Veri ihlali maliyetleri 4,3 milyon dolar rekor kırdı ve firmalar müşterilere para aktardı

IBM'in 2022 araştırmasına göre, bir veri güvenliği ihlalinin ortalama maliyeti 4,35 milyon dolarlık bir rekor seviyeye ulaştı ve işletmelerin %60'ı meydana gelen kaybı karşılamak için ürün ve hizmetlerinin fiyatını artırmayı seçti.

Bir veri güvenliği ihlalinin ortalama maliyeti, son iki yılda %12,7 artarak olay başına 4,35 milyon dolar ile başka bir rekor seviyeye ulaştı. Ve bazı işletmeler, enflasyon ve tedarik zinciri kısıtlamalarının ortasında ürün ve hizmetlerin maliyeti artmış olsa bile, parayı müşterilere aktarıyor. 

IBM'in 2022 Veri İhlali Maliyeti raporuna göre, bu yılki rakam geçen yılki ihlal başına 4,24 milyon dolara göre %2,6 arttı ve bu da ankete katılan şirketlerin %83'ünün birden fazla veri ihlali yaşadığını ortaya koydu. Ponemon Institute tarafından yürütülen rapor, Mart 2021 ile Mart 2022 arasında veri ihlallerinden etkilenen 17 küresel pazarda 550 kuruluşu analiz etti.

Sadece %17'si bunun ilk ihlalleri olduğunu söyledi. Buna ek olarak, %60'ı veri ihlalinden kaynaklanan kayıplar nedeniyle ürün ve hizmetlerindeki fiyat etiketini artırdıklarını söyledi. Ayrıca, bu tür maliyetlerin neredeyse yarısının olaydan bir yıldan fazla bir süre sonra ortaya çıktığı ihlalden çok sonra bile kayıpları tebeşirlemeye devam ettiler. 

ABD'deki kuruluşlar, %4,3 artışla 9,44 milyon dolara yükselen bir ihlalin en yüksek ortalama maliyetini gördü ve bunu, 2021'de 6,93 milyon dolar olan ortalama maliyetin bu yıl 7,46 milyon dolara yükseldiği Orta Doğu bölgesi izledi. Kanada, Birleşik Krallık ve Almanya, ihlal başına sırasıyla 5,64 milyon dolar, 5,05 milyon dolar ve 4,85 milyon dolar ortalama zararla ilk beşi tamamladı. 

Analiz edilen 17 pazar arasında Japonya, Güney Kore ve Fransa da dahil olmak üzere altı pazar, kendi ortalama ihlal maliyetlerinde bir düşüş gördü. 

Tedarik zincirleri ve kullanıcı kimlik bilgileri saldırıları körüklüyor

Genel olarak, şirketlerin ihlali tespit etmesi ortalama 207 gün ve içermesi 70 gün sürdü, bu süre geçen yılın ortalama 212 gün ve ihlali kontrol altına almak için 75 gün sürdü.

İhlallerin yaklaşık %19'u tedarik zinciri saldırılarının sonucuydu, ortalama 4,46 milyon dolara mal oldu ve bir veri ihlalini belirlemek ve kontrol altına almak için toplam süreyi ölçen küresel ortalama olan 277 günden 26 gün daha uzun bir yaşam döngüsüne sahipti. Tedarik zinciri ihlalleri, bir iş ortağının ilk uzlaşma noktası olmasından kaynaklanıyordu. 

Çalışanların veya dış yüklenicilerin ihmalkar eylemlerini kapsayan insan hataları, olayların %21'ini oluştururken, bir şirketin BT sistemlerinde veri kaybına yol açan kesinti veya arızanın sonucu olan BT arızaları, ihlallerin %24'ünün arkasındaydı. İkincisi, kaynak kodlarındaki hataları veya otomatik iletişim hataları gibi süreç hatalarını içeriyordu. 

İhlallerin yaklaşık %11'i, geçen yılki %7,8'den ve %41'lik bir büyüme oranıyla fidye yazılımı saldırılarıydı, ancak bu tür saldırıların ortalama maliyeti 2021'deki 4,62 milyon dolardan 4,54 milyon dolara hafifçe düştü. 

Rapora göre, çalınan veya güvenliği ihlal edilen kimlik bilgilerinden yapılan saldırılar, veri ihlalinin en yaygın nedeni olmaya devam etti ve bu yılki tüm olayların %19'unu oluşturdu. Çalınan veya güvenliği ihlal edilen kimlik bilgilerinden kaynaklanan ihlaller, olay başına ortalama 4,5 milyon dolara mal oluyor ve ihlalin tanımlanması 243 gün ve ihlalin kontrol altına alınması için 84 gün ile en uzun yaşam döngüsüne sahipti. 

Kimlik avı, bir veri ihlalinin en yaygın ikinci nedeniydi ve genel saldırıların %16'sını oluşturuyordu, ancak ortalama 4,91 milyon dolarlık kayıpla en maliyetli olanıydı. 

Sektörler arasında sağlık hizmetleri, 2021'e göre yaklaşık 1 milyon dolar artarak 10,1 milyon dolarlık rekor düzeyde yüksek bir ortalama ihlal maliyeti yaşadı ve en pahalı sektör olarak sıralamasını sağlamlaştırdı. Aslında, sektörün ihlal maliyetleri 2020'den bu yana %41,6 artmıştı. 

Finansal hizmetler sektörü, 5,97 milyon dolar ile ikinci en yüksek ortalama ihlal maliyetini kaydederken, onu sırasıyla 5,01 milyon dolar, 4,97 milyon dolar ve 4,72 milyon dolar ile ilaç, teknoloji ve enerji izledi. 

Kritik altyapıları çalıştıran kuruluşlar için ortalama ihlal maliyeti 4,82 milyon dolardı ve bu, diğer sektörlerdeki kuruluşlar için ortalama maliyetten 1 milyon dolar daha fazlaydı. Kritik altyapı şirketleri, finansal hizmetler, enerji, ulaşım, sağlık ve hükümeti içeren sektörlerdendi. 

Bu kuruluşların %28'i yıkıcı veya fidye yazılımı saldırısına maruz kaldı ve %17'si güvenliği ihlal edilmiş bir tedarik zinciri ortağına işaret etti. 

Lanse edilen güvenlik stratejileriyle kayıpları azaltma

IBM çalışması ayrıca, sıfır güven, genişletilmiş algılama ve yanıt (XDR) ve yapay zeka (AI) gibi güvenlik stratejilerini ve teknolojilerini benimsemiş olan ve benimsememiş olan şirketler arasındaki veri ihlalinin etkisindeki farklılıkları da inceledi. 

Raporda, sıfır güven stratejisine sahip olmayan kritik altyapı kuruluşlarının yaklaşık %80'inin, sıfır güven çerçevelerini benimseyenlere göre 5,4 milyon dolar veya 1,17 milyon dolar daha yüksek bir ortalama ihlal maliyeti gördüğü belirtildi. Genel olarak, kuruluşların %41'i, geçen yılki %35'ten sıfır güven güvenlik çerçevesi uyguladıklarını ve geri kalan %59'un aynı şeyi yapmadığını söyledi. 

Buna ek olarak, güvenlik, yapay zeka ve otomasyon araçlarını kullananlar, bu tür araçlardan hiçbirini uygulamayan emsallerine göre 3,05 milyon dolar daha düşük ihlal maliyetleri gördü. Ayrıca, güvenlik, yapay zeka ve otomasyon teknolojilerini benimseyenlere göre bir ihlali tespit etmek ve kontrol altına almak için 74 gün daha uzun sürdüler. 

Bu tür araçları kullanan kuruluşların sayısı 2020'de %59 iken bu yıl %70'e ulaştı. 

Buna ek olarak, erken aşamalarda olan veya bulut platformlarında güvenlik uygulamalarını henüz devreye almamış olan şirketlerin %43'ü, olgun bulut güvenliği ortamlarına sahip olanlara göre ortalama olarak en az 660.000 ABD Doları tutarında daha yüksek kayıplar gördü. 

Çalışmadaki ihlallerin yaklaşık %44'ü bulutta meydana geldi ve hibrit bulut ortamında meydana gelenler ortalama 3,8 milyon dolara mal olurken, özel bulutlardaki ihlaller için 4,24 milyon dolar ve genel bulutlardaki ihlaller için 5,02 milyon dolar oldu. 

Olay başına 4,99 milyon dolar olan uzaktan çalışmayla ilgili ihlaller, uzaktan çalışmanın bir faktör olmadığı ihlallerden ortalama olarak yaklaşık 1 milyon dolar daha pahalıya mal oluyor. 

Şirketlerin yaklaşık %44'ü XDR teknolojilerini uygulamıştı ve bir ihlali tespit etmesi ve kontrol altına alması 304 gün süren bu tür araçları kullanmayan emsallerine kıyasla ortalama olarak yaklaşık bir aylık daha kısa ihlal yaşam döngüleri gördüler. 

Fidye yazılımı saldırılarına maruz kalan kuruluşlar arasında, ödeme yapmamayı seçenlere kıyasla fidye maliyeti hariç 610.000 ABD doları daha düşük ihlal maliyeti elde etti.

Buna ek olarak, siber güvenlik ihtiyaçlarını karşılamak için yetersiz personele sahip olduklarını söyleyen şirketlerin %62'si, yeterli personele sahip olanlara göre ortalama 550.000 ABD doları daha yüksek ihlal maliyeti gördü.