Sokba kerülnek az adatbiztonsági incidensek

A Ponemon Institute a tavalyi évre vonatkozóan is elkészítette azt a felmérését, amelyből arra derül fény, hogy a vállalatok és az intézmények egy-egy bekövetkezett adatbiztonsági incidens alkalmával átlagosan milyen károkat szenvedtek el. A Ponemon Institute vizsgálatai évről évre arra világítanak rá, hogy az anyagi károk nagysága folyamatosan emelkedik. Ez a 2008-as évet tekintve azt jelenti, hogy minden egyes elvesztett adatrekord átlagosan 202 dolláros költséget von maga után, ami tulajdonképpen vesztességként realizálódik a támadásoknak áldozatul esett szervezetek esetében. Ugyanez a szám 2007-ben 197 dollár, 2006-ban 182 dollár, míg 2005-ben 138 dollár volt. Figyelembe véve, hogy egy-egy biztonsági incidens során sok ezer vagy akár több millió adatnak is nyoma veszhet, óriási pénzügyi károk következhetnek be.

A Ponemon Institute az elveszett adatrekordokra eső költségek kimutatásakor többek között olyan tényezőket vett figyelembe, mint például, hogy:
- a cégek mennyit költöttek az adatvesztések felderítésére
- mennyibe került azon személyek értesítése, akiket az incidens miatt tájékoztatni kellett
- mekkora költséget jelentett a támadásoknak kitett hitelkártyák monitorozására alkalmas szolgáltatások igénybe vétele
- mekkora költségekkel járt az ügyvédek és a szakértők díjazása.

A 202 dolláros adatrekordonkénti kár jelentős részét (139 dollárt) azonban nem a fenti kiadások teszik ki, hanem az elmaradt vagy elvesztett üzletekből származó veszteségek. Az ügyfelek leginkább az egészségügyi és a pénzügyi szolgáltatások esetében bekövetkezett incidenseket nehezményezik a leginkább.

Amerikában jelenleg 44 államban van hatályban olyan törvény, amely kötelezővé teszi a biztonsági incidensek bejelentését és a tájékoztatást. Azonban a szabályozás az egyes államokban jelentősen eltérő. Van ahol például akkor nem kell értesíteni a hatóságokat, illetve az érintett személyeket, ha legalább 128 bites titkosítással voltak felvértezve az eltulajdonított adatok, vagy ha az elkallódott információk nem kerültek jogosulatlan felhasználásra.

Az Egyesült Államokban az ITRC (Identity Theft Resource Center) 35 millió adat elvesztéséről kapott információkat 2008 folyamán. Ráadásul a rossz kezekbe került információk sok esetben semmiféle titkosítással, de még csak jelszavas védelemmel sem rendelkeztek. A szakemberek hangsúlyozták, hogy számos cég nem közölte, hogy pontosan mennyi adatnak veszett nyoma, így a 35 milliós szám vélhetőleg a valóságban lényegesen nagyobb.