In breve: i costi di un attacco hacker per un'azienda si compongono di tre gruppi: costi diretti per gestione dell'incidente, bonifica e consulenza, costi indiretti dovuti a fermo, tempo di lavoro e perdita di fiducia, e costi conseguenti per hardening, migrazione e lavori successivi. Le cifre forfettarie non sono serie. Affidabile è un calcolo proprio, che riempie ogni voce con i Suoi dati e rende così motivabile la prevenzione.
Il conto che nessuno fa
In molti cicli di budget la sicurezza compare come centro di costo da un lato. Dall'altro lato non c'è nulla, perché il danno non si è ancora verificato. Solo quando un server è stato preso di mira si vede tutto ciò che si accumula, e di solito è più della fattura del fornitore.
PHP2Shell ha costretto molte aziende questa settimana a una valutazione: togliere subito il sito dalla rete, come il BSI (l'Ufficio federale tedesco per la sicurezza informatica) ha raccomandato per i sistemi non aggiornabili, oppure lasciarlo in funzione? Anche questa decisione è una questione di costi. Chi sa quanto costa un giorno di fermo e quanto potrebbe costare un'intrusione decide con più serenità. Secondo i media la città di Magonza, ad esempio, ha spento in via precauzionale il proprio portale web centrale; gli uffici sono rimasti raggiungibili per telefono e via e-mail. Anche un fermo di questo tipo ha un prezzo, ma almeno pianificabile.
I costi di un attacco hacker in sintesi
L'elenco seguente riporta le voci tipiche. Non tutte ricorrono in ogni incidente, ma ognuna dovrebbe essere verificata.
| Gruppo | Voce di costo | Da che cosa dipende |
|---|---|---|
| Diretto | gestione dell'incidente e assistenza tecnica d'emergenza | durata, numero di sistemi, ora del giorno |
| Diretto | analisi forense IT e conservazione delle prove | portata, necessità di documentazione utilizzabile in giudizio |
| Diretto | bonifica o ricostruzione dei server | stato dei backup, documentazione |
| Diretto | consulenza legale e sulla protezione dei dati | obblighi di notifica, contratti, richieste |
| Diretto | comunicazione agli interessati, assistenza clienti | numero degli interessati, canali |
| Indiretto | perdita di fatturato durante lo spegnimento | dipendenza dal sistema, durata |
| Indiretto | tempo di lavoro interno di direzione, IT, vendite | preparazione, chiarezza dei ruoli |
| Indiretto | perdita di visibilità nei motori di ricerca | avvisi, spam introdotto |
| Indiretto | invio di posta bloccato | abuso del server per lo spam |
| Indiretto | perdita di fiducia di clienti e partner | comunicazione, tipo di dati |
| Conseguente | hardening, monitoraggio, nuovi processi | stato iniziale |
| Conseguente | migrazione di software obsoleto | ad es. PHP 8.1 e precedenti |
| Conseguente | adeguamenti contrattuali con i fornitori | regole esistenti |
| Conseguente | possibili richieste di terzi o sanzioni | caso singolo, valutazione giuridica |
Costi diretti: ciò che compare nelle fatture
I costi diretti sono i più facili da rilevare, perché arrivano sotto forma di fattura. Vi rientrano assistenza tecnica, analisi forense, bonifica e consulenza. La loro entità dipende molto dalla preparazione. Con un inventario aggiornato, backup testati e log conservati l'analisi è più rapida. Se mancano, parte del lavoro diventa ricerca delle basi. Che cosa comprende un'indagine approfondita lo descrive Analisi forense IT dopo un attacco a un server web.
Si aggiungono voci a cui in un primo momento non si pensa: straordinari di fornitori esterni nel fine settimana, un server sostitutivo per il periodo transitorio oppure stampa e spedizione di lettere, quando gli interessati devono essere informati così.
Costi indiretti: ciò che non compare nelle fatture
I costi indiretti sono spesso maggiori e più difficili da cogliere. La perdita di fatturato di uno shop si può ricavare dalle proprie cifre. Il tempo di lavoro di direzione, IT, vendite e assistenza clienti, invece, viene registrato raramente, anche se un incidente impegna molte persone per giorni.
Due conseguenze colpiscono in modo particolare i siti web. Se Google trova codice dannoso, un avviso può scoraggiare i visitatori finché la bonifica non è confermata; come farlo rimuovere è spiegato in Rimuovere l'avviso di Google. Se il server viene usato per lo spam, le e-mail dell'azienda finiscono nelle liste di blocco e non raggiungono più i clienti. Entrambi gli effetti durano spesso ancora settimane dopo la bonifica tecnica.
Costi conseguenti: ciò che arriva dopo la bonifica
Quando il server è di nuovo pulito, il conto non è ancora chiuso. Quasi ogni incidente porta alla luce mancanze che ora vanno recuperate: hardening dei server, un monitoraggio che in futuro avvisi prima, backup testati, nuovi accessi per tutti i soggetti coinvolti. Se un sistema gira su PHP 8.1 o precedente, per il quale non esistono più aggiornamenti ufficiali, spesso è in arrivo una migrazione che sarebbe stata comunque dovuta, ma ora sotto pressione di tempo.
Si aggiungono costi conseguenti di natura organizzativa. I contratti con hoster e agenzia vengono rivisti, il piano di emergenza adeguato, i collaboratori formati. Alcune di queste voci sono investimenti sensati che senza l'incidente sarebbero costati meno. È proprio questo l'argomento a favore della prevenzione.
Costruire il proprio calcolo
Al posto di statistiche altrui aiuta un calcolo con cifre proprie. Ecco come procedere:
- Individuare i sistemi critici: quali siti, shop e portali generano fatturato o processi?
- Stimare i costi di fermo per giorno: dai dati di fatturato, dagli ordini in entrata o dal tempo di lavoro che senza il sistema non può essere svolto.
- Considerare le ore interne: chi sarebbe impegnato e per quanto tempo? Valutare con le tariffe orarie interne.
- Richiedere le voci dirette: ottenere offerte quadro dai fornitori per assistenza d'emergenza e analisi forense.
- Confrontare la copertura assicurativa: quali voci copre la polizza, quali franchigie e condizioni si applicano?
- Confrontare con la prevenzione: quanto costano all'anno inventario, processo di patch, backup, monitoraggio e manutenzione?
Calcoli con un intervallo invece che con una cifra: un incidente scoperto lo stesso giorno e uno che emerge solo dopo settimane. La differenza mostra quanto vale il rilevamento precoce.
Se una cyber-assicurazione sostenga singole voci lo stabiliscono esclusivamente le Sue condizioni assicurative; indicazioni sugli oneri tipici le offre Cyber-assicurazione: che cosa conta in caso di sinistro. Possibili richieste di terzi, penali contrattuali o sanzioni non si possono quantificare in anticipo; è una questione giuridica per l'avvocato e il responsabile della protezione dei dati. Questa pagina non costituisce consulenza legale.
Come aiuta concretamente PHP SOS?
- Individuiamo con Lei i sistemi critici e mostriamo quali voci di costo ricorrerebbero realisticamente lì in caso di incidente.
- Verifichiamo quanto siano ben preparati backup, log e inventario, perché da questi dipendono molto i costi diretti.
- Prepariamo un'offerta scritta per la prevenzione, che Lei possa confrontare con il Suo calcolo.
- La prevenzione continuativa la assumiamo con un contratto di manutenzione della sicurezza con un ambito chiaramente descritto.
Conclusione: le voci più costose di un hack raramente compaiono in una fattura. Chi le rende visibili prima con cifre proprie può motivare la prevenzione e decidere più in fretta nell'emergenza.
Domande frequenti
Quanto costa un attacco hacker a un'azienda?
Non si può dire in modo generico. I costi dipendono da tipo e durata dell'incidente, dati coinvolti, dipendenza dal sistema e preparazione. Serio è solo un elenco delle voci di costo che Lei compila con cifre proprie.
Quali costi copre una cyber-assicurazione?
Lo stabiliscono le condizioni assicurative del Suo contratto. Spesso si tratta dei costi di gestione dell'incidente, dell'interruzione dell'attività e di determinati casi di responsabilità, ciascuno con condizioni e oneri. Chiarisca la portata in anticipo con il Suo assicuratore o broker.
Quali costi vengono trascurati più spesso?
Il tempo di lavoro interno, le settimane successive all'incidente, le conseguenze per l'invio della posta e per i motori di ricerca, nonché i costi di misure che sarebbero state comunque dovute già prima, ad esempio la migrazione di una versione di PHP obsoleta.
Si possono quantificare in anticipo sanzioni o risarcimenti?
No. Se e in quale misura tali richieste sorgano dipende dal caso singolo ed è una questione giuridica. Per una valutazione sono competenti il responsabile della protezione dei dati e un avvocato; questa pagina non costituisce consulenza legale.