Hvad et databrud koster en mindre virksomhed – og hvor omkostningerne sidder

Spørgsmålet ”hvad koster et databrud?” besvares oftest med et stort gennemsnitsbeløb, som ikke siger noget om en virksomhed med tyve ansatte. Virkeligheden er, at omkostningen sjældent er én stor post. Det er en række mindre poster, som alle forfalder samtidig – og netop når virksomheden har dårligst mulighed for at håndtere dem.

Her er, hvor omkostningerne sidder, i den rækkefølge de plejer at blive synlige.

1. Nedetiden

Det første, der sker ved et ransomware-angreb eller et alvorligt kompromis, er at systemer lukkes. Ordrer kan ikke modtages, fakturaer kan ikke sendes, produktionen stopper. For en virksomhed med tynde marginer er to dages nedetid ofte den største enkeltpost – større end selve gendannelsesarbejdet.

Regn på det, før det sker: hvad koster en dag uden jeres to vigtigste systemer? Beløbet er som regel ubehageligt konkret.

2. Undersøgelse og gendannelse

At forstå, hvad der er sket, kræver tid fra nogen, der kan det. Det betyder ofte ekstern hjælp: forensisk analyse, gendannelse fra backup, udskiftning af kompromitterede konti, rotation af nøgler og certifikater. Selv når backuppen virker, tager gendannelsen interne timer, som ellers var gået til kunder.

Kontrolspørgsmål: hvornår testede I sidst en gendannelse fra backup, og hvor lang tid tog det?

3. Tabte kunder og tillid

Kunder, der ikke får svar i en uge, begynder at lede efter alternativer. Erhvervskunder med egne compliance-krav kan være nødt til at eskalere jer som leverandørrisiko – hvilket i praksis betyder audits, kontraktændringer eller i værste fald opsagte aftaler.

Tillid er den post, der er sværest at sætte tal på og sværest at genopbygge. Det er også derfor, sikkerhedsarbejde, der kan vises frem, har en kommerciel værdi – ikke kun en risikoværdi.

4. Regulatoriske krav

Afhængigt af virksomhed og hændelse kan rapporteringspligter aktiveres – til tilsynsmyndighed, til berørte personer og i visse tilfælde til partnere. Rapportering har deadlines (under NIS2 for eksempel 24 timer for tidlig advarsel og 72 timer for anmeldelse) og kræver, at I kan beskrive, hvad der er sket. Kan I ikke det, bliver undersøgelsen både længere og dyrere.

Læg juridisk hjælp, kommunikationsarbejde og eventuelle sanktioner eller erstatningskrav til.

5. Det, der sjældent regnes med

• Ledelsens tid. Uger med fokus, som var gået til forretningsudvikling.
• Medarbejdernes tid. De samme personer, der skal holde driften kørende, skal også håndtere hændelsen.
• Forsikringsvilkår. Forsikringer dækker sjældent alt, og præmier påvirkes efter en anmeldelse.
• Udsatte projekter. Alt andet stopper.

Hvad der faktisk reducerer omkostningen

Ingen foranstaltning gør jer usårbare. Men få ting ændrer, hvordan en hændelse udvikler sig:

1. MFA på administrative konti og e-mail. Lukker den mest almindelige vej ind.
2. Testet backup med kendt gendannelsestid. Forvandler et løsepengekrav til en irritation.
3. Kortlægning af offentlige aktiver. Gør, at I ved, hvad der er eksponeret, før nogen andre fortæller det.
4. En hændelsesplan på én side. Med navne, numre og de første tre handlinger.
5. Logning, der er nok til at svare på ”hvad skete der?”. Uden den bliver hver undersøgelse dyrere.

Perspektivet, der plejer at afgøre det

De fleste virksomheder bruger flere penge på at håndtere følgerne af en hændelse end på at forebygge den. Det er ikke et teknisk problem – det er en prioritering. Løbende sikkerhed handler om at flytte en lille, jævn omkostning til den rigtige side af stregen i stedet for at betale en stor og ujævn omkostning bagefter.

Begynd med at regne på én dags nedetid. Tallet gør som regel resten af diskussionen ret enkel.