Study: Data breaches continue to get more costly for businesses
Ponemon report에 의하면, 유출된 기록당 평균 유출비용이 $202에 달해....
by Jaikumar Vijaya February, 2, 2009 (Computerworld)

데이터 보안에 관련하여 투자하기를 주저하는 기업들은 한번이라도 시스템이 침해된 적이 있다면, 훨씬 많은 돈을 지불할 것을 준비하는 편이 낫다.

Ponemon Institute LLC 에 의해 최근 발행된 리포트에서 기업들의 데이터 유출 평균 비용이 계속해서 증가하고 있음을 보여주고 있다. Ponemon은 작년에 조사된 유출사건들은 각 유출된 고객 기록당 평균 $202의 비용이 들었다고 발표했다. 이것은 2005년 유출비용에 관한 첫번째 연간 리포트에서 Ponemon이 인용했던 기록당 $138보다 46%나 상승한 수치이다. Ponemon에 의하면 2006년에 $182, 2007년에 $197로 평균 손실비용이 증가하고 있다.

기록당 비용 수치는 데이터 유출 탐지, 완화, 통보 그리고 대응 노력의 직접적인 비용 뿐만 아니라 고객 이탈의 금전적 영향, 비즈니스 기회의 상실과 같은 간접비용을 포함한다. Ponemon은 각 기업에서 보고한 비용이 $613,000 에서 $3200만까지 다양하게 분포하면서, 새 보고서에서 다루고 있는 데이터 유출의 총 평균비용이 $660만 이상이라고 설명했다.

이 보고서는 17개 국가로부터의 43개 대기업들에서의 유출사건의 연구에 근거하고 있다. 유출된 고객 기록 수는 약 4,200개에서 113,000개 이상으로 다양하다. 이 수치들은 백만건에 달하는 침해 기록들과 관련된 가장 널리 알려진 침해사건들과 관련된 수치보다 훨씬 적지만, 기업들이 일반적으로 입는 유출과 관련된 침해 기록들의 수와 부합한다.

점차, 데이터 유출로 고통을 겪고 있는 기업으로의 가장 큰 비용은 비즈니스 상실이라고 Elk Rapids의 회장인 Larry Ponemon이 얘기했다. 그는 다른 비용들은 줄어든 반면, 기록당 평균 유출비용의 약 $139 – 또는 전체의 69%-이 작년에 비즈니스 상실의 형태였다고 덧붙여 말했다. 이 통계는 회사들이 데이터 유출을 점점 더 잘 탐지하고 대응하고 있는다 해도, 고객들은 유출에 대해 점점 묵인하지 않고 그들의 비즈니스를 다른 곳에서 적극적으로 처리하려는 것을 보여주고 있다고 Ponemon은 말했다.
데이터 유출 보고서를 끝내고 “ 우리는 고객이탈율이 실제로 상승하고 있다는 것을 발견했다” “사람들이 유출되는 데이터에 관해 깊이 염려하고 있다” 라고 Ponemon은 말했다.

그 염려는 특히 금융 서비스 회사와 의료 기관과 관련된 데이터 유출에서 두드러졌는데, 왜냐하면 그러한 데이터 유출과 관련된 데이터들은 다른 종류의 기업들에서의 정보들보다 더욱 민감한 것이기 때문이다.
예를 들어, 고객이 인식하는 트렌드는 리테일 산업에서는 크게 명백히 나타나진 않는 듯하다. 실례로, TJX 회사의 2007년 1월에 발생한 대형 유출사건은 회사의 고객 신뢰에 중대한 영향을 미칠 것으로 예상했었다. 그러나, 사고 발표 이후 바로 그 분기에, TJX는 가장 훌륭한 금융실적을 올린 기간 중의 하나라고 보고했다. 그리고 유출사건이 공개된 1년 이후, 동일 점포의 판매가 4% 상승하는 한편, TJX의 주가는 큰 영향을 받지 않고 있다.
Ponemon은 새 연구에서 데이터 유출은 이전에 데이터 유출을 경험해본 기업에서 드는 비용보다 처음으로 겪은 기업들이 훨씬 더 많은 비용이 드는 것을 또한 보여주고 있다. 제3자와 관련된 유출에서도 또한 동일하다. 보고서에 의하면, 대체로 기업이 비용을 치르도록 끝난 유출사건들에서 유출된 기록당 약 $231의 비용이 들었다.

가트너의 애널리스트, John Pescatore는 Ponemon 연구에서 발표한 숫자는 십만 고객기록정도까지 관련된 비교적 작은 데이터 유출에서 가트너 자체가 계산한 비용과 다소 유사하다고 말했다. “기본적으로, 계좌당 $202은 근접한 수치다” “우리가 알고 있는 것보다 약간 낮지만 큰 차이는 아니다.” 라고 말했다.

그러나, 그 수치는 TJX 유출사건과 같은 수백만 고객기록과 관련된 대형 유출사건만큼 높다고 그는 덧붙였다. 왜냐하면 시스템 침해를 탐지 및 완화하는 경비처럼 유출과 관련된 일부 비용은 고객 데이터 수가 커지는 만큼 두드러지게 증가하지 않을 수도 있기 때문이다.

여러 변수는 데이터유출의 실제비용에 영향을 미친다고 Pescatore는 설명했다. 예를 들어, 사회보장번호와 관련된 것과 같은 특정한 종류의 유출사건은 다른 사건들과 달리, 기업들이 피해를 입은 고객들에게 신용상태를 알려주는 서비스(credit monitoring service)를 제공하도록 요구될 수도 있다. 유사하게는, 데이터 유출이 발생한 회사가 데이터를 암호화했다면, 암호화되지 않은 정보가 유출된 비즈니스 만큼의 유출통보 비용이 들지 않을 수도 있다.