Veri İhlalinin Ortalama Maliyeti 4,9 Milyon Dolara Çıktı

IBM’in “Veri İhlalinin Maliyeti Raporu 2024” raporundan alınan üst düzey bir sonuç, kolluk kuvvetleriyle çalışan fidye yazılımından etkilenen kuruluşların, ödenen fidye hariç ortalama 1 milyon dolar daha az harcadığını tespit ediyor. Bunun bir nedeni de olayı daha hızlı araştırıp düzeltebilmeleri. Bu tür kuruluşların fidye ödeme olasılığı da daha düşüktü ve bu nedenle suçlulara fon sağlamıyorlardı.

IBM’in 19. yıllık raporu, Ponemon Institute tarafından yürütülen ve Mart 2023 ile Şubat arasında bir zamanda veri ihlalleri yaşayan 17 farklı sektörde ve 16 ülke veya bölgede 604 kuruluşla yapılan araştırmaya dayanmaktadır. Araştırmacılar, olay hakkında birinci elden bilgiye sahip 3.500’den fazla güvenlik uzmanı ve C-suite yöneticisiyle görüştü. Finansal hizmetler, endüstriyel, profesyonel hizmetler ve teknoloji sektörlerindeki kuruluşlardan gelen kuruluşlar, ankete katılan tüm ihlal edilen kuruluşların %47’sini oluşturuyordu.

Ankete katılan ihlal edilen işletmelerin en büyük oranı, ankete katılan tüm kuruluşların %12’sini oluşturan ABD merkezli işletmelerdir. Bunu %9 ile Hindistan merkezli işletmeler, %8 ile İngiltere ve Almanya merkezli işletmeler ve %7 ile Brezilya ve Japonya merkezli işletmeler takip etmektedir.

Veri ihlalleri giderek daha maliyetli hale geliyor. Çalışma, bir ihlalin ortalama maliyetinin, büyük ölçüde iş kesintisi ve ihlal sonrası müşteri desteği ve düzeltme giderleri nedeniyle geçen yıla göre %10 artışla 4,9 milyon dolar olarak tüm zamanların en yüksek seviyesine ulaştığını belirtiyor.

Çalışmada, ihlale uğrayan işletmelerin yaklaşık üçte ikisinin, mal veya hizmetlerinin fiyatını artırarak bu maliyetleri tüketicilere yansıtmayı beklediği belirtiliyor.

Bölgesel farklılıklar da geçerlidir. Üst uçta, bir ABD kuruluşu için veri ihlalinin maliyeti ortalama 9,36 milyon dolar ve Orta Doğu’da 8,75 milyon dolardı. Maliyet spektrumunun alt ucunda, Brezilya’daki kuruluşlar ortalama 1,4 milyon dolarlık bir ihlal maliyeti bildirdi, bunu 2,4 milyon dolarla Hindistan izledi.

Sektör bazında, 13. yıldır, veri ihlalleri nedeniyle en yüksek maliyeti sağlık sektörü yaşadı; olay başına ortalama 9,8 milyon dolar. İkinci sırada ise 6,1 milyon dolar ile finansal hizmetler sektörü yer aldı.

Bir ihlalin toplam maliyeti, 113.000’e kadar tehlikeye atılmış kaydı kaybeden kuruluşlar tarafından bildirilen hem doğrudan hem de dolaylı maliyetleri yansıtmaktadır. Raporda, “Doğrudan harcamalar arasında adli tıp uzmanlarıyla çalışmak, yardım hattı desteğini dışarıdan sağlamak ve gelecekteki ürün ve hizmetler için ücretsiz kredi izleme abonelikleri ve indirimleri sağlamak yer almaktadır” denmektedir. “Dolaylı maliyetler arasında şirket içi soruşturmalar ve iletişimler ile ciro veya azalan müşteri edinme oranlarından kaynaklanan müşteri kaybının ekstrapole edilmiş değeri yer almaktadır.”

Ankete katılan ihlal edilen kuruluşların on yedisi, IBM’in 1 milyon veya daha fazla kaydı içeren “mega ihlal” olarak sınıflandırdığı bir olaydan muzdaripti ve bunların her biri mega olmayan ihlallerden kat kat daha pahalı olma eğilimindeydi. Küçük örneklem boyutu nedeniyle, ifşa edilen kayıt sayısına dayanan bir ihlal hesaplamasının ortalama maliyeti, bu mega ihlalleri ve çok küçük ihlalleri hariç tutar.

Kolluk kuvvetlerinin dahil edilmesi, ihlale uğrayan kuruluşların genel ihlal maliyetlerini düşürmesinin tek yolu değildir.

Çalışma, kuruluşların üçte ikisinin, geçen yıla göre %10 artışla, güvenlik operasyon merkezleri için yapay zeka ve otomasyon yeteneklerine yatırım yaptığını veya yönetilen güvenlik hizmeti sağlayıcıları aracılığıyla eriştikleri SOC’ler aracılığıyla yatırım yaptığını bildirdiğini buldu, ancak bu IBM’in kendisi tarafından satılan bir hizmettir. Çalışmada, “Önleme iş akışlarında – saldırı yüzeyi yönetimi, kırmızı takım ve duruş yönetimi – kapsamlı bir şekilde dağıtıldığında, kuruluşlar önleme iş akışlarında yapay zeka kullanmayanlara kıyasla ihlal maliyetlerinde ortalama 2,2 milyon dolar daha az maliyet elde etti” denildi. “Bu bulgu, 2024 raporunda ortaya çıkarılan en büyük maliyet tasarrufuydu.”

Daha yüksek maliyetlere ne yol açar? Çalışma, ihlal edilen verilerin %40’ının genel bulutlarda depolandığını ve ihlal edildiğinde daha yüksek maliyetlere yol açtığını buldu – ortalama olarak, ihlal başına 5,2 milyon dolar. Ayrıca, kuruluşların üçte biri, ihlal edilen bilgilerinin en azından bir kısmının, güvenlik ekibinin bilgisi olmadan bulutta veya şirket içinde, bazen de onaylanmamış AI modellerinin bir parçası olarak depolanan “gölge verileri” içerdiğini bildirdi.

İhlallerin tespiti ortalama 169 gün, kontrol altına alınması ise 58 gün sürüyordu; gölge veriler söz konusu olmadığında ise bu süre sırasıyla 220 gün ve 71 güne çıkıyor.

Raporda, “Güvenlik ekipleri artık kuruluşlarının yönetilmeyen veri kaynaklarına sahip olduğunu varsaymalı” deniyor. “AI iş yüklerindeki veriler de dahil olmak üzere şifrelenmemiş veriler riski daha da artırıyor. Veri şifreleme stratejileri, bir ihlal durumunda riski azaltmak için veri türlerini, kullanımını ve nerede bulunduğunu dikkate almalıdır.”

Ankete katılan ihlal edilen kuruluşların %63’ü, bir önceki yılki %51’den fazla olan güvenlik harcamalarını artırmayı planladıklarını söyledi. Harcamaların genel olarak en üst sıradaki alanı, daha fazla harcama yapmayı planlayan kuruluşların %55’i için olay yanıt planlaması ve testiydi, bunu %51 ile tehdit algılama ve yanıt teknolojileri, %46 ile çalışan eğitimi ve %42 ile kimlik ve erişim yönetimi araçları izledi.