数据泄露

一起数据泄露事件可能包含多起事故或疏忽：数据存储设备的丢失或失窃（如未加密磁盘、笔记本电脑的丢失）、敏感数据被上传至互联网、设备未使用合适的信息安全保护措施即连接至互联网、使用个人或未加密的组织邮箱传输不适宜公开的信息或采购了植入恶意程序或硬件的设备。ISO/IEC 27040标准将数据泄露定义为一种造成意外、非法数据损毁、丢失、修改，未经授权的披露或访问受保护的数据传输、存储等数据处理过程的安全问题。[3]

某一环境是否是可信任的环境并不是一成不变的：如果在一名处于可信环境的员工离职后仍能访问该可信环境中的数据，那么该员工便可能成为数据泄露事件的突破口，而该“可信环境”也就不再“可信”。在分布式系统中，当信任网络中的某一节点遭入侵，上述情况也有可能发生。对此，在保护数据时使用数据分级策略可以有效降低数据泄露的风险。数据分级后，数据管理者可以根据数据的重要性调整安全策略来保护更加重要的数据。

大多数公开报道的事件中，个人信息（如身份证号码）是最常遭到泄露的数据；由于公众缺乏对泄露公司商业机密、敏感的合作信息、合同细节或是政府数据可能造成何种损失的认知，此类数据泄露事件一般并不会见诸报端。更何况公开这样的严重事故本身可能会造成比丢失数据更严重的损害。[4]

在引发数据泄露事件的各种原因中，最常见的组织内员工工作疏忽或蓄意破坏。波耐蒙研究所（Ponemon Institute）报告称“大约37%的数据泄露由人为因素引发” Privacy Rights Clearinghouse（PRC）报告显示，从2005年一月到2018年12月供发生泄露事件9000多起，主要原因为组织内部攻击、员工丢失或遭窃便携设备、组织中计算机感染病毒、向错误收件人发送电子邮件等。这充分证明人为因素是导致数据泄露的重要原因。 [5]

能够引发数据泄露的外部原因则包括个人或团体网络犯罪者（即黑客与黑客组织）、政府特工等。

尽管数据泄露可能导致身份盗窃等严重后果，大多数可能导致数据泄露的事件并没有对相关方产生长远影响：大多数安全事件在数据遭非法访问前就被遏止，有些硬件盗窃事件的嫌疑人只对偷窃的硬件感兴趣或无法破译硬件上的安全措施。尽管如此，当此类事件发生后，大多数责任方会向受影响的客户（或是受害者）提供诸如更换信用卡的额外安全服务。

然而，一起成功发生的数据泄露事件仍能造成严重损害：2013年目标百货数据泄露事件披露后，该公司当年第四季度的盈利大约缩水40%，次年报告中，该公司声称数据泄露事件总共对其造成2.9亿美元的经济损失。[6][7]互联网犯罪平均每年对能源和公共事业公司造成1280万美元的损失[8]。在医疗领域，仅2014、15两年，数据泄露问题就导致了62亿美元的损失；[9]仅波兰一国，超过2500万人的医保数据遭窃，600万人的身份信息泄露，其居民为此增加支出达560亿美元[10]。

互联网领域的数据泄露事件造成的损失则更为严重：2016年雅虎爆出数据泄露事件后，Verizon公司随即要求重新就收购雅虎进行谈判，最终，这起事件导致雅虎的收购价格降低了3.2亿美元。[11]

每起数据泄露造成的平均损失（德国）[12]

随着数字时代的发展，数据量指数级增长，数据泄露也越来越频繁地发生。防止敏感数据泄露已经成为许多企业在安全领域的重点工作。[13] 为保障数据、财务安全，各方在防止数据泄露方面投入巨大：文献指出，从2017年到2021年，全球已在互联网安全领域花费超过1万亿美元。

自2005年以来，世界上发生过的严重数据泄露事故有：

• 完全披露 (计算机安全)