IBM: עלות ממוצעת של תקיפת סייבר היא 4.35 מיליון דולר

חברות שלא איישו כנדרש את צוותי האבטחה שלהן נדרשו לשלם עוד חצי מיליון דולר בממוצע בכל תקיפה. 60% מהחברות העלו בעקבות התקיפות את מחירי המוצרים והשירותים שלהן

IBM: עלות ממוצעת של תקיפת סייבר היא 4.35 מיליון דולר

תמונה: IBM

IBM מפרסמת את הדו"ח השנתי על עלויות נזקי התקפות סייבר וחושפת כי אלו הפכו יקרות מאי פעם, עם עלות ממוצעת של 4.35 מיליון דולר לתקיפה – עלייה של כ-13% בשנתיים.

עוד עולה מהדו"ח כי הנזק של תקיפות הסייבר משפיע יותר מתמיד על הצרכנים של קורבנות התקיפה: כ-60% מהחברות שהותקפו העלו את מחירי הסחורות, המוצרים והשירותים שהן מספקות ולמעשה גלגלו את העלויות הגבוהות של הנזק על הצרכנים שלהן.

IBM מצאה כי 83% מהחברות שנכללו במחקר חוו יותר ממתקפת סייבר אחת במהלך חייהן. בנוסף מתברר כי למתקפות יש השפעה ארוכה יותר משחשבו עד כה וכמעט מחצית מהעלויות של נזקי התקיפות נוצרות יותר משנה לאחר הפריצה. 

הדו"ח (Cost of a Data Breach Report) נערך בין מרס 2021 למרס 2022 ומבוסס על ניתוח מעמיק של 550 חברות ברחבי העולם אשר חוו תקיפת סייבר בעבר. הוא מספק ניתוח של הגורמים השונים המשפיעים על העלויות של נזקי התקיפות, תוך הצגת היתרונות של סביבת ענן היברידי שממתנת את עלויות התקיפה בהשוואה לתקיפות על ארגונים הפועלים בענן ציבורי או פרטי בלבד.

ממצאים מרכזיים בדו"ח לשנת 2022
כ-80% מהחברות בתחום התשתית הקריטיות אינן מאמצות את אסטרטגיית האבטחה Zero Trust.

28% ממתקפות הסייבר על ארגוני תשתיות קריטיות (למשל חברות אנרגיה או תחבורה) היו באמצעות תוכנות כופר או התקפות הרסניות. מתקפות אלה מעידות שוב על השאיפה של התוקפים למנף את המשבר העולמי בשרשראות האספקה שאותם ארגונים נסמכים עליהן. 

חרף הקריאה מצד סוכנויות סייבר ממשלתיות ברחבי העולם להגברת עירנות, ושנה לאחר שממשל ביידן הוציא צו נשיאותי שמדגיש את החשיבות של אימוץ אסטרטגיית  Zero Trust לחיזוק אבטחת הסייבר המדינתית, רק 21% מארגוני התשתיות הקריטיות מאמצים את גישת Zero Trust.

כ-17% מפרצות האבטחה בארגונים הללו החלו עקב תקיפה של שותף עסקי או ספק - נתון המדגיש את הסיכון הגלום באמון יתר בשותפים וספקים. 

המחקר מצא גם שעלויות תקיפות הסייבר הממוצעות של ארגונים שטרם אימצו את גישת Zero Trust הסתכמו ב-5.4 מיליון דולר לתקיפה - עלייה של 1.17 מיליון דולר בהשוואה לחברות שאימצו את גישת האבטחה המחמירה הזו. 

לא משתלם לשלם כופר 
קורבנות של מתקפות כופר (Ransomware) שבחרו לשלם לתוקפים אמנם ניזוקו ב-610 אלף דולר פחות בממוצע (בהשוואה לחברות שבחרו לא לשלם), אבל העלות הזו לא לקחה בחשבון את היקף תשלום הכופר.

על פי דו"ח של חברת Sophos, ההיקף הממוצע של כופר ששולם ב-2021 היה 812 אלף דולר, כך שהמחיר הכלכלי האמיתי של מענה לדרישות התוקפים היה יקר הרבה יותר, ותשלום הכופר ממתברר כאסטרטגיה לא יעילה שגם מעודדת את התוקפים להמשיך ולתקוף - ומממנת את המשך פעילותם.

43% מהארגונים שנכללו במחקר נמצאים בשלבים מוקדמים או שטרם החלו ליישם שיטות אבטחה בסביבות הענן שלהם. חברות אלו נדרשו לשלם כ-660 אלף דולר יותר כתוצאה ממתקפות סייבר, לעומת ארגונים המפעילים מערך אבטחה הדוק יותר בסביבות הענן שלהם.

62% מהחברות שהשתתפו במחקר הצהירו שצוותי אבטחת המידע שלהן סובלים ממחסור בכוח אדם ואינם ערוכים לתת מענה מלא לצרכי האבטחה הארגוניים. חברות כאלה ישלמו בממוצע 550 אלף דולר יותר במקרה של תקיפה, לעומת החברות שאיישו את מערך האבטחה שלהם באופן מלא בהתאם לצרכים. 

חברות שמפעילות אוטומציה ובינה מלאכותית במסגרת מערך האבטחה שלהן חסכו כ-3.05 מיליון דולר בממוצע בנזקי התקפות סייבר בהשוואה לחברות שלא הטמיעו אוטומציה באבטחה - החיסכון המשמעותי ביותר שנצפה במחקר.

סביבות ענן היברידיות הן התשתית הנפוצה ביותר (45%) בקרב החברות שהשתתפו במחקר והעלות הממוצעת של נזקי תקיפות הסייבר עבורן עמדה על 3.8 מיליון דולר – עלות נמוכה לעומת ארגונים המפעילים סביבת ענן ציבורית או פרטית, שספגו נזקים של 5.02 מיליון דולר ו-4.24 מיליון דולר בממוצע בהתאמה. 

ארגונים בעלי אבטחה מותאמת לסביבת ענן היברידי הצליחו לזהות ולהכיל פרצות אבטחה 15 ימים מהר יותר בממוצע מהממוצע העולמי, שעומד על 277 ימים. הדו"ח גם מצא כי לחברות שלא יישמו נהלי אבטחה בסביבות הענן שלהן נדרשו 108 ימים יותר בממוצע כדי לזהות ולהכיל פרצת אבטחה, לעומת חברות שמיישמות באופן עקבי נהלי אבטחה בכל התחומים שלהן.

לפי המחקר, למרות מאמצים גלובליים משמעותיים לבלום תוכנות תקיפה רחבות, משך התקפות כופר ארגוניות התקצר משמעותית מחודשיים לקצת פחות מארבעה ימים - ירידה של 94% בשלוש השנים האחרונות.

כאשר חלון ההזדמנות שנותנים התוקפים לתשלום הכופר יורד למספר שעות בלבד, חשוב שחברות יתרגלו מבעוד מועד את צוות התגובה המהירה (IR) שלהן.

מנגד הדו"ח קובע כי עד 37% מהארגונים שנכללו במחקר וציינו כי יש להם תוכניות תגובה לאירועים אינם מתרגלים את צוותי התגובה באופן שוטף וקבוע.

בעוד שהרשאות גנובות ממשיכות להיות הסוג השכיח ביותר של פרצות האבטחה (19%) מתקפות דיוג מדורגות במקום השני (16%) ועלות הנזק כתוצאה מהן עלול להגיע ל-4.91 מיליון דולר.

אולי יעניין אותך גם