ค่าใช้จ่ายของการละเมิดข้อมูลในปี 2024 คืออะไร?

ค่าใช้จ่ายของการละเมิดข้อมูลยังคงเพิ่มขึ้นทุกปี เนื่องจากวิธีการโจมตีใหม่ ช่องโหว่ใหม่ และความเสี่ยงใหม่ๆ ปรากฏขึ้น จากรายงานต้นทุนการละเมิดข้อมูลปี 2023 ของ IBM ต้นทุนเฉลี่ยของการละเมิดข้อมูลในปี 2023 อยู่ที่ 4.45 ล้านดอลลาร์สหรัฐ เพิ่มขึ้น 2.3% จากต้นทุนของปี 2022 ที่ 4.35 ล้านดอลลาร์

ธุรกิจอาจพบว่าการรักษาความปลอดภัยข้อมูลและระบบของตนมีความท้าทายมากขึ้นเรื่อยๆ หากไม่มีโปรแกรมการจัดการพื้นผิวการโจมตี (ASM) หรือการจัดการความเสี่ยงของบุคคลที่สาม (TPRM) ที่มีประสิทธิภาพ อุตสาหกรรมหรือบริษัทที่มีความเสี่ยงสูงที่จะตกเป็นเหยื่อของการโจมตีทางไซเบอร์ต้องเข้าใจวิธีปกป้องทรัพย์สินของตนมิฉะนั้นพวกเขาอาจสูญเสียเงินหลายล้านดอลลาร์จากความเสียหายการโจรกรรมข้อมูลความเสียหายต่อชื่อเสียงและอื่น ๆ

เราได้รวบรวมและสรุปข้อมูลและผลการวิจัยจากรายงานต่อไปนี้เพื่อช่วยให้คุณเข้าใจความเสี่ยงที่คุณและองค์กรของคุณอาจเผชิญในโลกดิจิทัลในปัจจุบันได้ดียิ่งขึ้น

• รายงานต้นทุนการละเมิดข้อมูลของ IBM ปี 2023
• รายงานภัยคุกคามระดับโลกของ Crowdstrike ปี 2023
• รายงานการสืบสวนการละเมิดข้อมูลของ Verizon ปี 2023

ค้นหาว่า UpGuard สามารถช่วยปกป้องคุณจากการละเมิดข้อมูลได้อย่างไร >

ข้อมูลเชิงลึกที่สําคัญจากรายงานการละเมิดข้อมูลในปี 2024

ด้านล่างนี้คือรายการการค้นพบที่สําคัญจากรายงานและการสืบสวนการละเมิดข้อมูลทั้งสามฉบับ:

1. ต้นทุนเฉลี่ยของการละเมิดข้อมูลสูงถึง 4.45 ล้านดอลลาร์สหรัฐในปี 2023 เพิ่มขึ้น 2.3% จากปี 2022 ที่ 4.35 ล้านดอลลาร์ (IBM Cost of a Data Breach Report 2023)

ตั้งแต่ปี 2020 ต้นทุนเฉลี่ยของการละเมิดข้อมูลเพิ่มขึ้น 15.3% จาก 3.86 ล้านดอลลาร์ จากวิถีนี้คาดว่าค่าใช้จ่ายจะสูงถึง 5 ล้านดอลลาร์ภายในไม่กี่ปีข้างหน้า

2. มัลแวร์และการโจมตีแบบทําลายล้างคิดเป็น 24% และ 25% ของการโจมตีทางไซเบอร์ทั้งหมด (IBM Cost of a Data Breach Report 2023)

ค่าใช้จ่ายและความเสียหายจากการโจมตีของมัลแวร์เฉลี่ยอยู่ที่ 5.24 ล้านดอลลาร์สหรัฐ ในขณะที่ค่าใช้จ่ายจากการโจมตีแบบทําลายล้างสูงถึง 5.13 ล้านดอลลาร์สหรัฐ การโจมตีทั้งสองประเภทนี้คิดเป็นเปอร์เซ็นต์ที่ใหญ่ที่สุดของการโจมตีที่เป็นอันตรายทั้งหมดใน 500+ องค์กรที่วิจัยโดย IBM และ Ponemon Institute

แม้ว่าการโจมตีของมัลแวร์อาจมีเป้าหมายหลายประการ เช่น การขโมยข้อมูลหรือการขู่กรรโชก แต่การโจมตีแบบทําลายล้างมีจุดประสงค์เพียงอย่างเดียวในการทําลายข้อมูล ทําให้ระบบพิการ หรือก่อให้เกิดความเสียหายที่ไม่สามารถย้อนกลับได้ โดยทั่วไปแล้วผู้โจมตีที่รัฐชาติหรือรัฐสนับสนุนจะอยู่เบื้องหลังการโจมตีแบบทําลายล้างและดําเนินการเหล่านี้ผ่านช่องโหว่ซีโร่เดย์ มัลแวร์ทําลายล้าง หรือแรนซัมแวร์

3. ใช้เวลา 84 วินาทีจากการละเมิดระบบเบื้องต้นโดยผู้คุกคามเพื่อทําการเคลื่อนไหวด้านข้างอีกครั้ง (รายงานภัยคุกคามทั่วโลกของ CrowdStrike 2023)

ผู้คุกคามใช้เวลาเพียง 84 วินาทีในการย้ายด้านข้างไปยังระบบอื่น แม้ว่าหลายบริษัทอาจมุ่งเน้นความพยายามในการป้องกันการละเมิด แต่นี่แสดงให้เห็นว่าบริษัทเหล่านั้นหลายแห่งไม่มีการควบคุมการเข้าถึงที่เข้มงวดหรือนโยบายการแบ่งส่วนเครือข่ายภายใน ซึ่งหมายความว่าอาชญากรไซเบอร์ที่สามารถเข้าถึงระบบโดยไม่ได้รับอนุญาตในตอนแรกจะมีการโรมมิ่งฟรีเมื่อพวกเขาเข้ามา

4. อาชญากรกําลังเปลี่ยนจากการใช้มัลแวร์เพื่อเข้าถึงระบบ (รายงานภัยคุกคามระดับโลกของ CrowdStrike 2023)

ในรายงานภัยคุกคามทั่วโลกปี 2023 ของ Crowdstrike มีเพียง 29% ของการตรวจจับการละเมิดที่เกี่ยวข้องกับมัลแวร์ในปี 2022 ลดลงจาก 38% ในปี 2021 สิ่งนี้ชี้ให้เห็นว่าผู้คุกคามกําลังใช้วิธีการมากขึ้นในการขโมยข้อมูลประจําตัวที่ถูกต้องและดําเนินการใช้ประโยชน์จากช่องโหว่เพื่อเข้าถึงระบบ ผู้คุกคามยังพึ่งพาความสามารถในการตรวจจับที่ไม่ดีขององค์กรและเวลาตอบสนองในการโจมตี

5. บริษัทที่ลงทุนในระบบอัตโนมัติหรือความปลอดภัย บริการหรือเครื่องมือตรวจจับการละเมิดข้อมูล AI มีต้นทุนการละเมิดข้อมูลที่ต่ํากว่าและวงจรชีวิตการละเมิดที่สั้นลง (IBM Cost of a Data Breach Report 2023)

บริษัทที่มีบริการตรวจจับการละเมิดอัตโนมัติหรือ AI มีค่าใช้จ่ายในการละเมิดข้อมูลโดยเฉลี่ย 1.76 ล้านดอลลาร์เมื่อเทียบกับบริษัทที่ไม่ได้ให้บริการ นอกจากนี้ พวกเขายังมีวงจรชีวิตการละเมิดที่สั้นลงประมาณ 108 วัน ซึ่งรวมถึงการตรวจจับภัยคุกคาม การกักกัน และการแก้ไขเบื้องต้นตั้งแต่ต้นจนจบ

6. องค์กรที่ไม่เกี่ยวข้องกับการบังคับใช้กฎหมายในการโจมตีด้วยแรนซัมแวร์ประสบกับต้นทุนที่สูงขึ้นและวงจรชีวิตการละเมิด (IBM Cost of a Data Breach Report 2023)

องค์กรที่ได้รับผลกระทบจากการโจมตีของแรนซัมแวร์ แต่เลือกที่จะไม่เกี่ยวข้องกับการบังคับใช้กฎหมายประสบกับค่าใช้จ่ายและความเสียหายที่สูงขึ้นโดยเฉลี่ย 470,000 ดอลลาร์ และเพิ่มอีก 33 วันในวงจรชีวิตการละเมิด นี่แสดงให้เห็นว่าการบังคับใช้กฎหมายสามารถช่วยเหยื่อแรนซัมแวร์ได้อย่างมีนัยสําคัญเพื่อช่วยกู้คืนข้อมูลและลดความเสียหายให้เหลือน้อยที่สุด

7. อุตสาหกรรมการดูแลสุขภาพมีค่าใช้จ่ายในการละเมิดข้อมูลที่แพงที่สุด (IBM Cost of a Data Breach Report 2023) รองลงมาด้วย:

อุตสาหกรรมการดูแลสุขภาพมีค่าใช้จ่ายในการละเมิดข้อมูลสูงสุดในปี 2023 โดยสูงถึงค่าเฉลี่ย 10.93 ล้านดอลลาร์สหรัฐ ซึ่งสูงกว่าอุตสาหกรรมการเงินที่สูงเป็นอันดับสอง ซึ่งมีต้นทุนการละเมิดข้อมูลเฉลี่ย 5.9 ล้านดอลลาร์สหรัฐ ห้าอุตสาหกรรมแรกที่มีต้นทุนเฉลี่ยสูงสุดใน USD ได้แก่:

• การดูแลสุขภาพ - 10.93 ล้านดอลลาร์
• บทสรุปทางการเงิน - 5.9 ล้านดอลลาร์
• เภสัชภัณฑ์ - 4.82 ล้านดอลลาร์
• พลังงาน - 4.78 ล้านดอลลาร์
• อุตสาหกรรม - 4.73 ล้านดอลลาร์

8. โครงสร้างพื้นฐานที่สําคัญมีค่าใช้จ่ายในการละเมิดข้อมูลเฉลี่ย 5.04 ล้านดอลลาร์ ในขณะที่อุตสาหกรรมที่ไม่ใช่ CI เฉลี่ย 3.78 ล้านดอลลาร์ (รายงานต้นทุนการละเมิดข้อมูลของ IBM ปี 2023)

องค์กรโครงสร้างพื้นฐานที่สําคัญมีต้นทุนการละเมิดข้อมูลที่สูงขึ้นเนื่องจากประเภทของข้อมูลและข้อมูลที่พวกเขาจัดการ ในความเป็นจริงอุตสาหกรรมห้าอันดับแรกที่มีต้นทุนการละเมิดข้อมูลสูงสุดล้วนอยู่ในภาค CI ซึ่งรวมถึงการดูแลสุขภาพการเงินพลังงานและอื่น ๆ ภาคส่วนที่ไม่ใช่ CI มักรวมถึงอุตสาหกรรมต่างๆ เช่น สินค้าอุปโภคบริโภค อาหารและเครื่องดื่ม หรือการเดินทาง/การท่องเที่ยว

9. 82% ของการละเมิดเกิดขึ้นในสภาพแวดล้อมระบบคลาวด์ โดย 39% ของการละเมิดความปลอดภัยของระบบคลาวด์ครอบคลุมหลายสภาพแวดล้อม (IBM Cost of a Data Breach Report 2023)

82% ของการละเมิดข้อมูลทั้งหมดเกี่ยวข้องกับข้อมูลที่จัดเก็บไว้ในระบบคลาวด์ ไม่ว่าจะเป็นข้อมูลสาธารณะหรือส่วนตัว และ 39% ของการละเมิดเหล่านี้ครอบคลุมหลายสภาพแวดล้อม นอกจากนี้ การละเมิดความปลอดภัยบนคลาวด์ยังมีความสัมพันธ์อย่างมากกับต้นทุนการละเมิดข้อมูลที่สูงขึ้น เนื่องจากธุรกิจใช้เวลานานขึ้นในการระบุและควบคุม

เมื่อเกิดการละเมิดในหลายสภาพแวดล้อม ค่าใช้จ่ายเฉลี่ยสูงถึง 4.75 ล้านดอลลาร์ สิ่งสําคัญคือต้องทราบว่าการละเมิดที่เกิดขึ้นในพื้นที่คลาวด์สาธารณะมีค่าเฉลี่ยประมาณ 4.54 ล้านดอลลาร์ ซึ่งสูงกว่าการละเมิดที่เกิดขึ้นในสภาพแวดล้อมการจัดเก็บข้อมูลสาธารณะหรือในองค์กรที่ 17% ที่ 3.98 ล้านดอลลาร์

10. วงจรชีวิตการละเมิดที่บรรจุภายใน 200 วันมีค่าใช้จ่ายเฉลี่ย 3.93 ล้านดอลลาร์ ในขณะที่วงจรชีวิตการละเมิดที่กินเวลานานกว่า 200 วันมีค่าใช้จ่ายเฉลี่ย 4.95 ล้านดอลลาร์ (+23%) (รายงานต้นทุนการละเมิดข้อมูลของ IBM 2023)

สองร้อยวันเป็นจุดเริ่มต้นสําหรับวงจรชีวิตการละเมิดข้อมูลส่วนใหญ่ บริษัทที่ได้รับผลกระทบจากการละเมิดข้อมูลที่สามารถระบุ ควบคุม และแก้ไขการละเมิดข้อมูลได้อย่างรวดเร็วมีต้นทุนการละเมิดข้อมูลที่ต่ํากว่าบริษัทที่ใช้เวลานานกว่า 200 วันในการแก้ไขปัญหา วงจรชีวิตการละเมิดที่กินเวลานานกว่า 200 วันมีค่าใช้จ่ายในการละเมิดข้อมูลโดยเฉลี่ย 4.95 ล้านดอลลาร์ ซึ่งคิดเป็นต้นทุนที่สูงขึ้นเกือบ 23% <วงจรชีวิตการละเมิด 200 วันใน 3.93 ล้านดอลลาร์

11. วงจรชีวิตการละเมิดเฉลี่ยอยู่ที่ 277 วันในปี 2023 (IBM Cost of a Data Breach Report 2023)

ในปี 2023 เวลาเฉลี่ยในการระบุการละเมิดในปี 2023 คือ 204 วัน เวลาเฉลี่ยในการควบคุมการละเมิดในปี 2023 คือ 73 วัน ซึ่งทําให้วงจรชีวิตการละเมิดทั้งหมดเป็น 277 วัน วงจรชีวิตการละเมิดโดยเฉลี่ยในปี 2022 ก็คือ 277 วัน ซึ่งเป็นการเปลี่ยนแปลง +0% ปีวงจรชีวิตการละเมิดโดยเฉลี่ยสูงสุดคือในปี 2021 โดยเฉลี่ย 281 วัน

12. องค์กรขนาดใหญ่มีต้นทุนการละเมิดข้อมูลลดลงในปี 2023 ในขณะที่องค์กรขนาดเล็กมีต้นทุนการละเมิดข้อมูลเพิ่มขึ้นอย่างมาก (IBM Cost of a Data Breach Report 2023)

องค์กรขนาดใหญ่ (>5000 คน) มักจะมีโปรแกรมรักษาความปลอดภัยที่มั่นคงกว่า และมีความพร้อมมากขึ้นในการจัดการกับการละเมิดข้อมูลที่อาจเกิดขึ้น แม้ว่าองค์กรขนาดใหญ่อาจมีข้อมูลที่มีค่ามากกว่า แต่อาชญากรไซเบอร์จะขโมยหรือประนีประนอมข้อมูลจากพวกเขาได้ยากขึ้นเรื่อยๆ เราเห็นสิ่งนี้ในรายงานของ IBM ซึ่งบริษัทที่มีพนักงานอย่างน้อย 10,000 คนพบว่าต้นทุนลดลงระหว่าง 1-2%

ผู้คุกคามกําลังเปลี่ยนโฟกัสไปที่วิสาหกิจขนาดเล็กหรือขนาดกลาง (<5000 คน) ที่ไม่ได้รับการปกป้องอย่างดีและมีแนวโน้มที่จะถูกละเมิดมากกว่า บริษัทที่มีพนักงานระหว่าง 500-5000 คนพบว่าค่าใช้จ่ายในการละเมิดข้อมูลเพิ่มขึ้นอย่างน้อย 20% จากปี 2022

13. ประเภทข้อมูลที่พบบ่อยที่สุดที่ถูกขโมยหรือถูกบุกรุกคือ PII ของลูกค้า (IBM Cost of a Data Breach Report 2023)

ข้อมูลห้าประเภทแรกที่ถูกขโมยหรือถูกบุกรุกในปี 2023 ได้แก่:

1. PII ของลูกค้า
2. PII ของพนักงาน
3. ทรัพย์สินทางปัญญา (IP)
4. ข้อมูลลูกค้า (ไม่ใช่ PII)
5. ข้อมูลบริษัท

14. 74% ของการละเมิดความปลอดภัยเกี่ยวข้องกับองค์ประกอบของมนุษย์ (รายงานการสืบสวนการละเมิดข้อมูลของ Verizon ปี 2023)

การละเมิดความปลอดภัยส่วนใหญ่เกี่ยวข้องกับองค์ประกอบของมนุษย์ซึ่งรวมถึงความผิดพลาดของมนุษย์ข้อมูลประจําตัวที่ถูกขโมยการใช้สิทธิในทางที่ผิดหรือวิศวกรรมสังคม

15. ข้อมูลประจําตัวที่ถูกขโมย/ถูกบุกรุก (15%) และฟิชชิ่ง (16%) เป็นเวกเตอร์การโจมตีที่พบบ่อยที่สุดสองประเภทในปี 2023 (IBM Cost of a Data Breach Report 2023)

1. การละเมิดโดยใช้ข้อมูลประจําตัวที่ถูกขโมยหรือถูกบุกรุกใช้เวลาเฉลี่ย 328 วันในการระบุและควบคุม ตามด้วยข้อมูลวงในที่ประสงค์ร้าย (308 วัน) และวิศวกรรมสังคม (298 วัน) (IBM Cost of a Data Breach Report 2023)

16. มากกว่า 32% ของเหตุการณ์ Log4shell เกิดขึ้นภายใน 30 วันแรกของการเผยแพร่ (รายงานการสืบสวนการละเมิดข้อมูลของ Verizon ปี 2023)

แม้ว่าช่องโหว่ Log4shell จะเป็นเหตุการณ์ระดับโลกที่ร้ายแรงซึ่งส่งผลกระทบต่อองค์กรขนาดใหญ่หลายแห่ง แต่ช่องโหว่ Log4j ส่วนใหญ่ได้รับการแก้ไขแล้วและไม่ได้ส่งผลกระทบต่อหลายองค์กรในช่วงสองปีที่ผ่านมา อย่างไรก็ตาม เนื่องจากการใช้แอปพลิเคชัน Log4j อย่างแพร่หลาย ผู้เชี่ยวชาญหลายคนเชื่อว่าแอปพลิเคชันนี้จะยังคงเป็นช่องโหว่ที่แพร่หลายในอีกหลายปีข้างหน้า

17. กิจกรรม Hacktivist เติบโตขึ้นอย่างมากในช่วงสองปีที่ผ่านมาและจะเพิ่มขึ้นอย่างต่อเนื่อง (รายงานภัยคุกคามระดับโลกของ Crowdstrike 2023)

นับตั้งแต่สงครามในยูเครนเริ่มขึ้นในปลายปี 2022 Crowdstrike พบว่ากิจกรรมแฮ็กติวิสต์ที่มาจากรัสเซียเพิ่มขึ้นอย่างมาก ซึ่งส่งผลกระทบต่อหลายประเทศทั่วโลก นี่ไม่ใช่กิจกรรมแฮ็กติวิสต์เพียงอย่างเดียวที่เกิดขึ้นในปี 2023 — มีรายงานหรือเหตุการณ์หลายครั้งที่ออกมาจากไต้หวันที่อ้างว่าจีนหรือบริษัทในเครือจีนได้ใช้การโจมตีแบบแฮ็กติวิสต์หลายครั้งกับพวกเขา

18. เวกเตอร์การโจมตีอันดับต้น ๆ สําหรับการโจมตีด้วยแรนซัมแวร์คืออีเมล (รายงานการสืบสวนการละเมิดข้อมูลของ Verizon ปี 2023)

เกือบ 35% ของการโจมตีด้วยแรนซัมแวร์เกิดจากบัญชีอีเมลที่ถูกละเมิด ซึ่งเกี่ยวข้องกับผู้ใช้ที่ไม่สงสัยที่เปิดและเรียกใช้มัลแวร์ด้วยตัวเอง เวกเตอร์การโจมตีสองแบบถัดไปคือการแชร์เดสก์ท็อปและเว็บแอปพลิเคชัน

ต้นทุนเฉลี่ยของการละเมิดข้อมูลตามประเทศคืออะไร?

สหรัฐอเมริกามีค่าใช้จ่ายการละเมิดข้อมูลที่แพงที่สุดในโลก (IBM Cost of a Data Breach Report 2023) การละเมิดข้อมูลจากสหรัฐอเมริกายังคงสูงที่สุดในโลก ซึ่งน่าจะเป็นเพราะความมั่งคั่งของบริษัท เศรษฐกิจ และปริมาณข้อมูลที่จัดการในสหรัฐอเมริกา

อย่างไรก็ตาม ประเด็นหนึ่งที่ควรทราบคือในปี 2022 ตะวันออกกลางมีค่าใช้จ่ายเฉลี่ย 6.46 ล้านดอลลาร์ในการละเมิดข้อมูล ในปี 2023 ตัวเลขดังกล่าวสูงถึง 8.07 ล้านดอลลาร์ ซึ่งเพิ่มขึ้นเกือบ +20% ซึ่งแสดงให้เห็นถึงต้นทุนที่เพิ่มขึ้นอย่างมีนัยสําคัญ

ประเทศ/ภูมิภาค 5 อันดับแรกที่มีค่าใช้จ่ายในการละเมิดข้อมูลแพงที่สุด ได้แก่ :

1. สหรัฐอเมริกา - 9.48 ล้านดอลลาร์
2. ตะวันออกกลาง - 8.07 ล้านดอลลาร์
3. แคนาดา - 5.13 ล้านดอลลาร์
4. เยอรมนี - 4.67 ล้านดอลลาร์
5. ญี่ปุ่น - 4.52 ล้านดอลลาร์