Na kratko: Stroški hekerskega napada za podjetje so sestavljeni iz treh skupin: neposredni stroški obravnave incidenta, čiščenja in svetovanja, posredni stroški zaradi izpada, delovnega časa in izgube zaupanja ter nadaljnji stroški utrjevanja, selitve in dodelave. Pavšalni zneski niso resni. Zanesljiv je lasten izračun, ki vsako postavko napolni z vašimi številkami in tako omogoča utemeljitev preventive.
Račun, ki ga nihče ne sestavi
V mnogih proračunskih krogih je varnost stroškovno mesto na eni strani. Na drugi strani ni ničesar, ker škoda še ni nastala. Šele ko je strežnik prevzet, postane vidno, kaj vse se nabere, in običajno je več kot račun ponudnika.
PHP2Shell je ta teden mnoga podjetja prisilil k tehtanju: spletno stran takoj umakniti z omrežja, kot je BSI priporočil za sisteme, ki jih ni mogoče popraviti, ali pustiti delovati? Tudi ta odločitev je stroškovno vprašanje. Kdor ve, koliko stane dan izpada in koliko bi lahko stal vdor, odloča mirneje. Po poročanju medijev je mesto Mainz svoj osrednji spletni portal preventivno izklopilo; uradi so ostali dosegljivi po telefonu in e-pošti. Tudi tak izpad ima ceno, le predvidljivo.
Stroški hekerskega napada v pregledu
Naslednji pregled navaja značilne postavke. Ne nastane vsaka ob vsakem incidentu, vendar bi bilo treba preveriti vsako.
| Skupina | Postavka stroškov | Od česa je odvisna |
|---|---|---|
| Neposredno | obravnava incidenta in tehnična nujna pomoč | trajanje, število sistemov, ura dneva |
| Neposredno | IT-forenzika in zavarovanje dokazov | obseg, potreba po dokumentaciji, uporabni na sodišču |
| Neposredno | čiščenje ali ponovna postavitev strežnikov | stanje varnostnih kopij, dokumentacija |
| Neposredno | pravno svetovanje in svetovanje o varstvu podatkov | obveznosti prijave, pogodbe, zahtevki |
| Neposredno | obveščanje prizadetih, služba za stranke | število prizadetih, kanali |
| Posredno | izpad prometa med izklopom | odvisnost od sistema, trajanje |
| Posredno | notranji delovni čas vodstva, IT, prodaje | priprava, jasnost vlog |
| Posredno | izguba vidnosti v iskalnikih | opozorilna sporočila, vneseni spam |
| Posredno | blokirano pošiljanje e-pošte | zloraba strežnika za spam |
| Posredno | izguba zaupanja strank in partnerjev | komuniciranje, vrsta podatkov |
| Nadaljnje | utrjevanje, nadzor, novi postopki | izhodiščno stanje |
| Nadaljnje | selitev zastarele programske opreme | npr. PHP 8.1 in starejši |
| Nadaljnje | prilagoditve pogodb s ponudniki | obstoječe ureditve |
| Nadaljnje | možni zahtevki tretjih oseb ali globe | posamezen primer, pravna ocena |
Neposredni stroški: kar piše na računih
Neposredne stroške je najlažje zajeti, ker prispejo kot račun. Sem sodijo tehnična pomoč, forenzika, čiščenje in svetovanje. Njihov obseg je močno odvisen od priprave. Če obstajajo ažuren popis, preizkušene varnostne kopije in zavarovani dnevniki, gre analiza hitreje. Če ne, je del dela iskanje sledi za osnovnimi podatki. Kaj obsega temeljita preiskava, opisuje IT-forenzika po napadu na spletni strežnik.
Dodajo se postavke, na katere sprva ne pomislimo: nadure zunanjih ponudnikov ob koncu tedna, nadomestni strežnik za prehodno obdobje ali tisk in pošiljanje pisem, če je treba prizadete obvestiti tako.
Posredni stroški: kar ne piše na računih
Posredni stroški so pogosto večji in težje otipljivi. Izpad prometa trgovine je mogoče izpeljati iz lastnih številk. Delovni čas vodstva, IT, prodaje in službe za stranke pa se redko zajame, čeprav incident veže mnogo oseb več dni.
Dve posledici še posebej prizadeneta spletne strani. Če Google najde škodljivo kodo, lahko opozorilo odvrne obiskovalce, dokler čiščenje ni potrjeno; kako ga dati odstraniti, je na strani Odstranitev Googlovega opozorila. Če se strežnik zlorabi za spam, pošta podjetja pristane na črnih seznamih in ne doseže več strank. Oboje pogosto učinkuje še tedne po tehničnem čiščenju.
Nadaljnji stroški: kar pride po čiščenju
Ko je strežnik spet čist, račun še ni zaključen. Skoraj vsak incident odkrije opustitve, ki jih je zdaj treba nadoknaditi: utrjevanje strežnikov, nadzor, ki bo v prihodnje opozoril prej, preizkušene varnostne kopije, novi dostopi za vse udeležene. Če sistem teče na PHP 8.1 ali starejšem, za katerega ni več uradnih posodobitev, je pogosto na vrsti selitev, ki bi bila tako ali tako potrebna, zdaj pa pod časovnim pritiskom.
Pridejo še organizacijski nadaljnji stroški. Pogodbe s ponudnikom gostovanja in agencijo se prenovijo, načrt za nujne primere prilagodi, zaposleni usposobijo. Nekatere od teh postavk so smiselne naložbe, ki bi bile brez incidenta cenejše. Prav to je argument za preventivo.
Izdelava lastnega izračuna
Namesto tujih statistik pomaga izračun z lastnimi številkami. Tako postopate:
- Poimenujte kritične sisteme: Katere spletne strani, trgovine in portali prinašajo promet ali nosijo procese?
- Ocenite stroške izpada na dan: iz podatkov o prometu, prejemu naročil ali delovnega časa, ki brez sistema ni mogoč.
- Vnesite notranje ure: Kdo bi bil vezan kako dolgo? Ovrednotite z notranjimi urnimi postavkami.
- Povprašajte po neposrednih postavkah: pridobite okvirne ponudbe ponudnikov za nujno pomoč in forenziko.
- Uskladite zavarovalno kritje: Katere postavke krije polica, kakšne udeležbe in pogoji veljajo?
- Primerjajte s preventivo: Koliko na leto stanejo popis, postopek popravljanja, varnostne kopije, nadzor in vzdrževanje?
Računajte z razponom namesto z eno številko: incident, odkrit isti dan, in tak, ki se opazi šele po tednih. Razlika pokaže, kaj je vredno zgodnje odkrivanje.
Ali kibernetsko zavarovanje krije posamezne postavke, urejajo izključno vaši zavarovalni pogoji; napotke o značilnih obveznostih daje Kibernetsko zavarovanje: kaj šteje ob škodnem primeru. Možnih zahtevkov tretjih oseb, pogodbenih kazni ali glob vnaprej ni mogoče opredeliti; to je pravno vprašanje za odvetnika in pooblaščenca za varstvo podatkov. Ta stran ni pravno svetovanje.
Kako PHP SOS pomaga konkretno?
- Z vami poimenujemo kritične sisteme in pokažemo, katere postavke stroškov bi tam ob incidentu realno nastale.
- Preverimo, kako dobro so pripravljene varnostne kopije, dnevniki in popis, saj so od tega močno odvisni neposredni stroški.
- Izdelamo pisno ponudbo za preventivo, ki jo lahko primerjate z lastnim izračunom.
- Trajno preventivo prevzamemo prek pogodbe o varnostnem vzdrževanju z jasno opisanim obsegom.
Sklep: Najdražje postavke vdora redko stojijo na računu. Kdor jih vnaprej naredi vidne z lastnimi številkami, lahko utemelji preventivo in v skrajnem primeru hitreje odloča.
Pogosta vprašanja
Koliko hekerski napad stane podjetje?
Pavšalno odgovoriti ni mogoče. Stroški so odvisni od vrste in trajanja incidenta, prizadetih podatkov, odvisnosti od sistema in pripravljenosti. Resen je le pregled postavk stroškov, ki jih izpolnite z lastnimi številkami.
Katere stroške krije kibernetsko zavarovanje?
To urejajo zavarovalni pogoji vaše pogodbe. Pogosto gre za stroške obravnave incidenta, prekinitev poslovanja in določene primere odgovornosti, vsakič s pogoji in obveznostmi. Obseg razjasnite vnaprej z zavarovalnico ali posrednikom.
Kateri stroški se najpogosteje spregledajo?
Notranji delovni čas, tedni po incidentu, posledice za pošiljanje e-pošte in iskalnike ter stroški ukrepov, ki bi bili morali biti izvedeni že prej, na primer selitev zastarele različice PHP.
Ali je mogoče globe ali odškodnino vnaprej opredeliti?
Ne. Ali in v kakšni višini taki zahtevki nastanejo, je odvisno od posameznega primera in je pravno vprašanje. Za oceno sta pristojna pooblaščenec za varstvo podatkov in odvetnik; ta stran ni pravno svetovanje.