《2013全球企業(yè)IT安全風險調(diào)查報告》(摘要)

任何網(wǎng)絡攻擊都能夠給企業(yè)造成破壞，但是如何將這些破壞具體量化成金融數(shù)據(jù)？2013年，B2BInternational的專家基于對全球企業(yè)的調(diào)查結(jié)果，計算出網(wǎng)絡攻擊平均造成的損失。為了獲取更為精確的成本，B2B僅計算了過去12個月發(fā)生的安全事件。評估基于安全事件直接造成的損失。損失主要包括以下兩個組成部分：-安全事件本身造成的損失，即由重要數(shù)據(jù)泄漏、業(yè)務連續(xù)性以及安全修復專家費用相關成本。-之前為列入計劃的“響應”成本，用于阻止未來發(fā)生類似的攻擊事件，包括雇傭/培訓員工成本以及硬件、軟件和其它基礎設施升級成本。研究者并沒有計入那些數(shù)量相對較少損失和開支數(shù)據(jù)，例如在安全事件發(fā)生后，發(fā)表公開聲明的成本。經(jīng)過對這些數(shù)據(jù)進行處理，發(fā)現(xiàn)大部分損失由安全事件本身造成，包括失去機會和利潤，同時還需要向第三方修復專家支付費用。這部分損失平均為566，000美元?！绊憫遍_支包括雇傭和培訓員工費用以及升級硬件和軟件基礎設施的費用，平均為83，000美元。另外，損失根據(jù)受攻擊企業(yè)的地理位置不同而有所變化。例如，造成損失最嚴重的為北美地區(qū)企業(yè)，平均損失為818，000美元。南美地區(qū)的損失稍微低一些，為813，000美元。西歐地區(qū)的企業(yè)遭受網(wǎng)絡攻擊后造成的損失則更低，但仍然接近平均損失，為627，000美元。針對中小型企業(yè)的網(wǎng)絡攻擊所造成的損失較大型企業(yè)低。但是，考慮到這些企業(yè)的規(guī)模較小，對企業(yè)來說，攻擊造成的損失仍然打擊較大。中小型企業(yè)遭遇安全事件所造成的平均損失為50，000美元，其中安全事件本身造成的損失約為36，000美元，其余的14，000美元則屬于相關開支。中小型企業(yè)中，由于網(wǎng)絡攻擊造成的平均損失最大的地區(qū)為亞太地區(qū)，平均損失為96，000美元。其次則為北美地區(qū)，平均損失為82，000美元。企業(yè)遭遇網(wǎng)絡攻擊損失最少的地區(qū)為俄羅斯，平均損失為21，000美元。調(diào)查還顯示，在有的案例中，小型企業(yè)除遭遇經(jīng)濟損失外，還伴隨著其它損失，總共約占企業(yè)年收入的5%左右。其中一起案例，企業(yè)丟失了在某一地區(qū)的所有業(yè)務，而在發(fā)生安全事件之前，企業(yè)在該地區(qū)的業(yè)績非常優(yōu)秀。其實，無論網(wǎng)絡攻擊多么具有破壞性以及復雜性，仍然能夠被阻止。網(wǎng)絡攻擊會利用企業(yè)安全漏洞，但是如果企業(yè)采用了高質(zhì)量的IT安全解決方案，并對IT基礎設施進行了適當?shù)谋Ｗo，這些漏洞本來早可以被修補。通常，企業(yè)只有在遭遇網(wǎng)絡攻擊后，才能了解這些安全解決方案的重要性和價值。但這意味著，企業(yè)需要付出額外的費用和損失。簡單地將安全解決方案的成本同遭遇網(wǎng)絡攻擊后造成的損失相比，