计算数据泄露的成本并不容易，但随着受到攻击的组织数量不断增加，其财务影响也变得越来越明显。

也就是说，下面我们整理了各种数据点，帮助您了解数据泄露的成本，以及数据泄露可能对您的公司产生的财务影响。

目录：

根据 2023 年 IBM数据泄露成本报告，数据泄露的平均成本达到 445 万美元，创下历史新高。这比去年的平均水平 435 万美元增长了 2.3%，比 2020 年报告（386 万美元）增长了 15.3%。

在这篇文章中，我们将总结报告中的要点，以便您可以更好地管理您的安全投资并根据真实数据做出明智的安全决策。

2023 年 IBM 数据泄露成本报告的十大调查结果

Poneman Institute 与 IBM 合作，研究了 2022 年 3 月至 2023 年 3 月期间受数据泄露影响的 553 个组织。该报告基于 16 个国家和 17 个行业的泄露事件，并从 3,475 次采访中收集了数据。

1. 全球数据泄露平均成本增加了 2.3%。

2023 年，数据泄露造成的损失升至 445 万美元，比上一年增加了 10 万美元以上。如下所示，自 2017 年以来，平均数据泄露成本每年都在持续增加。

2023 年每条记录的平均成本为 165 美元。在过去七年中，数据泄露的每条记录成本增加了 13.79%，如下所示：

2. 51% 的组织计划在发生漏洞后增加安全投资。

尽管数据泄露成本持续上升，但参与者对于是否计划在事件发生后增加安全支出的问题几乎存在分歧。在发生违规后增加支出的 51% 中，最常见的投资是事件响应规划和测试，占 50%。其次是员工培训（46%）。威胁检测和响应技术位居第三，占 38%。最常见投资的细分如下所示：

3. 安全人工智能和自动化平均降低数据泄露成本 176 万美元。

利用安全 AI 和自动化的组织比未利用安全 AI 和自动化的组织更快地控制了数据泄露 108 天。此外，平均数据泄露成本为 360 万美元，比不使用这些功能的组织少了 176 万美元。

4. 只有三分之一的违规行为是由内部安全团队和工具发现的。

内部安全团队和工具仅发现了 33% 的违规行为。在 40% 的违规事件中，善意的第三方发现了问题。在勒索软件案例中，攻击者向受害者披露了 27% 的违规行为。

据攻击者披露，一次攻击的平均成本为 523 万美元。该数字比组织内部安全团队发现违规行为时的平均成本高出 19.5%（或 30,000 美元）。内部安全团队发现的违规行为平均损失 430 万美元。这个数字比攻击者披露漏洞时减少了超过 100 万美元。

5. 涉及执法的组织节省了时间和金钱。

在遭受勒索软件攻击的组织中，37% 选择不涉及执法部门。总体而言，涉及执法部门的违规行为成本较低。就执法而言，勒索软件泄露的平均成本为 464 万美元。

相比之下，不涉及执法时的平均成本为 511 万美元。这是 9.6% 的差异。通过让执法部门参与勒索软件攻击，各组织节省了约 470,000 美元。

6. 医疗保健行业的平均数据泄露成本增长了 53.3%。

尽管监管水平很高，并且被美国政府视为关键基础设施，但医疗保健行业仍然面临着所有行业中最高的数据泄露成本。过去三年，医疗保健数据泄露的平均成本激增了 53%。2023年，平均成本达到1093万美元。

以下是每个行业数据泄露成本的细分：

7. 82% 的泄露涉及存储在云端的数据。

泄露数据的存储位置会影响泄露的成本和持续时间。虽然攻击者主要关注云环境，但在 39% 的违规事件中，攻击者同时访问了受害者的云和本地环境。多种环境攻击造成的损失高于平均水平，达 475 万美元。为了降低这种风险，采用混合云设置的组织必须关注强大的加密、数据安全和数据访问策略。

8. 三大成本降低因素是 DevSecOps、IR 和员工培训。

在研究的 27 个因素中，将 DevSecOps 集成到软件开发周期中的组织与未将 DevSecOps 集成到软件开发周期中的组织相比，泄露的平均成本显示出 168 万美元或 38.4% 的差异。此外，进行过重大事件响应 (IR) 规划和测试的公司与未进行过重大事件响应 (IR) 规划和测试的公司之间存在 149 万美元或 34.1% 的成本差异。最后，实施员工培训的公司与未实施员工培训的公司之间存在 150 万美元的差异，即 33.9%。

9. 复杂的安全性会增加违规的平均成本。

报告安全系统复杂性较高的组织的平均违规成本为 528 万美元。相比之下，安全复杂性较低的组织的平均违规成本仅为 384 万美元。换句话说，较高的安全复杂性会使违规成本增加 31.6%。

10. 缩短数据泄露生命周期可节省 102 万美元。

将数据泄露生命周期控制在 200 天以内，平均成本为 393 万美元。花费超过 200 天的时间来识别和遏制违规行为的平均成本为 495 万美元。通过将漏洞生命周期控制在 200 天以内，组织平均节省了 102 万美元。

数据泄露的平均生命周期有多长？

尽快检测并遏制数据泄露对于最大程度地减少其可能造成的损害至关重要。

数据泄露生命周期是指初始检测到遏制之间所经过的时间。换句话说，从最初发现事件到组织解决问题并在违规后恢复服务的时间。

2022 年，组织识别违规行为的平均时间为 207 天。2023年，只用了204天。另一方面，2023 年，组织平均需要 73 天来遏制违规行为，而 2022 年，平均只需要 70 天。

如前所述，数据泄露生命周期越短，组织的总体业务成本就越低。

最常见的初始攻击媒介是什么？

31% 的泄露事件是由凭据被盗或泄露造成的。凭证通常通过信息窃取恶意软件、第三方违规和网络钓鱼攻击而泄露。

在各种数据泄露原因中，因凭证被盗或泄露而导致的泄露需要最长的时间才能解决。我们花了 328 天（即近 11 个月）才遏制这些违规行为。相比之下，遏制数据泄露的总体平均时间为 277 天，即缩短了近两个月。

持续了解员工、客户和软件供应商泄露的凭据的组织能够在犯罪分子利用被盗凭据之前重置这些凭据。

按国家/地区划分的数据泄露平均成本

不同国家的数据泄露成本差异很大。

美国数据泄露造成的财务影响明显高于世界其他地区，每次事件的平均损失为 948 万美元，是全球平均水平的两倍多。

中东紧随其后，成为数据泄露成本第二高的地区，平均损失高达 807 万美元。

加拿大位列前三，同年平均数据泄露成本为 513 万美元。

按国家或地区划分的数据泄露平均成本明细如下：