2016数据泄露成本有多高!

上月，IBM与Ponemon研究所联合发布了《2016年数据泄露成本研究:全球分析》报告。通过对全球12个国家和地区的383家企业的调研，分析数据泄露成本状况，并就如何防范和减少损失给出参考建议。

根据研究发现，参与本项研究的383家企业的平均数据泄露总成本为400万美元，3年来增加了29%；每条丢失或被盗记录的平均成本为158美元，3年来增加了15%。

根据此报告中文版全文，整理出主要研究结论以供各位参考。

1、全球和行业数据泄露成本差别

三年数据泄露的企业总平均成本

不同国家/地区的平均企业数据泄露成本有所不同。与去年相比，除了澳大利亚和南非，所有国家/地区的总平均成本均有所增加。美国样本的总平均成本最高，价值超过701万美元；德国紧随其后，价值为501万美元。相比之下，印度和南非企业的总平均成本最低，分别为160万美元和187万美元。

三年数据泄露的平均每条记录成本

不同国家/地区样本之间的差异很显著。美国和德国的每条记录平均成本依然最高，分别为221美元和213美元。印度和巴西的成本最低，分别为61美元和100美元。

每条记录的平均成本（按行业划分）

某些行业的数据泄露成本较高。受到严格监管的行业（如医疗、教育和金融企业）的每条记录平均数据泄露成本远高于158美元的整体平均值。公共部门、科研和运输机构的每条记录平均成本则低于整体平均值。

2、引发数据泄露的根本原因

基准样本分布状况（按数据泄露根源划分）

从饼图上可以看出，绝大部分数据泄露由恶意或犯罪攻击导致。48%的事故涉及恶意或犯罪攻击，25%因员工或承包商疏忽（人为错误）导致，另有27%的事故涉及系统故障（包括IT和业务流程故障）。

注：疏忽的内部人员是指因个人粗心大意导致数据泄露的个人,如数据泄露事后调查中所定义的。恶意攻击可能由黑客或内部犯罪分子（员工、承包商或其他第三方）引发。最常见的恶意或犯罪攻击类型包括恶意软件感染、内部犯罪分子、网络钓鱼/社交。

三大数据泄露根源的每条记录平均成本

如图所示，恶意攻击在全球范围内带来的损失较高。2016年，恶意或犯罪攻击引发的数据泄露成本高达170美元，远高于系统故障和人为因素造成的数据泄露每条记录平均成本（分别为138美元和133美元）。

3、影响数据泄露成本的因素

16项因素对于数据泄露时每条记录平均成本的影响

某些因素会降低数据泄露的成本。如图所示，事故响应团队、广泛应用加密、员工培训、参与威胁共享体系或业务持续性管理均有助于降低数据泄露时每条记录平均成本。  

第三方参与事故、大规模云迁移、紧急通知或设备丢失或被盗所引发的数据泄露则会增加泄露的每条记录平均成本（显示为负数）。例如，事故响应团队将数据泄露成本降低了 16 美元，从 158 美元直降至 142 美元。然而，第三方参与导致数据泄露的成本增加 14 美元，从 158 美元增至 172 美元。

4、企业发生数据泄露的概率

根据研究中掌握的企业经验，我们相信我们可以根据以下两项因素预测数据泄露概率：丢失或被盗的记录数和企业所属行业。

发生包含 10,000 至 100,000 条记录的数据泄露的概率

从中可以看出，随着规模的增加，数据泄露的发生概率稳步降低。预计未来24个月发生包含10000条记录（最低规模）的数据泄露的概率约为26%，发生包含100000条记录的数据泄露的概率不足1%。

发生包含10,000条记录的数据泄露的概率（按国家/地区划分）

某些国家/地区的企业更容易发生数据泄露。尽管样本数较少对我们推断国家/地区差异具有一定的阻碍作用，但不同国家/地区估算得出的重大数据泄露概率差异很大。  

据估计，巴西和南非发生数据泄露的概率似乎最高。德国和澳大利亚发生数据泄露的概率最低。

5、识别并控制数据泄露所需的平均时间

这里有两个指标：平均识别时间和平均控制时间。平均识别时间指标旨在帮助企业了解需多长时间才能检测到已发生的事故，而平均控制时间指标则用于测量响应小组解决问题并最终恢复服务正常运行所需的时间。

数据泄露事故的平均识别时间和平均控制时间（单位：天）

根据 383 家企业的综合样本，估算出的平均识别时间为201天，时间范围介于20至 569天。平均控制时间70天，时间范围介于11至126天。

数据泄露事故的平均识别时间和平均控制时间（按根源划分；单位：天）

从数据泄露根源上看，恶意犯罪攻击的识别时间和控制时间均最高（分别为229天和82天），人为错误导致的数据泄露成本则低得多（分别为162天和59天）。

平均识别时间与总平均成本之间的关系

根据线性回归分析，二者之间存在重大关系。这表明了无法快速识别数据泄露将会导致成本更高，以及制定好事故响应计划的重要性。如果平均识别时间不足100天，识别数据泄露的平均成本为323万美元。如果超过100天，则成本为438万美元。

平均控制时间与总平均成本之间的关系

同样，根据线性回归分析，平均控制时间与总平均成本之间存在重大关系。这种重大关系表明未能快速控制数据泄露将会导致更高的成本。如果在30天内控制数据泄露，则控制成本为318万美元。如果超过30天，则成本为435万美元。

通过对这份研究报告的简单回顾，我们可以发现当前数据泄露成本逐年攀升。这对企业造成巨大的经济损失和商誉损害。防止数据泄露已迫在眉睫。从影响因素上看，加强员工培训、广泛应用加密、建立专门团队等将有利于降低数据泄露成本。从根本原因上看，必须重点防范黑客或内部犯罪分子的恶意或犯罪攻击。从事故处理上看，如果能尽快识别并控制事故蔓延，就能极大的降低数据泄露成本。

遵循以上思路科诺斯科采用世界领先的加密技术精确保护各类数据，严格防止黑客入侵、间谍窃取、内部人员泄密等行为，避免由此造成的经济损失。通过建立完善的日志审计体系，即使发生数据泄露，也能在第一时间找到泄露源头，最大程度降低企业损失。