Średni łączny koszt naruszenia ochrony danych wzrósł o 10% od 2014 r. – piszą eksperci IBM w dokumencie „Raport z badania kosztów naruszeń ochrony danych – 2020”. Największa część tych obciążeń przypada na utratę zysków z prowadzenia działalności (ok. 39%), z kolei najniższym jest konieczność powiadomienia o naruszeniu ochrony danych (ok. 6% łącznego kosztu). Segmentując wydatki, należy mieć również na uwadze te związane z wykrywaniem zagrożeń (ok. 28%) oraz koniecznością podjęcia działań po ich zaistnieniu (ok. 25%). Niepokojącym trendem jest fakt, że koszty związane z utratą przychodów wzrosły w stosunku do poprzedniego roku.
Przyczyny naruszeń ochrony danych
Naruszenia można podzielić na trzy grupy:
- błędy w działaniu systemów, np. występujące w procesach informatycznych i biznesowych
- błędy spowodowane przez pracowników i podwykonawców
- ataki dokonywane przez cyberprzestępców lub osoby działające wewnątrz organizacji.
Wyniki nie są zaskakujące – w 52% przypadków incydenty miały związek z celowym działaniem osób, w 25% przypadków były wynikiem błędu systemu, natomiast w 23% przyczynę stanowił błąd ludzki. Jednocześnie celowy atak to najbardziej kosztowna przyczyna – z badania za rok 2020 wynika, że pojedynczy incydent obciąża średnio firmę na kwotę 4,27 mln dolarów, przejściowe usterki – 3,38 mln, natomiast błąd ludzki kosztuje 3,33 mln dolarów. Warto zwrócić uwagę na jeszcze jeden aspekt wynikający z przeprowadzonych badań – w 19% spraw pierwotnie wykorzystywanym wektorem w grupie celowych ataków były błędy w konfiguracji serwerów (podobny procent stanowią przestępstwa związane z kradzieżą lub ujawnieniem danych uwierzytelniających). Generowały one średni koszt na poziomie 4,41 mln dolarów.
Długoterminowe skutki finansowe
Analizując skutki potencjalnych naruszeń, należy mieć na uwadze ich długoterminowe oddziaływanie na organizację. Raport IBM przygotowany w odniesieniu do incydentów z 2020 roku rejestruje, że poniesione w wyniku incydentu koszty były najwyższe w pierwszym roku, potem malały, ale po dwóch latach znowu rosły (jednak już nie do poziomu z pierwszego roku). 61% kosztu naruszenia ochrony danych firmy ponosiły w czasie pierwszych dwunastu miesięcy od zaistnienia incydentu, 24% – w okresie od 13 do 24 miesiąca, a 15% po upływie dwóch lat. Eksperci odnotowali niewielki wzrost wydatków w ramach ostatniej kategorii (utrzymujący się ponad dwa lata po naruszeniu) – w analizie dokonanej w 2019 r. odsetek ten wyniósł 11%.
Dane zebrane przez amerykański koncern znacząco różnią się w odniesieniu do branż działających w środowiskach słabo uregulowanych prawnie oraz w ściśle uregulowanych (do drugiej grupy zaliczono energetykę, ochronę zdrowia, branżę artykułów konsumpcyjnych, finansową, technologiczną, farmaceutyczną, komunikacyjną, sektor publiczny i szkolnictwo). Firmy należące do pierwszej grupy średnio 77% kosztów naruszeń ponosiły w ciągu pierwszych 12 miesięcy, te działające w lepiej uregulowanym obszarze – 44%.
Jak ograniczyć finansowe i wizerunkowe skutki naruszenia ochrony danych?
Eksperci osobną sekcję w raporcie poświęcili skutkom naruszeń. Wyniki badań wskazują na zalety automatyzacji zabezpieczeń, które znacząco skracają czas wykrycia naruszeń i reakcji. Co więcej, zaawansowana technologia pozwala obniżyć koszt incydentu. Specjaliści zwracają również uwagę na konieczność stosowania modelu zabezpieczeń opartego na zasadzie zerowego zaufania, czyli modelu, w którym nadaje się użytkownikom dostęp tylko do danych niezbędnych w codziennej pracy. Ważnym elementem jest zwiększenie odporności systemów organizacji poprzez dokonywanie testów obciążeniowych. Eksperci zwracają uwagę na stosowanie zasady trenuj tak, jak będziesz walczyć, polegającej na opracowywaniu i testowaniu procedur reagowania na incydenty, które są w stanie zoptymalizować zdolność przedsiębiorstwa do szybkiego i skutecznego reagowania na ataki.
Kolejny istotny element to stosowanie narzędzi pomagających chronić i monitorować pracę zdalnych pracowników. W efekcie tego typu rozwiązania przyczyniają się do przyspieszenia prac nad rozpoznaniem incydentu i pomagają skrócić czas potrzebny na reakcję, odizolowanie źródła zagrożenia oraz minimalizację szkód. Eksperci IBM zalecają również inwestowanie w programy ładu korporacyjnego, zarządzania ryzykiem oraz badające zgodność z przepisami, a także uproszczenie środowiska informatycznego i zabezpieczeń.
Źródła danych w raporcie
Przeprowadzone badanie ma wymiar globalny i – jak podkreśla IBM – stanowi kompilację wyników z 524 firm i instytucji w 17 krajach i regionach oraz w 17 branżach. Na potrzeby raportu specjaliści przeanalizowali naruszenia obejmujące od 3400 do 99730 rekordów.