Ile wyciek danych kosztuje małą firmę – i gdzie powstają koszty

Na pytanie „ile kosztuje wyciek danych?” odpowiada się zwykle dużą średnią, która dwudziestoosobowej firmie nic nie mówi. W rzeczywistości koszt rzadko jest jednym dużym zapisem. To szereg mniejszych pozycji, które kończą się jednocześnie – i właśnie wtedy, gdy organizacja ma najmniejsze możliwości, by je obsłużyć.

Oto, gdzie kumulują się koszty, w kolejności, w jakiej zwykle stają się widoczne.

1. Przestój

Pierwszą rzeczą, jaka dzieje się przy ataku ransomware lub poważnym naruszeniu bezpieczeństwa, jest wyłączanie systemów. Nie można przyjmować zamówień, nie można wysłać faktur, produkcja staje. Dla firmy z niską marżą dwudniowy przestój to zwykle największa pojedyncza pozycja – większa niż samo odtwarzanie.

Policzcie to, zanim się zdarzy: ile kosztuje dzień bez dwóch najważniejszych systemów? Kwota bywa nieprzyjemnie konkretna.

2. Dochodzenie i odtwarzanie

Zrozumienie, co się stało, wymaga czasu kogoś, kto to potrafi. Często oznacza to pomoc zewnętrzną: analiza kryminalistyczna, odtwarzanie z kopii zapasowej, wymiana przejętych kont, wymiana kluczy i certyfikatów. Nawet jeśli kopia zapasowa działa, odtwarzanie zajmuje czas wewnętrzny, który normalnie poszedłby na klientów.

Pytanie kontrolne: kiedy ostatnio testowaliście odtwarzanie z kopii zapasowej i ile to zajęło?

3. Utraceni klienci i zaufanie

Klienci, którzy przez tydzień nie dostają odpowiedzi, zaczynają szukać alternatyw. Klienci biznesowi z własnymi wymogami zgodności mogą zakwalifikować was jako ryzyko dostawcy – co w praktyce oznacza audyty, zmiany umów lub, w najgorszym przypadku, rozwiązane umowy.

Zaufanie to pozycja najtrudniejsza do zmierzenia w liczbach i najtrudniejsza do odbudowania. Dlatego wykazywalna praca nad bezpieczeństwem ma wartość komercyjną, nie tylko ryzykową.

4. Wymogi regulacyjne

W zależności od działalności i zdarzenia mogą uruchomić się obowiązki zgłoszeniowe – wobec organu nadzorczego, osób, których dane dotyczą, a w niektórych przypadkach wobec partnerów. Zgłoszenie ma terminy (w NIS2 np. 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie) i wymaga umiejętności opisania, co się stało. Jeśli nie potraficie, dochodzenie staje się dłuższe i droższe.

Dodajcie pomoc prawną, działania komunikacyjne i ewentualne sankcje lub roszczenia odszkodowawcze.

5. To, co rzadko jest liczone

• Czas zarządu. Tygodnie skupienia, które poszłyby na rozwój biznesu.
• Czas pracowników. Ci sami ludzie, którzy mają utrzymać działalność, zajmują się incydentem.
• Warunki ubezpieczenia. Ubezpieczenie rzadko pokrywa wszystko, a składki zmieniają się po zgłoszeniu.
• Opóźnione projekty. Wszystko inne staje.

Co naprawdę zmniejsza koszty

Żaden środek nie uczyni was niepodatnymi. Jednak kilka rzeczy zmienia to, jak incydent się rozwija:

1. MFA na kontach administracyjnych i w poczcie. Zamyka najczęściej używany punkt wejścia.
2. Przetestowana kopia zapasowa ze znanym czasem odtwarzania. Zamienia żądanie okupu w irytujący szczegół.
3. Inwentaryzacja publicznych zasobów. Pozwala wiedzieć, co jest wystawione, zanim powie to ktoś inny.
4. Jednostronicowy plan incydentu. Nazwiska, numery i trzy pierwsze działania.
5. Logi wystarczające, by odpowiedzieć „co się stało?”. Bez nich każde dochodzenie jest droższe.

Perspektywa, która zwykle przesądza

Większość firm wydaje więcej pieniędzy na obsługę skutków incydentu niż na jego zapobieganie. To nie jest kwestia techniczna – to kwestia priorytetów. Ciągła ochrona oznacza skierowanie małego, równego kosztu na właściwą stronę, zamiast płacenia później dużego i nierównego.

Zacznijcie od policzenia kosztu jednego dnia przestoju. Ta liczba zwykle sprawia, że reszta dyskusji staje się dość prosta.