估算企业数据泄露的社会成本

数据泄露的规模通常以暴露或泄露的消费者、客户或用户记录数来衡量，其经济影响则通常从遭受数据泄露的企业角度来衡量：危机管理成本、法律费用、股价下跌等。本研究检验是否可能估算数据的真实成本，即由受害者及其无偿成本衡量的社会成本。为实现此目标，我们建立：(1) 身份盗窃（IDT）受害者平均直接经济损失的估计，包括丢失时间的机会成本以及因身份盗窃引发的健康支出；(2) 可归因于重大泄露事件的 IDT 增量的估计。我们的发现表明，自 2016 年以来，每个受害者的平均社会成本显著下降。此外，我们发现，在考虑 1-2 个月的发现滞后后，重大泄露事件后 IDT 的数量确实存在统计学上的显著增加。将我们的模型应用于真实案例后，我们得出具体重大泄露事件的上、下界社会成本估计。我们发现，对于 2009 年 Heartland 和 2013 年 Target 泄露事件，即使采用保守的下界社会成本估计，也分别超过了和解金 5 倍和 18 倍。相比之下，2017 年 Equifax 泄露事件的下界估计为 2.638 亿美元，远低于其 7 亿美元的和解上限。尽管 Equifax 的上界估计为 17.2 亿美元的社会成本，仍超过该和解金的 2 倍，但制度责任与事件社会成本之间的差距的收窄提供了市场饱和效应的实证证据，即单个被窃记录的边际损伤随时间而下降。