Lyhyesti: Yrityksen hakkerointihyökkäyksen kustannukset koostuvat kolmesta ryhmästä: suorat kulut häiriön käsittelystä, puhdistuksesta ja neuvonnasta, välilliset kulut käyttökatkosta, työajasta ja luottamuksen menetyksestä sekä seurauskustannukset koventamisesta, siirrosta ja jälkitöistä. Yleispätevät summat eivät ole vakavasti otettavia. Kestävä on oma laskelma, joka täyttää jokaisen erän omilla luvuillanne ja tekee ennaltaehkäisystä perusteltavan.
Laskelma, jota kukaan ei laadi
Monissa budjettikierroksissa tietoturva on kustannuspaikka toisella puolella. Toisella puolella ei ole mitään, koska vahinkoa ei ole vielä tapahtunut. Vasta kun palvelin on vallattu, näkyy, mitä kaikkea kertyy, ja yleensä se on enemmän kuin palveluntarjoajan lasku.
PHP2Shell pakotti monet yritykset punnitsemaan tällä viikolla: otetaanko verkkosivusto heti pois verkosta, kuten BSI (Saksan liittovaltion tietoturvavirasto) suositteli järjestelmille, joita ei voi päivittää, vai annetaanko sen toimia? Tämäkin päätös on kustannuskysymys. Joka tietää, mitä yksi käyttökatkopäivä maksaa ja mitä murto voisi maksaa, päättää rauhallisemmin. Median mukaan esimerkiksi Mainzin kaupunki otti keskeisen verkkoportaalinsa varotoimena pois verkosta; virastot pysyivät tavoitettavissa puhelimitse ja sähköpostilla. Sellaisellakin katkolla on hinta, mutta suunniteltava.
Hakkerointihyökkäyksen kustannukset yleiskuvana
Seuraava erittely luettelee tyypilliset erät. Kaikkia ei synny jokaisessa häiriössä, mutta jokainen kannattaa tarkistaa.
| Ryhmä | Kuluerä | Mistä riippuu |
|---|---|---|
| Suora | häiriön käsittely ja tekninen hätäapu | kesto, järjestelmien määrä, kellonaika |
| Suora | IT-rikostekninen tutkinta ja todisteiden turvaaminen | laajuus, tarve oikeuskelpoiselle dokumentaatiolle |
| Suora | palvelinten puhdistus tai uudelleenrakennus | varmuuskopioiden kunto, dokumentaatio |
| Suora | oikeudellinen ja tietosuojaneuvonta | ilmoitusvelvollisuudet, sopimukset, vaatimukset |
| Suora | rekisteröityjen ilmoittaminen, asiakaspalvelu | rekisteröityjen määrä, kanavat |
| Välillinen | liikevaihdon menetys sulkemisen aikana | riippuvuus järjestelmästä, kesto |
| Välillinen | johdon, IT:n ja myynnin sisäinen työaika | valmistautuminen, roolien selkeys |
| Välillinen | näkyvyyden menetys hakukoneissa | varoitukset, sisään tuotu roskaposti |
| Välillinen | estetty sähköpostin lähetys | palvelimen väärinkäyttö roskapostiin |
| Välillinen | luottamuksen menetys asiakkaiden ja kumppanien silmissä | viestintä, tietojen laatu |
| Seuraus | koventaminen, seuranta, uudet prosessit | lähtötilanne |
| Seuraus | vanhentuneen ohjelmiston siirto | esim. PHP 8.1 ja vanhemmat |
| Seuraus | sopimusmuutokset palveluntarjoajien kanssa | voimassa olevat järjestelyt |
| Seuraus | mahdolliset kolmansien vaatimukset tai sakot | yksittäistapaus, oikeudellinen arviointi |
Suorat kulut: mitä laskuissa lukee
Suorat kulut on helpoin kirjata, koska ne tulevat laskuina. Niihin kuuluvat tekninen apu, rikostekninen tutkinta, puhdistus ja neuvonta. Niiden laajuus riippuu vahvasti valmistautumisesta. Jos käytössä on ajan tasalla oleva luettelo, testatut varmuuskopiot ja turvatut lokit, analyysi etenee nopeammin. Jos ne puuttuvat, osa työstä on perusasioiden jäljittämistä. Mitä perusteellinen tutkinta pitää sisällään, kuvaa sivu IT-rikostekninen tutkinta verkkopalvelinhyökkäyksen jälkeen.
Lisäksi tulee eriä, joita ei ensin tule ajatelleeksi: ulkopuolisten palveluntarjoajien ylityöt viikonloppuna, korvaava palvelin siirtymäajaksi tai kirjeiden painatus ja postitus, jos rekisteröidyille on ilmoitettava näin.
Välilliset kulut: mitä laskuissa ei lue
Välilliset kulut ovat usein suurempia ja vaikeammin hahmotettavia. Verkkokaupan liikevaihdon menetyksen voi johtaa omista luvuista. Johdon, IT:n, myynnin ja asiakaspalvelun työaikaa sen sijaan kirjataan harvoin, vaikka häiriö sitoo monia henkilöitä päiväkausiksi.
Kaksi seurausta osuu verkkosivustoihin erityisen pahasti. Jos Google löytää haittakoodia, varoitus voi karkottaa kävijöitä, kunnes puhdistus on vahvistettu; miten sen saa poistettua, selviää sivulta Googlen varoituksen poistaminen. Jos palvelinta käytetään roskapostin lähettämiseen, yrityksen viestit päätyvät estolistoille eivätkä enää tavoita asiakkaita. Molemmat vaikuttavat usein vielä viikkoja teknisen puhdistuksen jälkeen.
Seurauskustannukset: mitä puhdistuksen jälkeen tulee
Kun palvelin on taas puhdas, lasku ei ole vielä valmis. Lähes jokainen häiriö paljastaa laiminlyöntejä, jotka on nyt korjattava: palvelinten koventaminen, seuranta, joka varoittaa jatkossa aikaisemmin, testatut varmuuskopiot, uudet käyttöoikeudet kaikille osallisille. Jos järjestelmä toimii PHP 8.1:llä tai vanhemmalla, johon ei enää ole virallisia päivityksiä, edessä on usein siirto, joka olisi ollut joka tapauksessa ajankohtainen, mutta tulee nyt kiireessä.
Lisäksi tulee organisatorisia seurauskuluja. Sopimukset hosting-yrityksen ja toimiston kanssa uudistetaan, hätäsuunnitelmaa muokataan, henkilöstöä koulutetaan. Osa näistä erinä on järkeviä investointeja, jotka olisivat olleet edullisempia ilman häiriötä. Juuri se on argumentti ennaltaehkäisyn puolesta.
Oman laskelman laatiminen
Vieraiden tilastojen sijaan auttaa laskelma omilla luvuilla. Toimikaa näin:
- Nimeä kriittiset järjestelmät: Mitkä verkkosivustot, verkkokaupat ja portaalit kantavat liikevaihtoa tai prosesseja?
- Arvioi käyttökatkon päiväkustannus: liikevaihtotiedoista, tilausten määrästä tai työajasta, jota ei voi tehdä ilman järjestelmää.
- Laske sisäiset tunnit: Ketkä olisivat sidottuina ja kuinka kauan? Arvioikaa sisäisillä tuntihinnoilla.
- Kysy suorat erät: pyytäkää palveluntarjoajilta puitetarjoukset hätäavusta ja rikosteknisestä tutkinnasta.
- Vertaa vakuutussuojaan: Mitkä erät vakuutuskirja kattaa, mitä omavastuita ja ehtoja on?
- Vertaa ennaltaehkäisyyn: Mitä luettelo, päivitysprosessi, varmuuskopiot, seuranta ja huolto maksavat vuodessa?
Laskekaa vaihteluvälillä yhden luvun sijaan: häiriö, joka havaitaan samana päivänä, ja häiriö, joka havaitaan vasta viikkojen kuluttua. Ero osoittaa, mitä varhainen havaitseminen on arvoltaan.
Se, kattaako kyberturvallisuusvakuutus yksittäisiä eriä, määräytyy yksinomaan vakuutusehtojenne mukaan; tyypillisistä velvoitteista kertoo sivu Kyberturvallisuusvakuutus: mikä merkitsee vahinkotilanteessa. Kolmansien mahdollisia vaatimuksia, sopimussakkoja tai sakkoja ei voi arvioida etukäteen; se on oikeudellinen kysymys asianajajalle ja tietosuojavastaavalle. Tämä sivu ei ole oikeudellista neuvontaa.
Miten PHP SOS auttaa konkreettisesti?
- Nimeämme kanssanne kriittiset järjestelmät ja näytämme, mitkä kuluerät häiriössä niissä todennäköisesti syntyisivät.
- Tarkistamme, kuinka hyvin varmuuskopiot, lokit ja luettelo on valmisteltu, sillä suorat kustannukset riippuvat niistä vahvasti.
- Laadimme kirjallisen tarjouksen ennaltaehkäisystä, jonka voitte asettaa omaa laskelmaanne vastaan.
- Pysyvän ennaltaehkäisyn hoidamme tietoturvahuoltosopimuksella, jonka laajuus on kuvattu selkeästi.
Yhteenveto: Hakkeroinnin kalleimmat erät eivät juuri koskaan ole laskussa. Joka tekee ne näkyviksi etukäteen omilla luvuillaan, voi perustella ennaltaehkäisyn ja päättää hätätilanteessa nopeammin.
Usein kysytyt kysymykset
Mitä hakkerointihyökkäys maksaa yritykselle?
Siihen ei voi vastata yleispätevästi. Kustannukset riippuvat häiriön laadusta ja kestosta, kohteena olevista tiedoista, riippuvuudesta järjestelmästä ja valmistautumisesta. Vakavasti otettava on vain kuluerien erittely, jonka täytätte omilla luvuillanne.
Mitkä kustannukset kyberturvallisuusvakuutus korvaa?
Sen määrittelevät sopimuksenne vakuutusehdot. Usein kyse on häiriön käsittelyn kuluista, toiminnan keskeytyksestä ja tietyistä vastuutapauksista, kaikkiin liittyy ehtoja ja velvoitteita. Selvittäkää laajuus etukäteen vakuutusyhtiönne tai välittäjänne kanssa.
Mitkä kustannukset jäävät useimmin huomaamatta?
Sisäinen työaika, häiriötä seuraavat viikot, seuraukset sähköpostin lähetykselle ja hakukoneille sekä toimenpiteiden kulut, jotka olisi pitänyt tehdä jo aiemmin, kuten vanhentuneen PHP-version siirto.
Voiko sakot tai vahingonkorvaukset arvioida etukäteen?
Ei. Se, syntyykö tällaisia vaatimuksia ja minkä suuruisina, riippuu yksittäistapauksesta ja on oikeudellinen kysymys. Arvion tekevät tietosuojavastaava ja asianajaja; tämä sivu ei ole oikeudellista neuvontaa.