Krótko: Koszty ataku hakerskiego dla firmy składają się z trzech grup: kosztów bezpośrednich obsługi incydentu, oczyszczania i doradztwa, kosztów pośrednich wynikających z przestoju, czasu pracy i utraty zaufania oraz kosztów następczych utwardzania, migracji i prac poprawkowych. Ryczałtowe kwoty są niewiarygodne. Wiarygodna jest własna kalkulacja, która każdą pozycję wypełnia Państwa liczbami i w ten sposób pozwala uzasadnić prewencję.
Rachunek, którego nikt nie sporządza
W wielu rundach budżetowych bezpieczeństwo figuruje jako miejsce powstawania kosztów po jednej stronie. Po drugiej stronie nie ma nic, ponieważ szkoda jeszcze nie nastąpiła. Dopiero gdy serwer zostanie przejęty, widać, co się na to składa, a zwykle jest to więcej niż faktura usługodawcy.
PHP2Shell zmusiło w tym tygodniu wiele firm do rozważenia: odłączyć stronę od sieci od razu, jak BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zalecało w przypadku systemów, których nie da się załatać, czy pozwolić jej działać dalej? Także ta decyzja jest kwestią kosztów. Kto wie, ile kosztuje dzień przestoju i ile mogłoby kosztować włamanie, decyduje spokojniej. Według mediów miasto Moguncja (Mainz) prewencyjnie wyłączyło swój centralny portal internetowy; urzędy pozostały dostępne telefonicznie i przez e-mail. Także taki przestój ma swoją cenę, tyle że możliwą do zaplanowania.
Koszty ataku hakerskiego w przeglądzie
Poniższe zestawienie wymienia typowe pozycje. Nie każda występuje przy każdym incydencie, ale każdą należy sprawdzić.
| Grupa | Pozycja kosztów | Od czego zależy |
|---|---|---|
| Bezpośrednie | obsługa incydentu i techniczna pomoc awaryjna | czas trwania, liczba systemów, pora dnia |
| Bezpośrednie | informatyka śledcza i zabezpieczenie dowodów | zakres, potrzeba dokumentacji nadającej się do sądu |
| Bezpośrednie | oczyszczanie lub odbudowa serwerów | stan kopii zapasowych, dokumentacja |
| Bezpośrednie | doradztwo prawne i w zakresie ochrony danych | obowiązki zgłoszeniowe, umowy, roszczenia |
| Bezpośrednie | powiadomienie osób poszkodowanych, obsługa klienta | liczba poszkodowanych, kanały |
| Pośrednie | utrata przychodów w czasie wyłączenia | zależność od systemu, czas trwania |
| Pośrednie | wewnętrzny czas pracy kierownictwa, IT, sprzedaży | przygotowanie, jasność ról |
| Pośrednie | utrata widoczności w wyszukiwarkach | ostrzeżenia, wprowadzony spam |
| Pośrednie | zablokowana wysyłka poczty | wykorzystanie serwera do spamu |
| Pośrednie | utrata zaufania klientów i partnerów | komunikacja, rodzaj danych |
| Następcze | utwardzanie, monitoring, nowe procesy | stan wyjściowy |
| Następcze | migracja przestarzałego oprogramowania | np. PHP 8.1 i starsze |
| Następcze | dostosowanie umów z usługodawcami | obowiązujące uregulowania |
| Następcze | możliwe roszczenia osób trzecich lub kary pieniężne | indywidualny przypadek, ocena prawna |
Koszty bezpośrednie: co stoi na fakturach
Koszty bezpośrednie najłatwiej uchwycić, ponieważ przychodzą w formie faktury. Należą do nich pomoc techniczna, informatyka śledcza, oczyszczanie i doradztwo. Ich zakres silnie zależy od przygotowania. Jeśli istnieje aktualny inwentarz, przetestowane kopie zapasowe i zabezpieczone logi, analiza przebiega szybciej. Jeśli ich brak, część pracy staje się poszukiwaniem podstaw. Co obejmuje gruntowne badanie, opisuje artykuł Informatyka śledcza po ataku na serwer WWW.
Dochodzą pozycje, o których na początku się nie myśli: nadgodziny zewnętrznych usługodawców w weekend, serwer zastępczy na okres przejściowy albo druk i wysyłka listów, gdy osoby poszkodowane trzeba w ten sposób poinformować.
Koszty pośrednie: czego nie ma na fakturach
Koszty pośrednie są często większe i trudniejsze do uchwycenia. Utratę przychodów sklepu można wyprowadzić z własnych liczb. Czas pracy zarządu, IT, sprzedaży i obsługi klienta natomiast rzadko jest rejestrowany, mimo że incydent wiąże wiele osób przez wiele dni.
Dwa skutki uderzają w strony internetowe szczególnie. Jeśli Google znajdzie złośliwy kod, ostrzeżenie może odstraszać odwiedzających, dopóki oczyszczenie nie zostanie potwierdzone; jak je usunąć, wyjaśnia artykuł Usunięcie ostrzeżenia Google. Jeśli serwer zostanie wykorzystany do spamu, wiadomości firmy trafiają na listy blokad i nie docierają do klientów. Jedno i drugie działa często jeszcze przez tygodnie po technicznym oczyszczeniu.
Koszty następcze: co przychodzi po oczyszczeniu
Gdy serwer jest znów czysty, rachunek nie jest jeszcze zamknięty. Prawie każdy incydent odsłania zaniedbania, które trzeba teraz nadrobić: utwardzenie serwerów, monitoring, który w przyszłości ostrzeże wcześniej, przetestowane kopie zapasowe, nowe dostępy dla wszystkich zaangażowanych. Jeśli system działa na PHP 8.1 lub starszym, dla którego nie ma już oficjalnych aktualizacji, często czeka migracja, która i tak byłaby konieczna, ale teraz odbywa się pod presją czasu.
Dochodzą organizacyjne koszty następcze. Umowy z firmą hostingową i agencją są przepracowywane, plan awaryjny dostosowywany, pracownicy szkoleni. Niektóre z tych pozycji to rozsądne inwestycje, które bez incydentu byłyby tańsze. Właśnie to jest argumentem za prewencją.
Sporządzenie własnej kalkulacji
Zamiast cudzych statystyk pomaga kalkulacja z własnymi liczbami. Tak należy postępować:
- Wskazać systemy krytyczne: Które strony, sklepy i portale generują przychody lub procesy?
- Oszacować koszty przestoju na dzień: na podstawie danych o sprzedaży, wpływie zamówień lub czasie pracy, którego bez systemu nie da się wykonać.
- Uwzględnić godziny wewnętrzne: Kto byłby zaangażowany i jak długo? Wycenić według wewnętrznych stawek godzinowych.
- Zapytać o pozycje bezpośrednie: Uzyskać ramowe oferty usługodawców na pomoc awaryjną i informatykę śledczą.
- Porównać z ochroną ubezpieczeniową: Jakie pozycje obejmuje polisa, jakie udziały własne i warunki obowiązują?
- Porównać z prewencją: Ile rocznie kosztują inwentarz, proces poprawek, kopie zapasowe, monitoring i serwis?
Proszę liczyć z przedziałem zamiast jedną liczbą: incydent wykryty tego samego dnia i taki, który zostaje zauważony dopiero po tygodniach. Różnica pokazuje, ile warte jest wczesne wykrywanie.
To, czy ubezpieczenie cyber pokrywa poszczególne pozycje, regulują wyłącznie Państwa warunki ubezpieczenia; wskazówki dotyczące typowych obowiązków podaje artykuł Ubezpieczenie cyber: co liczy się w razie szkody. Możliwych roszczeń osób trzecich, kar umownych lub kar pieniężnych nie da się z góry oszacować; to kwestia prawna dla adwokata i inspektora ochrony danych. Ta strona nie stanowi porady prawnej.
Jak konkretnie pomaga PHP SOS?
- Razem z Państwem wskazujemy systemy krytyczne i pokazujemy, jakie pozycje kosztów realistycznie pojawiłyby się tam przy incydencie.
- Sprawdzamy, jak dobrze przygotowane są kopie zapasowe, logi i inwentarz, ponieważ od tego silnie zależą koszty bezpośrednie.
- Sporządzamy pisemną ofertę na prewencję, którą mogą Państwo zestawić z własną kalkulacją.
- Stałą prewencję przejmujemy w ramach umowy serwisowej w zakresie bezpieczeństwa z jasno opisanym zakresem.
Podsumowanie: Najdroższe pozycje włamania rzadko stoją na jakiejkolwiek fakturze. Kto uwidoczni je wcześniej własnymi liczbami, może uzasadnić prewencję i w razie awarii decydować szybciej.
Częste pytania
Ile kosztuje firmę atak hakerski?
Nie da się tego określić ryczałtowo. Koszty zależą od rodzaju i czasu trwania incydentu, dotkniętych danych, zależności od systemu i przygotowania. Rzetelne jest tylko zestawienie pozycji kosztów, które wypełniają Państwo własnymi liczbami.
Jakie koszty pokrywa ubezpieczenie cyber?
Regulują to warunki ubezpieczenia w Państwa umowie. Często chodzi o koszty obsługi incydentu, przerwę w działalności i określone przypadki odpowiedzialności, każdorazowo z warunkami i obowiązkami. Zakres proszę wyjaśnić wcześniej z ubezpieczycielem lub brokerem.
Jakie koszty są najczęściej pomijane?
Wewnętrzny czas pracy, tygodnie po incydencie, skutki dla wysyłki poczty i wyszukiwarek oraz koszty działań, które właściwie powinny były zostać wykonane już wcześniej, na przykład migracji przestarzałej wersji PHP.
Czy kary pieniężne lub odszkodowania można oszacować z góry?
Nie. To, czy i w jakiej wysokości takie roszczenia powstaną, zależy od indywidualnego przypadku i jest kwestią prawną. Za ocenę odpowiadają inspektor ochrony danych i adwokat; ta strona nie stanowi porady prawnej.