這份報告是Verizon對數據泄露的年度分析，也是對之前一年數據泄露所做的調查。除了Verizon自己的數據外，今年的數據泄露調查報告(DBIR)包含了來自全球18個組織的數據，其中有12家是首次貢獻出自己的數據。除了分析以外，Verizon再次用VERIS 事故共享框架將泄露數據集標準化，今年更是囊括了621次泄露事故，其中超過4.4千萬份記錄被破壞。

2013年的DBIR的數據顯示，競爭對手用于破壞受害企業的動機和方法有著比較清晰的模式。Verizon的數據集顯示這些泄露中有92%是由外部威脅引起，超過55%的泄露事故由專業的受利益驅使的犯罪團伙實施。

據Verizon透露，這些利益團伙對金融，零售和食品服務行業最感興趣，他們一般是從東歐或北美等地發起攻擊。

這些黑客尋找可以立刻轉化為收益的支付數據和個人信息下手;對于經驗豐富的罪犯而言，這些信息可被快速轉換成現金。

與國家相關的網絡犯罪

Verizon注意到數據泄露與國家的關聯在上升，今年的數據集中有21%的泄露屬于這種情況。雖然Verizon承認這些數據泄露調查中涉及的間諜案例多于以往年份，但Verizon不想承認這種現象在整個行業中呈上升趨勢。

與國家有關聯的網絡罪犯在2012年很活躍，他們主要是對有產權的行業實施間諜活動，如制造業，交通運輸業和專業服務行業;而零售和食品等受利益集團青睞的攻擊對象幾乎被從事間諜活動的攻擊者完全忽略。

惡意活動實施者通過網絡間諜活動獲取商業機密，敏感的內部數據和系統信息等。令人咋舌的是，超過95%這類泄露事故都是通過釣魚手段進入目標組織。

并不是只有財富500強的公司才會丟失產權：員工人數少于1萬的公司比較大型公司更易發生與網絡間諜有關的數據泄露(多81%-19%)。

“小型律師事務所或專業服務公司之所以遭遇這種破壞是因為他們手里有客戶的敏感數據，”Verizon高級分析師Kyle Maxwell說。“所以，與其入侵防御設施更好的大公司網絡，還不如入侵其外部法律顧問公司或是審計公司，這樣可以更容易獲取大公司的財務報表，并購計劃等一系列的商業機密。”

黑客偷取的數據減少;沒有萬能的防御方案

惡意攻擊者是2012年DBIR報告的一大特點，而根據2013年的DBIR報告，他們去年盜取的數據有所減少。但Verizon認為這是攻擊策略改變的結果。

“黑客盜取的數據有所減少，部分原因是他們的攻擊方式改變了，”Maxwell說。“他們現在都是用DDoS，而這在DBIR的統計之外，因為所調查的泄露案例沒涉及DDoS攻擊。”Maxwell暗示稱黑客行為主義社區的主要人員被捕或許也是數據偷竊有所減少的原因之一。

這份報告闡述了各種威脅實施群體的差異，而且沒有雷同。Maxwell稱，各大組織必須進一步了解數據攻擊者想要什么，然后部署相應的防御措施。#p#

內部威脅：勢在必行還是言過其實?

2013 DBIR對內部人員引發的數據泄露提出了一些異議：雖然2013數據集顯示內部因素導致的數據泄露達到了2009年以來的最高值，然而從Verizon檢測過的更多安全事故樣本中發現，這些事故有7/10是由內部人員不小心導致的，所以，還不至于是刻意的惡意行為。

在這份報告中，Verizon提到，以往年份的數據集可能過分強調了“顛覆內部-外部攻擊比例的高度可擴展遠程攻擊”，而從新伙伴那里收集到的數據應該更為準確地還原了真實情況。

然而，某些特定的數據點或許能讓我們重新審視下內部威脅。據Verizon透露，內部泄露的主要原因仍會是有意識的利益驅動行為，盡管各大組織都被一些技術含量很低的事件所困擾，如丟失或發錯的文檔。

Verizon發現，在較小的組織里，員工需要直接處理支付事項，也就是說出納，服務生和銀行柜臺出納，對于內部泄露，他們要承擔更多責任，通常他們為外部詐騙集團做內應的人。

Verizon指出，由管理人員或程序員的失誤導致泄露雖然不頻繁，但是卻是一直存在的威脅，特別是對于大型機構而言。它列舉了一個應用調試設置的案例，展示敏感數據如何在不經意間被保存到不安全的地方，之后又暴露給未經授權的人

數據隱私網絡顧問公司Chandler的創始人Philip Alexander稱，心態不好的員工或者粗心的員工是一種威脅，不要忽視他們。他說，公司應該把這些風險和限制數據訪問的策略結合起來，并推薦使用數據審計。

2013 DBIR的質量有提升，不再只是重視量的積累

今年DBIR的新拐點是包含的安全事例超過4.7萬，然而，Verizon對這些已確認數據泄露事故的描述仍然很謹慎。

研究公司Securosis的CEO兼分析師Rich Mogull稱贊Verizon的所做的兩個重要決定，稱這提升了2013年DBIR的質量。

“第一個決定是將記錄計數完全從報告中剝離。這些計數沒有什么意義，只能將人們的注意力從數據的事故指向型屬性轉移開來，”Mogull說。“第二個是不論是否能提供更大的數據集，僅關注已確認的泄露事故。”這樣讀者可以了解到底哪些問題確實會導致事故。

雖然Verizon努力改進泄露數據的統計，或許整個報告中最可怕的數據點是企業每月辦法對數據丟失進行量化。

據Verizon透露，在數據集受損的泄露事故中，只有15%的機構可以提供完整的可靠的損壞記錄。換言之，在85%的泄露事故中，各機構無法確定到底泄露了多少數據。

Alexander稱Verizon的發現凸顯了企業制作敏感數據詳細目錄的重要性，這樣就更容易發現有哪些數據丟失，哪些數據隨著安全事故的發生而被篡改。

Forrester研究公司高級分析師Rick Holland提倡企業利用各種網關，端點，Web和郵件安全技術，專注于網絡可視性的提升。