데이터 유출 비용은 기록적인 $4.3M이며 기업은 고객에게 비용을 전가합니다.
IBM의 2022년 연구에 따르면 데이터 보안 침해로 인한 평균 비용은 435만 달러로 또 다른 사상 최고치를 기록했으며 기업의 60%가 발생한 손실을 완충하기 위해 제품 및 서비스 가격을 인상하기로 선택했습니다.
데이터 보안 침해로 인한 평균 비용은 지난 2년 동안 12.7% 증가하여 인시던트당 435만 달러로 또 다른 사상 최고치를 기록했습니다. 그리고 일부 기업은 인플레이션과 공급망 제약 속에서 제품 및 서비스 비용이 상승했음에도 불구하고 고객에게 책임을 전가하고 있습니다.
IBM의 2022년 데이터 유출 비용 보고서에 따르면 올해 수치는 지난해 침해당 424만 달러보다 2.6% 증가한 것으로, 설문조사에 참여한 기업의 83%가 한 번 이상의 데이터 침해를 경험한 것으로 나타났습니다. Ponemon Institute에서 실시한 이 보고서는 2021년 3월부터 2022년 3월까지 데이터 침해의 영향을 받은 17개 글로벌 시장의 550개 조직을 분석했습니다.
17%만이 이것이 첫 번째 침해라고 답했습니다. 또한 60%는 데이터 유출로 인한 손실로 인해 제품 및 서비스의 가격표를 인상했다고 말했습니다. 또한 침해 사고 이후에도 오랜 시간이 지난 후에도 계속해서 손실을 기록했는데, 이러한 비용의 거의 절반이 사고 후 1년 이상 지난 후에 발생했습니다.
미국 내 조직은 침해로 인한 평균 비용이 4.3% 증가한 944만 달러로 가장 높았으며, 중동 지역이 2021년 693만 달러에서 올해 746만 달러로 증가하여 그 뒤를 이었습니다. 캐나다, 영국, 독일이 각각 564만 달러, 505만 달러, 485만 달러의 평균 손실을 기록하며 상위 5위를 차지했습니다.
분석된 17개 시장 중 일본, 한국, 프랑스를 포함한 6개 시장은 각각의 평균 침해 비용이 하락했습니다.
공급망, 사용자 자격 증명이 공격을 부추깁니다.
전반적으로 기업들은 침해를 식별하는 데 평균 207일, 이를 억제하는 데 70일이 걸렸으며, 이는 작년 평균인 212일, 침해를 억제하는 데 75일보다 감소한 수치입니다.
데이터 침해 사고의 약 19%는 공급망 공격으로 인해 발생했으며, 평균 446만 달러의 비용이 발생했으며, 데이터 침해를 식별하고 억제하는 데 걸린 총 시간을 측정한 전 세계 평균인 277일보다 26일이 더 길었습니다. 공급망 침해는 비즈니스 파트너가 초기 침해 지점이었기 때문입니다.
직원 또는 외부 계약자의 부주의한 행동을 포함하는 인적 오류가 사고의 21%를 차지했으며, 데이터 손실로 이어진 회사 IT 시스템의 중단 또는 실패로 인한 IT 실패가 침해의 24%를 차지했습니다. 후자에는 소스 코드의 오류 또는 자동화된 통신 오류와 같은 프로세스 오류가 포함되었습니다.
랜섬웨어 공격은 랜섬웨어 공격으로 지난해 7.8%에서 11% 증가했고 41%의 성장률을 보였지만, 이러한 공격의 평균 비용은 2021년 462만 달러에서 454만 달러로 소폭 감소했습니다.
보고서에 따르면 도난당하거나 손상된 자격 증명을 통한 공격은 데이터 침해의 가장 흔한 원인으로 남아 있으며 올해 모든 사고의 19%를 차지했습니다. 도난당하거나 손상된 자격 증명으로 인한 침해는 인시던트당 평균 450만 달러의 비용이 발생하며, 침해를 식별하는 데 243일, 침해를 억제하는 데 84일이라는 가장 긴 수명 주기가 있었습니다.
피싱은 데이터 침해의 두 번째로 흔한 원인으로 전체 공격의 16%를 차지했지만 평균 491만 달러의 손실로 가장 비용이 많이 들었습니다.
부문 중에서는 헬스케어 부문이 2021년 대비 거의 100만 달러 증가한 1,010만 달러로 사상 최고치를 기록하며 가장 비싼 산업으로 선정되었습니다. 실제로 이 부문의 침해 비용은 2020년 이후 41.6% 증가했습니다.
금융 서비스 부문은 597만 달러로 두 번째로 높은 평균 침해 비용을 기록했으며, 제약, 기술, 에너지가 각각 501만 달러, 497만 달러, 472만 달러로 그 뒤를 이었습니다.
중요 인프라를 운영하는 조직의 평균 침해 비용은 482만 달러로, 다른 부문의 조직의 평균 비용보다 100만 달러 더 높았습니다. 핵심 인프라 기업은 금융 서비스, 에너지, 운송, 의료 및 정부를 포함하는 부문에 속해 있었습니다.
이러한 조직 중 28%는 파괴적인 공격이나 랜섬웨어 공격을 경험했으며, 17%는 손상된 공급망 파트너를 지목했습니다.
선전된 보안 전략으로 손실 완화
또한 IBM 연구는 제로 트러스트, XDR(Extended Detection and Response), AI(인공 지능)와 같은 보안 전략과 기술을 채택한 기업과 채택하지 않은 기업 간의 데이터 유출 영향의 차이를 연구했습니다.
이 보고서는 제로 트러스트 전략이 없는 핵심 인프라 조직의 거의 80%가 제로 트러스트 프레임워크를 채택한 조직보다 평균 540만 달러 또는 117만 달러 더 높은 침해 비용을 경험했다고 지적했습니다. 전반적으로 조직의 41%가 제로 트러스트 보안 프레임워크를 배포했다고 답했으며, 이는 지난해 35%에서 증가한 수치이며, 나머지 59%는 배포하지 않았다고 답했습니다.
또한 보안 AI 및 자동화 도구를 배포한 업체는 이러한 도구를 구현하지 않은 업체보다 305만 달러 낮은 침해 비용을 확인했습니다. 또한 보안 AI 및 자동화 기술을 채택한 회사보다 침해를 식별하고 억제하는 데 74일이 더 걸렸습니다.
이러한 도구를 사용한 조직의 수는 2020년 59%에서 올해 70%로 증가했습니다.
또한 초기 단계에 있거나 아직 클라우드 플랫폼 전반에 걸쳐 보안 관행을 배포하지 않은 기업의 43%는 성숙한 클라우드 보안 환경을 갖춘 기업보다 평균 최소 660,000달러의 더 높은 손실을 경험했습니다.
연구에 따르면 침해 사고의 약 44%가 클라우드에서 발생했으며, 하이브리드 클라우드 환경에서 발생한 침해 사고의 비용은 평균 380만 달러인 반면, 프라이빗 클라우드 침해는 424만 달러, 퍼블릭 클라우드는 502만 달러의 비용이 발생했습니다.
인시던트당 499만 달러인 원격 근무 관련 침해는 원격 근무가 문제가 되지 않는 침해보다 평균 거의 100만 달러 더 많은 비용이 듭니다.
약 44%의 기업이 XDR 기술을 구현했으며, 이러한 도구를 배포하지 않은 동종 기업과 비교하여 침해를 식별하고 억제하는 데 304일이 걸렸던 것에 비해 평균 약 한 달의 침해 수명 주기가 단축되었습니다.
랜섬웨어 공격을 받은 조직 중 랜섬웨어 공격을 받은 조직은 지불하지 않은 조직에 비해 610,000달러의 침해 비용(몸값 제외)이 낮았습니다.
또한 사이버 보안 요구 사항을 지원할 만큼 인력이 충분하지 않다고 답한 기업의 62%는 적절한 인력을 갖춘 기업보다 평균 550,000달러 더 높은 침해 비용을 경험했습니다.