Verizon調查報告顯示企業保安防範鬆懈

很多企業會因成本問題而忽視網絡保安的重要性，因而架設一些便宜卻低效的防禦措施，以節省開支。可是一旦遇上黑客的入侵，不但企業資料外洩，且往往令企業損失比網絡保安開支更大的金額。Verizon發佈《2015年資料外洩調查報告》（2015 DBIR報告），便分析多宗企業保安事故，指出企業可能因保安鬆懈而因小失大。

2015 DBIR報告結果顯示，雖然網絡威脅至今愈趨複雜，但仍有大量黑客沿用多年前已存在的技術，如網絡仿冒詐騙及入侵攻擊。報告指出大部分的網絡攻擊（70%）都是由多種舊有技術互相結合，並透過已遭入侵的裝置，進一步向更多裝置作出攻擊，令資料外洩問題逐步擴大。報告亦指出另一個重要問題，不少企業的系統漏洞仍然存在的原因，是由於未有使用現存的系統保安更新檔。當中許多保安漏洞早於2007年已被發現，距今接近八年，企業卻無意正視問題。

九種模式導致96%保安事故

Verizon Enterprise Solutions全球保安副總裁Mike Denning表示：「我們見到企業於防範網絡威脅方面仍存在相當大的漏洞，雖然我們沒有方法保證資料外洩問題絕對不會發生，但企業只需提高網絡保安方面的警覺性，便可大大減低遭受攻擊的風險。這是過往10多年的DBIR報告均有強調的重點。」

Verizon表示在今年分析的近八萬宗保安事故中，絕大部分（96%）可歸因於九種基本攻擊模式，不同行業的情況各異。這項調查結果在去年的報告首度發佈，今年亦再次成為Verizon《2015年資料外洩調查報告》的核心議題。了解攻擊的基本模式，將有助企業更有效分配保安資源，採取更高效率的方法對抗網絡威脅。DBIR報告識別出的九種網絡威脅模式包括：把電郵寄予錯誤的收件人、犯罪軟件（各類旨在操控系統的惡意軟體）、內部或權限誤用、實體盜竊及損失、網絡應用程式攻擊、阻斷服務攻擊、網絡間諜、銷售點管理系統入侵及盜用信用卡。今年報告顯示，首三位威脅模式已造成業界83%的保安事故，較去年的76%為多。

外洩事故造成巨大損失

Verizon保安研究員根據接近200宗網絡責任保險的索償分析，並利用全新的評估方法，評估這些保安事故對企業造成的經濟損失。新模式不但顯示盜取資料的類型及外洩紀錄總數直接影響每項被盜取紀錄的平均損失外，同時亦可顯示外洩紀錄，包括信用卡編號、醫療健康紀錄等，最高及最低損失金額範圍。新預測模型顯示，一宗涉及1000萬項外洩資料的事故為例，在95%情況下可造成介乎210萬美元與520萬美元之間的損失，個別情況下，更可引致高達7390萬美元的經濟損失，如該事故牽涉1億項資料外洩，在95%情況下，則可引致介乎500萬美元與1560萬美元之間的損失，最高損失可達1億9千9百萬美元。從中可見資料外洩這成的損失遠比推行資訊保安對策的成本高。