Hva et datainnbrudd koster en mindre virksomhet – og hvor kostnadene sitter

Spørsmålet «hva koster et datainnbrudd?» besvares oftest med et stort gjennomsnittsbeløp som ikke sier noe om en virksomhet med tjue ansatte. Virkeligheten er at kostnaden sjelden er én stor post. Det er en rekke mindre poster som alle forfaller samtidig – og nettopp når virksomheten har dårligst evne til å håndtere dem.

Her er hvor kostnadene sitter, i den rekkefølgen de pleier å bli synlige.

1. Nedetiden

Det første som skjer ved et løsepengevirusangrep eller et alvorlig kompromiss, er at systemer stenges. Ordre kan ikke tas imot, fakturaer kan ikke sendes, produksjonen stopper. For en virksomhet med tynne marginer er to dagers nedetid ofte den største enkeltposten – større enn selve gjenopprettingsarbeidet.

Regn på det før det skjer: hva koster en dag uten deres to viktigste systemer? Beløpet er som regel ubehagelig konkret.

2. Gransking og gjenoppretting

Å forstå hva som har skjedd krever tid fra noen som kan det. Det betyr ofte ekstern hjelp: etterforskning, gjenoppretting fra backup, bytte av kompromitterte kontoer, rotasjon av nøkler og sertifikater. Selv når backuppen virker, tar gjenopprettingen intern tid som ellers hadde gått til kunder.

Kontrollspørsmål: når testet dere sist en gjenoppretting fra backup, og hvor lang tid tok det?

3. Tapte kunder og tillit

Kunder som ikke får svar på en uke, begynner å lete etter alternativer. Bedriftskunder med egne etterlevelseskrav kan måtte eskalere dere som leverandørrisiko – noe som i praksis betyr revisjoner, kontraktsendringer eller i verste fall oppsagte avtaler.

Tillit er den posten som er vanskeligst å tallfeste og vanskeligst å bygge opp igjen. Det er også derfor sikkerhetsarbeid som kan vises frem, har en kommersiell verdi – ikke bare en risiko-verdi.

4. Regulatoriske krav

Avhengig av virksomhet og hendelse kan rapporteringsplikter utløses – til tilsynsmyndighet, til berørte personer og i visse tilfeller til partnere. Rapportering har frister (under NIS2 for eksempel 24 timer for tidlig advarsel og 72 timer for melding) og krever at dere kan beskrive hva som har skjedd. Kan dere ikke det, blir granskingen både lengre og dyrere.

Legg til juridisk hjelp, kommunikasjonsarbeid og eventuelle sanksjoner eller erstatningskrav.

5. Det som sjelden regnes med

• Ledelsens tid. Uker med fokus som hadde gått til forretningsutvikling.
• De ansattes tid. De samme personene som skal holde driften i gang, skal også håndtere hendelsen.
• Forsikringsvilkår. Forsikringer dekker sjelden alt, og premiene påvirkes etter en melding.
• Utsatte prosjekter. Alt annet stopper.

Hva som faktisk reduserer kostnaden

Ingen tiltak gjør dere usårbare. Men noen få ting endrer hvordan en hendelse utvikler seg:

1. MFA på administrative kontoer og e-post. Stenger den vanligste veien inn.
2. Testet backup med kjent gjenopprettingstid. Gjør et løsepengekrav til en irritasjon.
3. Kartlegging av offentlige eiendeler. Gjør at dere vet hva som er eksponert før noen andre forteller det.
4. En hendelsesplan på én side. Med navn, numre og de tre første handlingene.
5. Logging som er nok til å svare på «hva skjedde?». Uten den blir hver gransking dyrere.

Perspektivet som pleier å avgjøre

De fleste virksomheter bruker mer penger på å håndtere følgene av en hendelse enn på å forebygge den. Det er ikke et teknisk problem – det er en prioritering. Kontinuerlig sikkerhet handler om å flytte en liten, jevn kostnad til riktig side av streken i stedet for å betale en stor og ujevn kostnad etterpå.

Begynn med å regne på én dags nedetid. Tallet gjør som regel resten av diskusjonen ganske enkel.