IBM, yıllık Veri İhlali Maliyeti Raporunu yayınladı ve veri ihlallerinin daha yıkıcı hale gelmesi ve siber ekiplere yönelik taleplerin daha da artmasıyla birlikte, küresel çapta bir veri ihlalinin ortalama maliyetinin 2024 yılında 4,88 milyon dolara ulaştığını ortaya koydu.
İhlal maliyetleri bir önceki yıla göre %10 artarak pandemi döneminden bu yana en büyük yıllık sıçramayı gerçekleştirdi; çünkü ihlale uğrayan kuruluşların %70’i, ihlalin önemli veya çok önemli kesintilere yol açtığını bildirdi.
Kaybedilen iş ve ihlal sonrası müşteri ve üçüncü taraf yanıt maliyetleri, veri ihlallerinden kaynaklanan yan hasarın daha da yoğunlaşmasıyla birlikte, yıllık maliyet artışını yönlendirdi. Veri ihlallerinin işletmeler üzerindeki yıkıcı etkileri yalnızca maliyetleri artırmakla kalmıyor, aynı zamanda bir ihlalin sonrasındaki etkiyi de uzatıyor ve tamamen kurtarılabilen ihlal edilen kuruluşların küçük bir kısmının (%12) çoğu için kurtarma 100 günden fazla sürüyor.
Yapay zeka destekli önleme işe yarıyor
Önceki yıla kıyasla daha fazla kuruluş ciddi personel sıkıntısıyla karşı karşıya kaldı (%26 artış) ve düşük seviyede veya hiç güvenlik personeli sorunu olmayan kuruluşlara göre ortalama 1,76 milyon dolar daha fazla ihlal maliyeti gözlemlendi.
İncelenen üç kuruluştan ikisi, güvenlik operasyon merkezleri (SOC) genelinde güvenlik AI ve otomasyonu kullanıyor. Bu teknolojiler önleme iş akışlarında yaygın olarak kullanıldığında, kuruluşlar bu iş akışlarında hiç kullanmayanlara kıyasla ortalama 2,2 milyon dolar daha az ihlal maliyetiyle karşı karşıya kaldılar – 2024 Veri İhlali Maliyeti Raporu’nda ortaya çıkan en büyük maliyet tasarrufu.
İhlallerin %40’ı genel bulut, özel bulut ve şirket içi olmak üzere birden fazla ortamda depolanan verileri içeriyordu. Bu ihlallerin maliyeti ortalama 5 milyon dolardan fazlaydı ve tespit edilip kontrol altına alınması en uzun zaman aldı (283 gün).
IBM Security Strateji ve Ürün Tasarımı Başkan Yardımcısı Kevin Skapinetz, “İşletmeler sürekli bir ihlal, kontrol ve sonuç tepkisi döngüsüne yakalanmış durumda. Bu döngü artık sıklıkla güvenlik savunmalarını güçlendirmeye yönelik yatırımları ve ihlal masraflarını tüketicilere aktarmayı içeriyor ve bu da güvenliği iş yapmanın yeni maliyeti haline getiriyor” dedi.
“Üretici AI hızla işletmelere nüfuz ederek saldırı yüzeyini genişlettikçe, bu harcamalar yakında sürdürülemez hale gelecek ve işletmeleri güvenlik önlemlerini ve yanıt stratejilerini yeniden değerlendirmeye zorlayacak. İşletmeler öne geçmek için yeni AI odaklı savunmalara yatırım yapmalı ve üretken AI tarafından sunulan ortaya çıkan riskleri ve fırsatları ele almak için gereken becerileri geliştirmelidir,” diye devam etti Skapinetz.
Güvenlik personeli eksikliği ihlallerin maliyetlerini artırdı
İncelenen kuruluşların yarısından fazlası geçen yıl ciddi veya üst düzey personel sıkıntısı yaşadı ve bunun sonucunda önemli ölçüde daha yüksek ihlal maliyetleri yaşadı (yüksek düzeyler için 5,74 milyon $, düşük düzeyler veya hiç olmaması için 3,98 milyon $). Bu, kuruluşların güvenlik ekipleri için yeni riskler getirmesi beklenen üretken AI (gen AI) teknolojilerini benimsemek için yarıştığı bir zamanda geliyor.
IBM İş Değeri Enstitüsü’nün yaptığı bir araştırmaya göre, ankete katılan iş liderlerinin %51’i öngörülemeyen riskler ve ortaya çıkan yeni güvenlik açıkları konusunda endişeliyken, %47’si yapay zekayı hedef alan yeni saldırılardan endişe duyuyor.
Artan personel zorlukları yakında rahatlama görebilir, çünkü daha fazla kuruluş geçen yıla kıyasla güvenlik bütçelerini artırmayı planladıklarını belirtti (%63’e karşı %51) ve çalışan eğitimi en çok planlanan yatırım alanı olarak ortaya çıktı. Kuruluşlar ayrıca olay yanıt planlama ve testine, tehdit algılama ve yanıt teknolojilerine (örneğin, SIEM, SOAR ve EDR), kimlik ve erişim yönetimine ve veri güvenliği koruma araçlarına yatırım yapmayı planlıyor.
Yapay zeka ile saati hacklemek
Raporda kuruluşların %67’sinin güvenlik AI ve otomasyonunu kullandığı (bir önceki yıla göre yaklaşık %10’luk bir artış) ve %20’sinin bir tür nesil AI güvenlik aracı kullandığını belirttiği bulundu. Güvenlik AI ve otomasyonunu kapsamlı bir şekilde kullanan kuruluşlar, bu teknolojileri kullanmayan kuruluşlara göre ortalama 98 gün daha hızlı bir olayı tespit etti ve kontrol altına aldı.
Aynı zamanda, küresel ortalama veri ihlali yaşam döngüsü 277 güne düşerek 7 yıllık düşük seviye olan 258 güne geriledi. Bu durum, bu teknolojilerin tehdit azaltma ve düzeltme faaliyetlerini iyileştirerek savunmacıların lehine zaman kazandırmaya yardımcı olabileceğini ortaya koyuyor.
Daha kısa ihlal yaşam döngüleri, dahili tespitteki artışa da bağlanabilir: İhlallerin %42’si bir kuruluşun kendi güvenlik ekibi veya araçları tarafından tespit edildi, önceki yıl ise bu oran %33’tü. Dahili tespit, veri ihlali yaşam döngüsünü 61 gün kısalttı ve kuruluşlara bir saldırgan tarafından ifşa edilenlere kıyasla yaklaşık 1 milyon dolar ihlal maliyeti tasarrufu sağladı.
Veri güvensizliği fikri mülkiyet hırsızlığını körüklüyor
2024 Veri İhlali Maliyeti Raporu’na göre, ihlallerin %40’ı birden fazla ortamda depolanan verileri içeriyor ve ihlallerin üçte birinden fazlası gölge verileri (yönetilmeyen veri kaynaklarında depolanan veriler) içeriyor. Bu da verilerin izlenmesi ve korunmasıyla ilgili giderek artan zorluğun altını çiziyor.
Bu veri görünürlüğü boşlukları fikri mülkiyet (FM) hırsızlığındaki keskin artışa (%27) katkıda bulundu. Bu çalınan kayıtlarla ilişkili maliyetler de önceki yıla göre yaklaşık %11 artarak kayıt başına 173 dolara çıktı. Gen AI girişimleri bu verileri ve diğer son derece özel verileri yüzeye yaklaştırdıkça, FM daha da erişilebilir hale gelebilir. Kritik veriler ortamlarda daha dinamik ve aktif hale geldikçe, işletmelerin bunları çevreleyen güvenlik ve erişim kontrollerini yeniden değerlendirmeleri gerekecektir.
%16 ile çalınan/tehlikeye atılan kimlik bilgileri en yaygın ilk saldırı vektörüydü. Bu ihlallerin tanımlanması ve kontrol altına alınması da yaklaşık 10 ay ile en uzun sürenlerdi.
Kritik altyapı kuruluşları en yüksek ihlal maliyetlerini görüyor
Kolluk kuvvetlerini dahil ederek, fidye yazılımı mağdurları, dahil etmeyenlere kıyasla ortalama 1 milyon dolar civarında ihlal maliyetinden tasarruf etti – bu tasarruf, ödeyenler için fidye ödemesini hariç tutuyor. Kolluk kuvvetlerini dahil eden fidye yazılımı mağdurlarının çoğu (%63) fidye ödemekten de kaçınabildi.
Sağlık, finansal hizmetler, endüstriyel, teknoloji ve enerji kuruluşları sektörler genelinde en yüksek ihlal maliyetlerini üstlendi. Sağlık katılımcıları, üst üste 14. kez sektörler genelinde en maliyetli ihlalleri gördü ve ortalama ihlal maliyetleri 9,77 milyon dolara ulaştı.
Kuruluşların %63’ü bu yıl ihlal nedeniyle mal veya hizmet maliyetlerini artıracaklarını belirtti – geçen yıla göre (%57) küçük bir artış – bu, incelenen kuruluşların çoğunluğunun bu eylemi gerçekleştireceğini belirttiği üst üste üçüncü yıl oldu.