調查：對數據價值的評估錯誤帶來極大風險
責編：gltian ｜2018-12-12 13:26:15信息安全團隊常會低估或高估數據資產的真正價值，令安全控制措施排序更加困難。
新調查研究顯示，很多信息安全團隊因為錯誤估計企業信息資產的真正價值而削弱了數據可用性與安全性。
波耐蒙研究所受文檔安全供應商DocAuthority委托執行了一項調查研究。共有2,820名來自7個不同職能領域的專業人士接受了調查。這些來自IT安全、產品與制造、法律、市場、IT、財務與會計，以及人力資源的專業人士被要求就36類信息給出每條記錄的價值評估。信息類型包括研究與開發文檔、源代碼、客戶記錄、并購數據和個人可識別信息(PII)。
結果顯示，IT部門高估了特定信息類型的價值，比如PII；同時嚴重低估了其他信息的價值，比如財務報告和研發數據。總體上，IT安全部門給出的數據資產價值比數據擁有者給出的要低50%。
比如說，IT安全部門估計重建研發文檔會耗費公司30萬美元左右；而研發部門則估計該耗費在70萬美元左右。類似的，財務報告泄露在IT安全人員眼里價值13萬美元，而在會計和財務人員眼中就是30萬美元。
相反，安全人員過于高估特定類型數據的價值。比如員工月公司列表在安全團隊看來價值9.4萬美元，而HR眼中此類信息價值僅為5.8萬美元。
這種數據價值認知上的差距關系重大，因為會影響到安全公司保護不同類型數據和讓這些數據在企業中有效流轉和存儲的方式。錯誤的數據價值評估可能會帶來錯誤的安全控制措施實現。
目前IT安全團隊和業務部門對業務數據價值的認知大為不同。IT安全人員看待數據價值的角度與業務人員并不一致。
很多安全公司采用靜態分類方案應用數據安全及訪問控制。DocAuthority的調查研究揭示我們需要更為細致入微的方法來處理企業數據資產。
信息資產類型不同則價值各異。一些數據集，比如研發數據、定價模型、源代碼、并購文檔和已簽署的就業協議等，對公司的價值就比產品制造與工程工作流、已簽署客戶合同、預算及會計數據和網絡設計文檔等其他數據資產大得多。
某些類型的數據，其價值因相關性的降低而隨時間減少。比如制造部門的研發文檔，如果是1年以內的，其價值超過87萬美元；而同樣的數據，1年之后價值就銳減到49萬美元了。
類似的，1年以內的新鮮法律文件價值51萬美元，1年以上的只有12萬美元。
重建數據和處理數據泄露后果的開銷也隨數據類型和職能部門而不同。對市場營銷人員而言，定價模型和客戶列表是重建花費最高的數據類型；對人力資源部門而言，退休金數據才是最值錢的。
與之類似，涉及研發文檔的數據泄露會讓公司損失66萬美元，而涉及產品制造工作流的數據泄露價值11萬美元，差距甚大。有趣的是，不同業務用戶對不同數據類型給出的價值評估在垂直行業內和相同地域上或多或少地保持了一致。
數據顯示，公司企業需將數據當成資產而不僅僅是一種責任來管理。IT安全團隊需考慮基于用例、新舊、重建成本、遺失或被盜代價來給不同數據類型賦予不同的數據價值。
DocAuthority調查鏈接：
https://info.docauthority.com/ponemon-report?utm_source=pr_press_release