Средняя стоимость утечки информации составляет $31 тыс. К такому выводу пришли эксперты американского центра защиты информации и управления идентификацией (Center for Identity Management and Information Protection, CIMIP), рассмотревшие 734 случая утечек, попавших в сферу деятельности секретной службы США (US Secret Service). По мнению специалистов аналитического центра InfoWatch, реальный ущерб от корпоративных утечек заметно выше, поскольку практически половина рассмотренных инцидентов была связана с частными лицами.
Согласно результатам исследования, ущерб от утечки напрямую зависит от числа задействованных в ней людей. Чем больше количество фигурантов утечки - тем выше ущерб, который она причиняет. Согласно данным CIMIP, средний ущерб от утечек возрастает от $22 тыс. (один фигурант) до суммы $84 тыс. (5 фигурантов).
Наиболее масштабный инцидент привел к ущербу в $13 млн., а в 47 случаях ущерб определить не удалось. Интересно, что практически треть рассмотренных утечек произошла в результате умышленных действий инсайдеров.
В рамках исследования была выявлена «группа риска», в которую попали организации, теряющие данные чаще всего. Эта группа состоит из различных компаний, занимающихся работой с физическими лицами: магазинов, ресторанов, отелей и медицинских учреждений. Эксперты CIMIP предполагают, что для успешного решения проблемы утечек необходимо качественное взаимодействие между государственными органами и частным бизнесом. «Правоохранительные службы должны чаше делиться информацией о расследованиях с различными компаниями. Таким образом, последние будут знать о причинах и последствиях утечек и смогут более эффективно их предотвращать», - говорится в отчете CIMIP.
«Во-первых, хотелось бы отметить тот факт, что исследователи CIMIP рассматривали только прямой ущерб, не задумываясь о репутационных потерях допустивших утечку компаний, - считает Денис Зенкин, директор по маркетингу компании InfoWatch. - Во-вторых, даже такие, сравнительно небольшие показатели ущерба, с лихвой оправдывают внедрение любой системы защиты».
Добавим, что исследование CIMIP стало не первой попыткой подсчитать средний ущерб от утечки. В прошлом году был опубликован отчет Ponemon Institute («2006 Ponemon Data Breach Study»), в котором указан средний ущерб в $4,7 млн. Настолько большая разница в оценках объясняется спецификой исследований: в отличие от CIMIP, Ponemon Institute рассматривал 31 крупнейший публичный инцидент. Цифры CIMIP находятся ближе к реальности, однако утечки, рассмотренные в данном исследовании, происходят на два порядка чаще.
В исследовании CIMIP можно увидеть и ряд других интересных выводов. В частности, в 40% всех дел, связанных с кражей конфиденциальных данных, обвинялись легальные сотрудники пострадавшей компании. Вместе с тем, посадить мошенников за решетку пока достаточно сложно - процент дел, доведенных до этой стадии, не превышает 51.