如何计算数据泄露的成本

现在，几乎所有类型的组织每天都在发生企业 IT 网络遭到破坏的情况。它们是任何合规官员最担心的问题，并且找出更好的方法来防止它们或从中恢复是合规官员永远不会远离的想法。

但数据泄露的实际成本是多少？该数字从何而来？当您获得该信息时，合规官员应该如何处理该信息？

根据IBM 的 2023 年数据泄露成本报告，我们可以很容易地为“平均”数据泄露计算出 445 万美元的成本。这比 2022 年的成本增加了 2.3%，比十年前增加了 27%，当时平均违规成本为 350 万美元。

然而，了解这些平均数字对于合规官员和风险经理来说并没有多大帮助。您需要知道如何计算您自己组织的潜在成本。只有这样，当您充分了解违规行为可能如何影响您的业务时，您才能制定明智的、基于风险的合规措施来降低这些成本。

估算数据泄露成本的艺术

计算数据泄露的成本（无论是已经发生的实际泄露还是可能发生的潜在泄露）是合规部门的一项关键能力。

例如，您可能需要向投资者、监管机构或业务合作伙伴披露确切的成本（请记住，美国证券交易委员会 (SEC) 刚刚通过了新规则，要求上市公司披露有关网络安全事件的更多信息，包括成本）。了解违规成本还可以帮助您的合规官和其他高级管理人员就网络安全投资（例如新技术或新政策和程序）做出更好的决策。

尽管如此，计算违规成本还是很复杂的。总数可以分为几个部分：

1、直接财务成本

这些是您的公司需要支付的明确、直接的成本。您会知道它们是什么，因为最终您的企业将为它们付费。它们包括以下费用：

通知受影响的个人并向他们提供信用监控服务
政府监管机构可能施加的监管罚款
聘请专家的调查和补救成本，以准确找出问题所在，然后支付升级软件等修复费用
如果您有引起媒体关注的特别公开的违规行为，则需要支付公共关系成本

2、间接成本

这些是明显存在的费用或收入损失，会损害您的业务。但是，您无法仅通过查看发票上的数字来确定其成本。例如，您可能会遇到系统停机，导致员工无法完成工作或失去客户，而您将永远无法收到这些客户的收入。

估算间接成本的最佳方法是与销售、人力资源或企业中的其他部门密切合作，对这些职能正常运营所产生的收入或成本进行建模。

例如，您可以与人力资源团队合作计算某些员工类别（工厂工人、研究人员、营销人员、销售主管等）的平均成本，以估算这些员工在勒索软件攻击期间无所事事的每小时成本。您可以与销售团队合作，估计停机期间可能损失的平均每天销售额，或者如果某些高价值客户永远离开，公司未来将损失多少收入。

3、运营成本

您还将面临运营成本，例如通过 IT 取证来确定违规行为是如何发生的；事件响应工作，可能包括通知外部各方或激活备份数据中心；IT 恢复措施，例如安装新软件或备份软件。

运营成本可能是直接成本和间接成本的混合体，具体取决于您是聘请外部团队来完成工作，还是让内部员工脱离日常职责来帮助解决违规问题。

4. 声誉成本

声誉成本是难以计算的费用，是由于公司在违规后声誉受损而产生的。例如，您可能面临更高的客户获取成本，因为持怀疑态度的销售前景需要更多证据来证明您已经改善了网络安全制度。您可能会遇到更高的客户流失率或更低的成功销售率。在最糟糕的情况下，关键业务合作伙伴可能会切断与您的组织的联系，您将不得不寻找替代者。

5. 长期成本

其中包括更高的保险费、更高的审计费、合规监察员、更大的网络安全投资以及可能持续多年的其他费用。同样，其中一些成本将是明确的，而另一些成本则隐藏在“自然”成本中，例如现在要求更多证据或测试的年度审计。

要计算数据泄露的成本，您需要对上面列出的每个元素进行彻底分析。通常，这意味着 CISO 需要与组织的财务、法律、会计、销售和人力资源团队以及可能的其他业务职能部门密切合作。

一个明智的策略是在违规发生之前制定一个流程来估算违规成本。您甚至可以进行桌面练习来演练模拟漏洞，以确定企业的哪些部分将参与清理损害。在此基础上，起草一个流程，定义谁将参与响应“典型”违规行为，包括会计代码或其他用于跟踪实际支出金额的设备。这样，当不可避免的事情最终发生时，你就会做好更好的准备。