Stručně: Náklady hackerského útoku na firmu se skládají ze tří skupin: přímých nákladů na řešení incidentu, vyčištění a poradenství, nepřímých nákladů způsobených výpadkem, pracovní dobou a ztrátou důvěry a následných nákladů na zabezpečení, migraci a dodatečné práce. Paušální částky jsou nevěrohodné. Spolehlivá je vlastní kalkulace, která každou položku naplní vašimi čísly a umožní tak prevenci zdůvodnit.
Kalkulace, kterou nikdo nesestaví
V mnoha rozpočtových kolech stojí bezpečnost na jedné straně jako nákladové středisko. Na druhé straně není nic, protože škoda ještě nevznikla. Teprve když je server převzat, ukáže se, co všechno se sčítá, a většinou je to víc než faktura dodavatele.
PHP2Shell přinutilo mnoho firem tento týden k rozvaze: web okamžitě odpojit, jak BSI (německý Spolkový úřad pro informační bezpečnost) doporučilo u systémů, které nelze záplatovat, nebo ho nechat běžet? I toto rozhodnutí je otázkou nákladů. Kdo ví, kolik stojí den výpadku a kolik by mohl stát průnik, rozhoduje klidněji. Podle médií například město Mohuč (Mainz) preventivně vypnulo svůj centrální webový portál; úřady zůstaly dostupné telefonicky a e-mailem. I takový výpadek má cenu, jen plánovatelnou.
Náklady hackerského útoku v přehledu
Následující přehled uvádí typické položky. Ne každá vzniká při každém incidentu, ale každá by měla být posouzena.
| Skupina | Nákladová položka | Na čem závisí |
|---|---|---|
| Přímé | řešení incidentu a technická nouzová pomoc | délka, počet systémů, denní doba |
| Přímé | IT forenzní analýza a zajištění důkazů | rozsah, potřeba dokumentace použitelné u soudu |
| Přímé | vyčištění nebo nové vybudování serverů | stav záloh, dokumentace |
| Přímé | právní poradenství a poradenství v ochraně osobních údajů | oznamovací povinnosti, smlouvy, nároky |
| Přímé | informování dotčených osob, zákaznický servis | počet dotčených, kanály |
| Nepřímé | ušlé tržby během odstavení | závislost na systému, délka |
| Nepřímé | interní pracovní doba vedení, IT, obchodu | příprava, jasnost rolí |
| Nepřímé | ztráta viditelnosti ve vyhledávačích | výstražná upozornění, vložený spam |
| Nepřímé | zablokované odesílání pošty | zneužití serveru ke spamu |
| Nepřímé | ztráta důvěry zákazníků a partnerů | komunikace, druh dat |
| Následné | zabezpečení, monitoring, nové procesy | výchozí stav |
| Následné | migrace zastaralého softwaru | např. PHP 8.1 a starší |
| Následné | úpravy smluv s dodavateli | stávající ujednání |
| Následné | možné nároky třetích stran nebo pokuty | konkrétní případ, právní posouzení |
Přímé náklady: co stojí na fakturách
Přímé náklady se zjišťují nejsnáze, protože přicházejí jako faktura. Patří sem technická pomoc, forenzní analýza, vyčištění a poradenství. Jejich rozsah silně závisí na přípravě. Pokud existuje aktuální inventář, otestované zálohy a zajištěné logy, analýza jde rychleji. Pokud chybí, část práce se mění v hledání základních informací. Co zahrnuje důkladné vyšetření, popisuje IT forenzní analýza po napadení webového serveru.
Přibývají položky, na které člověk zprvu nemyslí: přesčasy externích dodavatelů o víkendu, náhradní server na přechodnou dobu nebo tisk a odeslání dopisů, pokud je nutné dotčené osoby informovat takto.
Nepřímé náklady: co na fakturách není
Nepřímé náklady jsou často vyšší a hůře uchopitelné. Ušlé tržby e-shopu lze odvodit z vlastních čísel. Pracovní doba vedení, IT, obchodu a zákaznického servisu se naproti tomu zachycuje jen zřídka, ačkoli incident váže mnoho lidí po několik dní.
Dvě následky postihují weby zvlášť. Pokud Google najde škodlivý kód, může výstražné upozornění odradit návštěvníky, dokud není vyčištění potvrzeno; jak ho nechat odstranit, najdete v Odstranění varování Google. Pokud je server zneužit ke spamu, e-maily firmy skončí na blokovacích seznamech a zákazníky už nedosáhnou. Obojí často působí ještě týdny po technickém vyčištění.
Následné náklady: co přijde po vyčištění
Je-li server zase čistý, kalkulace ještě není uzavřena. Téměř každý incident odhalí opomenutí, která je nyní nutné napravit: zabezpečení serverů, monitoring, který příště varuje dříve, otestované zálohy, nové přístupy pro všechny zúčastněné. Pokud systém běží na PHP 8.1 nebo starším, pro které už neexistují oficiální aktualizace, často následuje migrace, která by byla stejně na řadě, nyní ale pod časovým tlakem.
Přibývají organizační následné náklady. Smlouvy s poskytovatelem hostingu a agenturou se přepracují, krizový plán upraví, zaměstnanci proškolí. Některé z těchto položek jsou smysluplné investice, které by bez incidentu vyšly levněji. Právě to je argument pro prevenci.
Sestavit vlastní kalkulaci
Místo cizích statistik pomůže kalkulace s vlastními čísly. Postupujte takto:
- Určit kritické systémy: Které weby, e-shopy a portály nesou tržby nebo procesy?
- Odhadnout náklady výpadku za den: z dat o tržbách, příjmu objednávek nebo pracovní doby, kterou bez systému nelze odvést.
- Zahrnout interní hodiny: Kdo by byl vázán jak dlouho? Ocenit interními hodinovými sazbami.
- Zjistit přímé položky: Vyžádat rámcové nabídky od dodavatelů na nouzovou pomoc a forenzní analýzu.
- Porovnat s pojistným krytím: Které položky pojistka kryje, jaké spoluúčasti a podmínky platí?
- Porovnat s prevencí: Kolik ročně stojí inventář, proces záplatování, zálohy, monitoring a údržba?
Počítejte s rozpětím místo jednoho čísla: incident objevený týž den a incident, který vyjde najevo až po týdnech. Rozdíl ukazuje, kolik stojí včasné odhalení.
Zda kyberpojištění ponese jednotlivé položky, upravují výhradně vaše pojistné podmínky; pokyny k typickým povinnostem podává Kyberpojištění: na čem záleží při škodní události. Možné nároky třetích stran, smluvní pokuty nebo pokuty úřadů nelze předem vyčíslit; to je právní otázka pro právníka a pověřence pro ochranu osobních údajů. Tato stránka není právním poradenstvím.
Jak konkrétně pomáhá PHP SOS?
- Společně s vámi určíme kritické systémy a ukážeme, jaké nákladové položky by tam při incidentu realisticky vznikly.
- Posoudíme, jak dobře jsou připraveny zálohy, logy a inventář, protože na nich přímé náklady silně závisejí.
- Vypracujeme písemnou nabídku na prevenci, kterou můžete postavit proti vlastní kalkulaci.
- Trvalou prevenci přebíráme prostřednictvím smlouvy o bezpečnostní údržbě s jasně popsaným rozsahem.
Závěr: Nejdražší položky hacku málokdy stojí na faktuře. Kdo je předem zviditelní vlastními čísly, může zdůvodnit prevenci a v krizi rozhodovat rychleji.
Časté dotazy
Kolik firmu stojí hackerský útok?
Paušálně na to odpovědět nelze. Náklady závisejí na druhu a délce incidentu, dotčených datech, závislosti na systému a přípravě. Seriózní je jen přehled nákladových položek, který naplníte vlastními čísly.
Jaké náklady kryje kyberpojištění?
To upravují pojistné podmínky vaší smlouvy. Často jde o náklady na řešení incidentu, přerušení provozu a určité případy odpovědnosti, vždy s podmínkami a povinnostmi. Rozsah si předem ujasněte u pojišťovny nebo makléře.
Které náklady se nejčastěji přehlédnou?
Interní pracovní doba, týdny po incidentu, důsledky pro odesílání pošty a vyhledávače a náklady na opatření, která měla být provedena už dříve, například migrace zastaralé verze PHP.
Lze pokuty nebo náhradu škody vyčíslit předem?
Ne. Zda a v jaké výši takové nároky vzniknou, závisí na konkrétním případu a je to právní otázka. K posouzení jsou příslušní pověřenec pro ochranu osobních údajů a právník; tato stránka není právním poradenstvím.