IBMが毎年発表しているデータ漏洩コストに関するレポートによると、2023年のデータ漏洩コストは1件あたり445万ドルに増加しました。顧客および従業員の個人情報は2023年に最も多く漏洩したデータの種類であり、報告された全漏洩の52%に関係していました。
ジャンプ先:
- データ侵害の平均コストは1件あたり445万ドルに上昇
- クラウドデータはほとんどの侵害に関係している
- トリクルダウンコストはわずかに減少
- ビジネスリーダーがデータ侵害を回避する方法
- 調査方法
データ侵害の平均コストは1件あたり445万ドルに上昇
データ侵害コストは、2022年の1件あたり435万ドルから2023年には445万ドルに2.3%増加しました。全体として、平均コストは2020年の平均386万ドルから15.3%増加しました。
さらに、データ侵害の 67% が第三者または攻撃者によって報告されたのに対し、3 社に 1 社は自らデータ侵害を発見しました。
昨年、IBMは検知およびエスカレーション費用の増加を確認しました。これは、侵害の調査にかかる時間が長くなっていることを示しています。組織が侵害を検知してから通常のサービスに戻るまでに、平均277日かかりました。この傾向は2023年も続き、検知および評価費用は9.7%増加して158万ドルとなりました。一方、事業損失費用は8.5%減少し、130万ドルとなりました。
コストは、次の 4 つの財務影響領域に基づいて計算されました。
- 検出とエスカレーション。
- 通知。
- 侵害後の対応。
- ビジネスを失った。
米国では、データ侵害の平均コストは948万ドルで、世界で最も高額でした。英国では、コストが505万ドルから421万ドルへと16.6%減少しました。
クラウドデータはほとんどの侵害に関係している
組織がクラウド環境全体にデータを分散させる方法が、大きな違いを生むことが判明しました。侵害の82%は、パブリッククラウド、プライベートクラウド、または複数のクラウドの組み合わせに保存されたデータに関連していました。39%のケースでは、侵害は複数のクラウド環境にまたがり、平均を上回る475万ドルの罰金が発生しました。
参照: データセキュリティを向上させる10の方法を探る (TechRepublic)
トリクルダウンコストはわずかに減少
顧客はデータ侵害の影響を感じる可能性があります。データ侵害後にビジネスサービスの価格を値上げした企業は、過半数（57%）とわずかに減少しました。これは2022年の60%からわずかに減少しています。
ビジネスリーダーがデータ侵害を回避する方法
IBM は、データ侵害を防止しようとするビジネス リーダーに次のヒントを推奨しています。
開発のすべての段階にセキュリティを組み込む
ビジネス リーダーは、開発者が設計段階からセキュリティを重視した原則に従って作業できるようにリソースを提供し、主要なテクノロジ変更の初期設計段階でセキュリティが確実に考慮されるようにすることの重要性を念頭に置く必要があります。
クラウドネイティブ・アプリケーションを開発するアプリ開発者は、攻撃対象領域を削減し、クラウドにおけるユーザーのプライバシーを強化できます。IBMによると、開発段階でアプリケーションにセキュリティを組み込むことで、組織は最新の規制に準拠し続けることができるようになります。
ハイブリッドクラウドに注目
組織は、マルチクラウドおよびハイブリッドクラウド環境にデータを保存する際、強力な暗号化、データセキュリティ、およびデータアクセスポリシーを確実に確立する必要があります。移動中のデータを保護できるデータセキュリティおよびコンプライアンスツールの導入を検討することで、組織はより効果的にデータ保護を実現できます。
さらに、データアクティビティ監視ソリューションは、セキュリティチームがデータストアの状況を詳細に把握し、ポリシーを自動的に適用するのに役立ちます。IBMは、クラウドサービスプロバイダー、SaaS（Software as a Service）資産、データレイク内の構造化資産と非構造化資産全体にわたって脆弱なデータを特定できる新しいサービスであるデータセキュリティポスチャ管理を推奨しました。
AIと自動化がどのように変化をもたらすかを考えてみましょう
AIは現在流行していますが、IBMの調査によると、その効果は数字にも表れています。AIと自動化を包括的に活用したセキュリティ対策を講じている企業は、データ漏洩コストが平均で176万ドル削減され、漏洩の特定と封じ込めまでの時間も108日短縮されたことが分かりました。
AI と自動化のメリットを享受できるセキュリティ ツール セットには次のようなものがあります。
- 脅威の検出および対応ツール。
- 疑わしい行動を検出するためのデータ セキュリティおよび ID ソリューション。
IBM はまた、偏見や盲点を生じさせない信頼できるサービスを使用することも重要だと指摘しました。
「AIモデルの学習に使用するデータが幅広く多様で偏りがなく、モデルが透明性、説明可能性、そしてドリフトがないことを確認することが極めて重要です。そして、人間にとって継続的な学習が不可欠であるのと同じように、モデルが継続的に学習されることも重要です」と、IBMセキュリティのCTOであるスリダール・ムピディ氏はTechRepublicへのメールで述べています。同氏は、AIを活用した、あるいは自動化されたセキュリティソリューションを選択する際に考慮すべき3つの重要な要素を指摘しました。
- AI とテクノロジーによってもたらされる成果、
具体的には検出精度や応答速度を向上させる定量化可能な方法に焦点を当てます。 - 適切なガードレールとコンテキストを導入して、迅速かつ信頼性の高い成果を促進します。
- パフォーマンス、スケーラビリティ、回復力などの運用面を考慮してください。
ムピディ氏は、特に生成AIはまだ新しい技術であるため、セキュリティ全体にどのような影響が出るかは誰にも分からないと述べた。しかし、生成AIは「侵害を正確に検知し、より迅速に対応する能力に大きな優位性をもたらすだろう」と予想している。
「データ侵害を検知して封じ込めるまでの平均時間に注目すると、[生成] AIは両方の段階で力を倍増させ、脅威の活動とアナリストの時間を最適化することになるだろう」と彼は述べた。
インシデント対応に重点を置く
専任のインシデント対応チームやパートナーの存在は、大きな違いを生み出します。成熟した高度なインシデント対応体制を持つ組織は、インシデント対応体制が低レベルまたは全くない組織と比較して、データ漏洩コストが平均149万ドル低く、インシデント解決までの期間も54日短縮されました。
セキュリティをさらに強化するために、ネットワークセグメンテーションは、綿密なインシデント対応を効果的に補完します。また、セキュリティチームに侵害シナリオのシミュレーションや侵入テストのトレーニングを実施することで、インシデント対応力を強化することもできます。
調査回答者の51%は、侵害発生後にセキュリティ投資を増やす予定であると回答しました。追加投資が最も望ましい分野は、インシデント対応、計画とテスト、従業員トレーニング、そして脅威の検知と対応技術でした。
参照: TechRepublic Premiumのインシデント対応ポリシー
調査方法
年次データ漏洩コストレポートは、Ponemon Instituteとの提携により作成されました。回答者は、16の国と地域、17の業界にわたる553の組織から集まりました。調査対象となった組織はすべて、2022年3月から2023年3月の間にデータ漏洩の被害に遭いました。情報は、これらの組織のIT、コンプライアンス、情報セキュリティ担当者3,475名へのインタビューを通じて収集されました。
