Kort sagt: Kostnaden för ett hackerangrepp mot ett företag består av tre grupper: direkta kostnader för incidenthantering, sanering och rådgivning, indirekta kostnader genom avbrott, arbetstid och förlorat förtroende samt följdkostnader för härdning, migrering och efterarbete. Schablonsummor är oseriösa. Hållbar är en egen kalkyl som fyller varje post med era siffror och på så sätt gör förebyggande arbete motiverat.
Kalkylen som ingen gör
I många budgetomgångar står säkerhet som en kostnadsställe på ena sidan. På den andra sidan står ingenting, eftersom skadan ännu inte har inträffat. Först när en server har tagits över blir det synligt vad allt som läggs ihop, och oftast är det mer än leverantörens faktura.
PHP2Shell tvingade många företag till en avvägning den här veckan: ta webbplatsen offline direkt, såsom BSI (tyska förbundskontoret för informationssäkerhet) rekommenderade för system som inte kan patchas, eller låta den vara igång? Även det beslutet är en kostnadsfråga. Den som vet vad en dags avbrott kostar och vad ett intrång kan kosta fattar sitt beslut mer lugnt. Enligt medierna stängde till exempel staden Mainz av sin centrala webbportal i förebyggande syfte; förvaltningarna fanns kvar att nå per telefon och e-post. Även ett sådant avbrott har ett pris, men ett planerbart.
Kostnaderna för ett hackerangrepp i översikt
Följande sammanställning anger de typiska posterna. Inte varje post uppstår vid varje incident, men varje post bör prövas.
| Grupp | Kostnadspost | Vad den beror på |
|---|---|---|
| Direkt | incidenthantering och teknisk akuthjälp | varaktighet, antal system, tid på dygnet |
| Direkt | IT-forensik och säkring av bevis | omfattning, behov av dokumentation som håller i rätten |
| Direkt | sanering eller nybyggnad av servrar | säkerhetskopiornas skick, dokumentation |
| Direkt | juridisk rådgivning och dataskyddsrådgivning | anmälningsplikt, avtal, krav |
| Direkt | underrättelse av berörda, kundservice | antal berörda, kanaler |
| Indirekt | omsättningsbortfall under avstängningen | beroendet av systemet, varaktighet |
| Indirekt | intern arbetstid för ledning, IT, försäljning | beredskap, tydliga roller |
| Indirekt | förlorad synlighet i sökmotorer | varningsmeddelanden, insmugglad skräppost |
| Indirekt | spärrat e-postutskick | missbruk av servern för skräppost |
| Indirekt | förlorat förtroende hos kunder och partner | kommunikation, typ av data |
| Följd | härdning, övervakning, nya processer | utgångsläge |
| Följd | migrering av föråldrad programvara | t.ex. PHP 8.1 och äldre |
| Följd | avtalsändringar med leverantörer | befintliga regler |
| Följd | möjliga krav från tredje part eller böter | enskilt fall, juridisk bedömning |
Direkta kostnader: det som står på fakturor
De direkta kostnaderna är lättast att fånga eftersom de kommer som fakturor. Hit hör teknisk hjälp, forensik, sanering och rådgivning. Deras omfattning beror starkt på beredskapen. Finns det en aktuell förteckning, testade säkerhetskopior och säkrade loggar går analysen snabbare. Saknas de blir en del av arbetet spårsökning efter grunderna. Vad en grundlig undersökning omfattar beskriver IT-forensik efter ett angrepp mot en webbserver.
Dessutom tillkommer poster som man först inte tänker på: övertid hos externa leverantörer på helgen, en ersättningsserver för övergångstiden eller tryck och porto för brev om berörda måste informeras på det sättet.
Indirekta kostnader: det som inte står på fakturor
De indirekta kostnaderna är ofta större och svårare att fånga. Ett omsättningsbortfall i en webbshop kan härledas ur egna siffror. Arbetstiden för ledning, IT, försäljning och kundservice registreras däremot sällan, fast en incident binder många personer under flera dagar.
Två följder drabbar webbplatser särskilt. Hittar Google skadlig kod kan ett varningsmeddelande avskräcka besökare tills saneringen är bekräftad; hur ni får bort det står under Ta bort Google-varning. Missbrukas servern för skräppost hamnar företagets e-post på spärrlistor och når inte längre fram till kunderna. Båda följderna verkar ofta fortfarande veckor efter den tekniska saneringen.
Följdkostnader: det som kommer efter saneringen
När servern är ren är kalkylen ännu inte avslutad. Nästan varje incident avslöjar försummelser som nu måste tas igen: härdning av servrarna, en övervakning som varnar tidigare framöver, testade säkerhetskopior, nya åtkomster för alla inblandade. Körs ett system på PHP 8.1 eller äldre, för vilket det inte längre finns några officiella uppdateringar, står ofta en migrering på tur som ändå hade varit nödvändig, men nu under tidspress.
Dessutom tillkommer organisatoriska följdkostnader. Avtal med hostingleverantör och byrå revideras, krisplanen anpassas, medarbetare utbildas. Några av dessa poster är rimliga investeringar som hade varit billigare utan incidenten. Just det är argumentet för förebyggande arbete.
Göra den egna kalkylen
I stället för andras statistik hjälper en kalkyl med egna siffror. Så går ni tillväga:
- Namnge kritiska system: Vilka webbplatser, webbshoppar och portaler bär omsättning eller processer?
- Uppskatta avbrottskostnad per dag: utifrån omsättningsdata, orderingång eller arbetstid som inte kan utföras utan systemet.
- Sätt interna timmar: Vem skulle vara bunden hur länge? Värdera med interna timkostnader.
- Fråga efter direkta poster: Hämta in ramofferter från leverantörer för akuthjälp och forensik.
- Stäm av försäkringsskyddet: Vilka poster täcker försäkringsbrevet, vilka självrisker och villkor gäller?
- Jämför med förebyggande arbete: Vad kostar förteckning, patchprocess, säkerhetskopior, övervakning och underhåll per år?
Räkna med ett spann i stället för ett tal: en incident som upptäcks samma dag och en som först märks efter veckor. Skillnaden visar vad tidig upptäckt är värd.
Om en cyberförsäkring bär enskilda poster regleras uteslutande av era försäkringsvillkor; anvisningar om typiska skyldigheter ger Cyberförsäkring: vad som räknas vid skada. Möjliga krav från tredje part, avtalsvite eller böter går inte att beräkna på förhand; det är en juridisk fråga för advokat och dataskyddsombud. Den här sidan är ingen juridisk rådgivning.
Hur hjälper PHP SOS konkret?
- Vi pekar tillsammans med er ut de kritiska systemen och visar vilka kostnadsposter som realistiskt skulle uppstå där vid en incident.
- Vi prövar hur väl säkerhetskopior, loggar och förteckning är förberedda, eftersom de direkta kostnaderna beror starkt på det.
- Vi tar fram en skriftlig offert för det förebyggande arbetet som ni kan ställa mot er egen kalkyl.
- Varaktigt förebyggande arbete tar vi över via ett säkerhetsunderhållsavtal med tydligt beskriven omfattning.
Slutsats: De dyraste posterna i ett hack står sällan på en faktura. Den som gör dem synliga i förväg med egna siffror kan motivera förebyggande arbete och fatta beslut snabbare i ett skarpt läge.
Vanliga frågor
Vad kostar ett hackerangrepp ett företag?
Det går inte att svara på i allmänna ordalag. Kostnaden beror på incidentens art och varaktighet, berörda data, beroendet av systemet och beredskapen. Seriöst är bara en sammanställning av kostnadsposterna som ni fyller med egna siffror.
Vilka kostnader täcker en cyberförsäkring?
Det regleras av försäkringsvillkoren i ert avtal. Ofta gäller det kostnader för incidenthantering, driftavbrott och vissa ansvarsfall, i varje fall med villkor och skyldigheter. Klargör omfattningen i förväg med er försäkringsgivare eller mäklare.
Vilka kostnader förbises oftast?
Den interna arbetstiden, veckorna efter incidenten, följder för e-postutskick och sökmotorer samt kostnader för åtgärder som egentligen redan borde ha gjorts, till exempel migrering från en föråldrad PHP-version.
Går det att på förhand beräkna böter eller skadestånd?
Nej. Om och i vilken storleksordning sådana krav uppstår beror på det enskilda fallet och är en juridisk fråga. För en bedömning är dataskyddsombud och advokat behöriga; den här sidan är ingen juridisk rådgivning.