精力在他们实现目标之前进行阻止。对威胁检测和响应方法进行投资，例如人工智能和自动化，以提高防御者的速度和效率。”

此外，一些受害者会在遭到数据泄露攻击后不愿寻求执法部门的介入，认为这会让事情变得更加复杂，但此次报告研究发现，在没有执法部门干预或帮助的情况下数据泄露周期反而会增加33 天，与此带来的还有平均约47万美元的额外成本。在研究的受害者中，有47% 支付了赎金。显然，企业组织应该清楚认识到：支付赎金并逃避执法可能只会增加事件成本并减缓响应速度。

跨环境破坏数据

根据 IBM 的 2023 年威胁情报指数，防御者去年阻止勒索软件攻击的比例有所提高，但攻击者仍在寻找突破防御漏洞的方法。报告发现，只有三分之一的攻击行为是由企业组织自己的安全团队或工具检测到，而 27% 是由攻击者披露，40% 是由执法部门等第三方披露。

在研究的数据泄露事件中，40% 导致多个环境（包括公共云、私有云和本地）中的数据丢失，表明攻击者能够在避免检测的同时危害多个环境。研究发现，影响多个环境的数据泄露也会导致更高的泄露成本，平均达 475 万美元。

2023 年，医疗保健领域的数据泄露平均成本将达到近 1100 万美元，自 2020 年以来价格上涨了 53%。根据 2023 年 X-Force 威胁情报报告，攻击者已开始瞄准下游受害者，因为更容易窃取数据。攻击者以医疗记录为筹码，加大了对受害者支付赎金的压力。事实上，在所研究的所有行业中，客户个人身份信息是最常被泄露的记录类型，也是成本最高的。

对具有高水平 DevSecOps 的企业组织而言，数据泄露的全球平均成本比那些低水平或未使用 DevSecOps 方法的低了近 170 万美元。与去年相比，所研究的关键基础设施组织的平均数据泄露成本上升了 4.5%，从 482 万美元增加到 504 万美元，比全球平均水平高出 59 万美元。

参考来源：Average cost of a data breach reaches $4.45 million in 2023