2024'te Bir Veri İhlalinin Maliyeti Nedir?
Bir veri ihlalinin maliyeti, yeni saldırı yöntemleri, yeni güvenlik açıkları ve yeni riskler ortaya çıktıkça her yıl artmaya devam ediyor. IBM'in 2023 Veri İhlali Maliyeti Raporu'na göre, 2023'te bir veri ihlalinin ortalama maliyeti, 2022'deki 4,35 milyon ABD dolarından %2,3'lük bir artışla 4,45 milyon ABD doları oldu.
Tehdit ortamı sürekli değiştiğinden, işletmeler etkili bir saldırı yüzeyi yönetimi (ASM) veya üçüncü taraf risk yönetimi (TPRM) programına sahip olmadıkları takdirde verilerini ve sistemlerini güvence altına almayı giderek daha zor bulabilirler. Bir siber saldırının kurbanı olma riski daha yüksek olan sektörler veya şirketler, varlıklarını nasıl koruyacaklarını anlamalıdır, aksi takdirde zararlar, veri hırsızlığı, itibar zedelenmesi ve daha fazlası yoluyla milyonlarca dolar kaybedebilirler.
Günümüzün dijital dünyasında sizin ve kuruluşunuzun karşı karşıya kalabileceği riski daha iyi anlamanıza yardımcı olmak için aşağıdaki raporlarda yer alan verileri ve bulguları toplayıp özetledik.
- IBM Veri İhlali Maliyeti Raporu 2023
- Crowdstrike 2023 Küresel Tehdit Raporu
- Verizon 2023 Veri İhlali Araştırmaları Raporu
UpGuard'ın sizi bir veri ihlalinden korumaya nasıl yardımcı olabileceğini öğrenin >
2024'teki Veri İhlali Raporlarından Önemli Bilgiler
Aşağıda, üç veri ihlali raporu ve soruşturmasından elde edilen önemli bulguların bir listesi bulunmaktadır:
1. Bir veri ihlalinin ortalama maliyeti 2023'te 4,45 milyon ABD dolarına ulaşarak 2022'ye göre %2,3 artarak 4,35 milyon ABD dolarına ulaştı (IBM Veri İhlali Maliyeti Raporu 2023)
2020'den bu yana, bir veri ihlalinin ortalama maliyeti 3,86 milyon dolardan %15,3 arttı. Bu gidişata dayanarak, maliyetlerin önümüzdeki birkaç yıl içinde 5 milyon dolara ulaşması bekleniyor.
2. Kötü amaçlı yazılımlar ve yıkıcı saldırılar, tüm siber saldırıların %24 ve %25'ini oluşturdu (IBM Veri İhlali Maliyeti Raporu 2023)
Kötü amaçlı yazılım saldırılarından kaynaklanan maliyet ve zararlar ortalama 5,24 milyon ABD doları iken, yıkıcı saldırılardan kaynaklanan maliyetler 5,13 milyon ABD dolarına ulaştı. Bu iki saldırı türü, IBM ve Ponemon Institute tarafından araştırılan 500+ kuruluştaki tüm kötü amaçlı saldırıların en büyük yüzdesini oluşturdu.
Kötü amaçlı yazılım saldırılarının veri hırsızlığı veya gasp gibi bir dizi amacı olabilirken, yıkıcı saldırıların tek amacı verileri yok etmek, sistemleri felce uğratmak veya geri dönüşü olmayan hasara neden olmaktır. Ulus devletler veya devlet destekli saldırganlar genellikle yıkıcı saldırıların arkasındadır ve bunları sıfırıncı gün güvenlik açıkları, yıkıcı kötü amaçlı yazılımlar veya fidye yazılımları aracılığıyla gerçekleştirir.
3. Bir tehdit aktörü tarafından ilk sistem ihlalinden sonra başka bir yanal hareket yapmak 84 saniye sürer (CrowdStrike 2023 Küresel Tehdit Raporu)
Bir tehdit aktörünün başka bir sisteme yanal olarak hareket etmesi 84 saniye kadar kısa sürer. Birçok şirket çabalarını ihlal önlemeye odaklayabilse de, bu, bu şirketlerin çoğunun güçlü erişim kontrolü veya dahili ağ segmentasyonu politikalarına sahip olmadığını göstermektedir. Bu, sistemlere yetkisiz erişim sağlayabilen siber suçluların, sisteme girdiklerinde başlangıçta serbest dolaşıma sahip oldukları anlamına gelir.
4. Suçlular, sistemlere erişmek için kötü amaçlı yazılım kullanmaktan uzaklaşıyor (CrowdStrike 2023 Küresel Tehdit Raporu)
Crowdstrike'ın 2023 Küresel Tehdit Raporu'nda, ihlal tespitlerinin yalnızca %29'u 2022'de kötü amaçlı yazılım içeriyordu, bu oran 2021'de %38'di. Bu, tehdit aktörlerinin sistemlere erişim elde etmek için geçerli kimlik bilgilerini çalmak ve güvenlik açığından yararlanmayı yürütmek için daha fazla yöntem kullandığını gösteriyor. Tehdit aktörleri, saldırılarını gerçekleştirmek için kuruluşların zayıf algılama yeteneklerine ve yanıt sürelerine de güvenir.
5. Otomasyona veya güvenliğe yatırım yapan şirketler, yapay zeka veri ihlali tespit hizmetlerine veya araçlarına daha düşük veri ihlali maliyetlerine ve daha kısa ihlal yaşam döngülerine sahiptir (IBM Veri İhlali Maliyeti Raporu 2023)
Otomatik veya yapay zeka ihlal tespit hizmetlerine sahip şirketler, bunu yapmayan şirketlere göre ortalama 1,76 milyon dolar daha düşük veri ihlali maliyetine sahipti. Ek olarak, tehdidin ilk tespitini, kontrol altına alınmasını ve baştan sona çözülmesini içeren kabaca 108 günlük daha kısa bir ihlal yaşam döngüsüne de sahiptiler.
6. Fidye yazılımı saldırılarına kolluk kuvvetlerini dahil etmeyen kuruluşlar daha yüksek maliyetler ve ihlal yaşam döngüleri yaşadı (IBM Veri İhlali Maliyeti Raporu 2023)
Bir fidye yazılımı saldırısından etkilenen ancak kolluk kuvvetlerini dahil etmemeyi seçen kuruluşlar, ortalama 470.000 ABD doları daha yüksek maliyet ve hasar ve ihlal yaşam döngülerinde ek 33 gün yaşadı. Bu, kolluk kuvvetlerinin fidye yazılımı kurbanlarına verileri kurtarmaya ve zararları en aza indirmeye yardımcı olmak için önemli ölçüde yardımcı olabileceğini gösteriyor.
7. Sağlık sektörü en pahalı veri ihlali maliyetlerine sahipti (IBM Veri İhlali Maliyeti Raporu 2023) ve ardından şunları izledi:
Sağlık sektörü, 2023'te en yüksek veri ihlali maliyetlerine sahipti ve ortalama 10,93 milyon ABD dolarına ulaşarak, ortalama 5,9 milyon ABD doları veri ihlali maliyetine sahip olan Finansallar alanındaki en yüksek ikinci sektörü çok geride bıraktı. ABD doları cinsinden en yüksek ortalama maliyetlere sahip ilk beş sektör şunlardı:
- Sağlık Hizmetleri - 10.93 milyon dolar
- Finansallar - 5.9 milyon dolar
- İlaç - 4.82 milyon dolar
- Enerji - 4.78 milyon dolar
- Endüstriyel - 4.73 milyon dolar
8. Kritik altyapının veri ihlali maliyeti ortalama 5,04 milyon ABD doları, CI dışı sektörlerin ise ortalama 3,78 milyon ABD doları (IBM Veri İhlali Maliyeti Raporu 2023)
Kritik altyapı kuruluşları, işledikleri bilgi ve veri türü nedeniyle doğal olarak daha yüksek veri ihlali maliyetlerine sahiptir. Aslında, en yüksek veri ihlali maliyetlerine sahip ilk beş sektörün tümü, sağlık, finans, enerji ve daha fazlasını içeren CI sektörlerindeydi. CI dışı sektörler tipik olarak Tüketim Malları, Yiyecek ve İçecek veya Seyahat/Turizm gibi sektörleri içerir.
9. İhlallerin %82'si bulut ortamında meydana geldi ve bulut güvenliği ihlallerinin %39'u birden çok ortamı kapsıyor (IBM Veri İhlali Maliyeti Raporu 2023)
Tüm veri ihlallerinin %82'si, ister genel ister özel olsun, bulutta depolanan verileri içeriyordu ve bu ihlallerin %39'u birden çok ortamı kapsıyordu. Ek olarak, bulut güvenliği ihlalleri, işletmelerin tespit etmesi ve kontrol altına alması daha uzun sürdüğü için daha yüksek veri ihlali maliyetleriyle güçlü bir şekilde ilişkilendirildi.
Birden fazla ortamda bir ihlal meydana geldiğinde, ortalama maliyetler 4,75 milyon dolara ulaştı. Genel bulut alanında meydana gelen ihlallerin ortalama 4,54 milyon dolar olduğunu ve genel veya şirket içi depolama ortamlarında meydana gelen 3,98 milyon dolarlık ihlallerden %17 daha yüksek olduğunu belirtmek de önemlidir.
10. 200 gün içinde kontrol altına alınan ihlal yaşam döngülerinin ortalama maliyeti 3,93 milyon ABD doları iken, 200 günden uzun süren ihlal yaşam döngülerinin ortalama maliyeti 4,95 milyon ABD dolarıdır (+%23) (IBM Veri İhlali Maliyeti Raporu 2023)
İki yüz gün, çoğu veri ihlali yaşam döngüsü için bırakma noktasıydı. Veri ihlallerini hızlı bir şekilde tanımlayabilen, kontrol altına alabilen ve çözebilen bir veri ihlalinden etkilenen şirketler, sorunlarını çözmesi 200 günden uzun süren şirketlere göre çok daha düşük bir veri ihlali maliyeti gördü. 200 günden uzun süren ihlal yaşam döngüleri, ortalama 4,95 milyon ABD doları veri ihlali maliyetine sahipti ve bu da 3,93 milyon ABD doları cinsinden 200 günlük ihlal yaşam döngülerinden < yaklaşık %23 daha yüksek maliyetleri temsil ediyordu.
11. İhlal yaşam döngüsü 2023'te 277 gündü (IBM Veri İhlali Maliyeti Raporu 2023)
2023'te, 2023'te bir ihlali tespit etmek için ortalama süre 204 gündü. 2023'te bir ihlali kontrol altına almak için ortalama süre 73 gündü ve bu da toplam ihlal yaşam döngüsünü 277 güne getiriyor. 2022'deki ortalama ihlal yaşam döngüsü de +%0'lık bir değişim olan 277 gündü. En yüksek ortalama ihlal yaşam döngüsü yılı, ortalama 281 gün ile 2021'de gerçekleşti.
12. Daha büyük kuruluşlar 2023'te veri ihlali maliyetlerinde düşüş görürken, daha küçük kuruluşlar veri ihlali maliyetlerinde önemli bir artış gördü (IBM Veri İhlali Maliyeti Raporu 2023)
Daha büyük kuruluşlar (>5000 kişi) genellikle daha yerleşik güvenlik programlarına sahiptir ve olası veri ihlallerini ele almak için daha iyi donanımlıdır. Daha büyük kuruluşlar daha değerli verilere sahip olsa da, siber suçluların onlardan veri çalması veya bunları ele geçirmesi giderek daha zor hale gelecektir. Bunu, en az 10.000 çalışanı olan şirketlerin maliyetlerde %1-2 arasında bir düşüş gördüğü IBM'in raporunda gördük.
Bunun yerine, tehdit aktörleri odaklarını iyi korunmayan ve ihlal edilme olasılığı daha yüksek olan küçük veya orta ölçekli işletmelere (<5000 kişi) kaydırıyor. 500-5000 kişi arasındaki şirketler, 2022'den itibaren veri ihlali maliyetlerinde en az %20'lik bir artış gördü.
13. Çalınan veya güvenliği ihlal edilen en yaygın veri türü müşteri PII'siydi (IBM Veri İhlali Maliyeti Raporu 2023)
2023'te çalınan veya güvenliği ihlal edilen ilk beş veri türü şunlardı:
- Müşteri PII
- Çalışan PII
- Fikri mülkiyet (IP)
- Müşteri verileri (kişisel olmayan bilgiler)
- Kurumsal veriler
14. Güvenlik ihlallerinin %74'ü insan unsuru içeriyordu (Verizon Veri İhlali Araştırmaları Raporu 2023)
Güvenlik ihlallerinin ezici bir çoğunluğu, insan hatası, çalınan kimlik bilgileri, ayrıcalık kötüye kullanımı veya sosyal mühendislik gibi bir insan unsurunu içerir.
15. Çalınan/güvenliği ihlal edilen kimlik bilgileri (%15) ve kimlik avı (%16), 2023'te en yaygın iki saldırı vektörüydü (IBM Veri İhlali Maliyeti Raporu 2023)
- Çalınan veya güvenliği ihlal edilmiş kimlik bilgileri kullanılarak gerçekleştirilen ihlallerin tespit edilmesi ve kontrol altına alınması ortalama 328 gün sürdü, bunu kötü niyetli içeriden bilgi (308 gün) ve sosyal mühendislik (298 gün) izledi (IBM Veri İhlali Maliyeti Raporu 2023)
16. Log4shell olaylarının %32'sinden fazlası, yayınlandıktan sonraki ilk 30 gün içinde meydana geldi (Verizon Veri İhlali Araştırmaları Raporu 2023)
Log4shell güvenlik açığı birçok büyük işletmeyi etkileyen ciddi bir küresel olay olmasına rağmen, çoğu Log4j güvenlik açığı o zamandan beri yamalandı ve son iki yılda pek çok kuruluşu etkilemedi. Bununla birlikte, Log4j uygulamalarının yaygın kullanımı nedeniyle, birçok uzman bunun önümüzdeki yıllarda hala yaygın bir güvenlik açığı olacağına inanıyor.
17. Hacktivist faaliyet son iki yılda önemli ölçüde arttı ve artmaya devam edecek (Crowdstrike 2023 Küresel Tehdit Raporu)
Ukrayna'daki savaşın 2022'nin sonlarında başlamasından bu yana Crowdstrike, Rusya kaynaklı hacktivist faaliyetlerde önemli bir artış buldu ve dünya çapında birçok ülkeyi etkiledi. 2023'ten çıkan tek hacktivist faaliyet bu değil - Tayvan'dan Çin'in veya Çin'e bağlı kişilerin kendilerine karşı birçok hacktivist saldırı düzenlediğini iddia eden çok sayıda rapor veya olay geldi.
18. Fidye yazılımı saldırıları için en önemli saldırı vektörü E-postadır (Verizon Veri İhlali Araştırmaları Raporu 2023)
Fidye yazılımı saldırılarının yaklaşık %35'i, şüphelenmeyen bir kullanıcının kötü amaçlı yazılımı kendi başına açıp çalıştırmasını içeren, ihlal edilmiş bir e-posta hesabından kaynaklandı. Sonraki iki saldırı vektörü Masaüstü Paylaşımı ve Web Uygulamaları'dır.
Ülkelere Göre Bir Veri İhlalinin Ortalama Maliyeti Nedir?
>ABD, dünyanın en pahalı veri ihlali maliyetlerine sahipti (IBM Veri İhlali Maliyeti Raporu 2023). ABD'den gelen veri ihlalleri, büyük olasılıkla şirketlerin zenginliği, ekonomi ve Amerika Birleşik Devletleri'nde işlenen veri miktarı nedeniyle dünyanın en yüksekleri arasında olmaya devam ediyor.
Bununla birlikte, dikkat edilmesi gereken bir alan, 2022'de Orta Doğu'nun ortalama veri ihlali maliyetlerinde ortalama 6,46 milyon dolar olmasıdır. 2023'te bu rakam 8.07 milyon dolara ulaştı ve bu da yaklaşık +%20'lik bir artış anlamına geliyor ve maliyetlerde önemli bir sıçrama olduğunu gösteriyor.
Veri ihlali maliyetlerinin en pahalı olduğu ilk 5 ülke/bölge şunlardı:
- ABD - 9.48 milyon dolar
- Orta Doğu - 8.07 milyon dolar
- Kanada - 5.13 milyon dolar
- Almanya - 4.67 milyon dolar
- Japonya - 4.52 milyon dolar