De helft van de gehackte organisaties is niet bereid om de beveiligingsuitgaven te verhogen ondanks de hoge kosten van de hack. Dat blijkt uit het jaarlijkse Cost of a Data Breach Report van IBM. Ook blijkt dat organisaties veel duurder uit zijn als zij de autoriteiten niet over het incident informeren.

Volgens IBM bedragen de wereldwijde gemiddelde kosten van een datalek in 2023 4,45 miljoen dollar. Dat is een record en komt neer op een stijging van 15 procent in de afgelopen 3 jaar. Detectie- en escalatiekosten stegen met 42 procent in dezelfde periode, wat het grootste deel van de inbreukkosten vertegenwoordigt. Deze forse stijging wijst op een verschuiving naar complexere inbreukonderzoeken.

Geen extra beveiliging
Volgens het IBM-rapport zijn bedrijven verdeeld over hoe ze van plan zijn om te gaan met de toenemende kosten en frequentie van datalekken. Uit het onderzoek bleek dat 95 procent van de onderzochte organisaties meer dan één inbreuk heeft meegemaakt. Toch vindt 51 procent het niet nodig om meer in beveiligingsmaatregelen te investeren. 57 procent berekent de kosten van cyberincidenten door aan klanten.

Het Cost of a Data Breach Report 2023 is gebaseerd op een analyse van datalekken die 553 organisaties wereldwijd hebben meegemaakt tussen maart 2022 en maart 2023. Het onderzoek, gesponsord en geanalyseerd door IBM Security, werd uitgevoerd door Ponemon Institute.

Kunstmatige intelligentie
Om inbreuken sneller te kunnen ontdekken, wordt gebruik gemaakt van kunstmatige intelligentie. Bij organisaties die dat niet doen is de levenscyclus van datalekken gemiddeld 322 dagen. Bij organisaties die wel gebruik maken van AI is dat 214 dagen. Het verschil in kosten is bijna 1,8 miljoen dollar per incident.
Het blijkt ook lonend om de autoriteiten in te schakelen. Organisaties bespaarden daarmee gemiddeld 470.000 dollar per inbreuk. Toch houdt 37 procent van de slachtoffers van ransomware politie en justitie liever buiten de deur, omdat ze bang zijn dat dit de kwestie nog ingewikkelder gaat maken. 47 procent besluit het gevraagde losgeld te betalen, wat het probleem niet altijd oplost.
27 procent van de datalekken worden door de aanvaller bekend gemaakt. Het slachtoffer is dan gemiddeld 1 miljoen dollar meer kwijt dan wanneer het zelf de inbreuk ontdekt, namelijk 5,23 in plaats van 4,3 miljoen dollar. Hoe eerder dat gebeurt, des te kleiner de schade. AI is daarbij een belangrijk en effectief hulpmiddel, aldus Chris McCurdy, general manager, Worldwide IBM Security Services.

Zelf inbreuken ontdekken
Er is enige vooruitgang geboekt bij het detecteren en reageren op dreigingen. Volgens IBM’s Threat Intelligence Index 2023 kon vorig jaar een groter deel van de ransomware-aanvallen worden gestopt. Aanvallers vinden echter nog steeds manieren om door de kieren van de beveiliging te glippen. Uit het rapport bleek dat slechts één op de drie onderzochte inbreuken werd gedetecteerd door de eigen beveiligingsafdeling of -tools van de organisatie. In 27 procent van de gevallen gebeurde dat pas nadat de aanvaller contact had opgenomen. 40 procent werd onthuld door een externe partij, zoals in Nederland het Nationaal Cyber Security Centrum (NCSC), het Digital Trust Center (DTC) en het Computer Security Incident Response Team.

Vitale infrastructuur
Bijna 40 procent van de datalekken kostte gegevens uit meerdere omgevingen, zoals netwerken en cloud-systemen. Vooral in de zorg blijven de kosten van inbreuken stijgen, omdat niet alleen systemen onbruikbaar worden gemaakt, maar er ook wordt gedreigd om gevoelige informatie openbaar te maken. De gemiddelde kosten van een onderzochte inbreuk in de zorg bedroegen bijna 11 miljoen dollar in 2023 – een stijging van 53 procent sinds 2020.
De kosten van inbreuken op de vitale infrastructuur zijn nu 5,04 miljoen dollar. Dat betekent een stijging van 4,5 procent van de gemiddelde kosten van een inbreuk in vergelijking met vorig jaar, toen het nog om 4,82 miljoen dollar ging.