データ漏えい時の対応コストが年々上がっているのはなぜ？

IBM Securityはデータ漏えいに関する報告書を発表した。攻撃を受けたことによるコストは2020年と比較して15％も高くなっており、1件当たりのコストは平均450万ドル近くに達した。何がコストを押し上げているのだろうか。

[Matt Kapko，Cybersecurity Dive]

　IBM Securityが2023年7月24日に発表した年次報告書「Cost of a Data Breach Report」によると（注1）、データ漏えい時の対応コストは2023年に過去最高額に達した。2023年の被害コストは2020年と比較して15％以上増えた。

対応コストを押し上げているものとは

　なぜ、こんなにも対応コストが上がっているのだろうか。

　注目すべきは、データ侵害の「調査段階」におけるコストが急激に増加したことだ。その結果、調査は最もコストのかかるプロセスになった。

　データ侵害を受けた場合の対応コストが年々増加する要因もこれだ。IBMの調査によると、検知とエスカレーションにかかるコストはインシデント1件当たり約10％増えて160万ドルに達した。

侵害の速度とコストは比例する

　IBM Security X-Forceのジョン・ドワイヤー氏（調査責任者）は、「Cybersecurity Dive」に対して対応コストが増える要因を次のように語った。

　「侵害のテンポが速いほど、インシデント対応の調査に求められる幅と深さは拡大する。これは全体的なコストとも比例する。データ侵害の複雑さが増すにつれて、保険や法律、規制要件を満たすために、より徹底した調査を実施しなければならないというプレッシャーが高まった」

　データ侵害にかかる対応コストを引き下げるのは難しいため、攻撃を受けた側のスピードが非常に重要だ。

　「攻撃者がネットワーク内に滞在する期間と、侵害が最終的にどれくらいのコストになるかとの間に直接的な相関関係がある」（ドワイヤー氏）

主な攻撃手段は2つある

　攻撃手段についてはどうだろうか。IBM Securityの調査から、2つの手段が侵害の3割を占めていることが分かった。それは「フィッシング」と「漏えい、または窃取した認証情報の悪用」だ。

　「防御側は、攻撃者の目標や目的を根本的に変える動きをしてこなかった。恐喝をベースにした攻撃を減らすためには、攻撃にかかるコストを著しく高める必要がある。攻撃が割に合わないほどにコストを高めなければならない」（ドワイヤー氏）

　今回の調査は、安全な情報利用に関する研究を行うPonemon Instituteが実施し、IBM Securityが分析したもので、2022年3月から2023年3月の間にデータ侵害の影響を受けた550以上の組織を対象とした。

出典：Investigations are causing data breach costs to skyrocket, IBM finds（Cybersecurity Dive）

注1：Cost of a Data Breach Report 2023（IBM）