Cyberangreb – hvad koster det din forretning?

Debatten omkring cybertruslen og mulige cyberangreb er højaktuel, nok set i lyset af regeringens forslag til stramninger inden for seks samfundskritiske sektorer offentliggjort 7. januar 2019. Det har kastet spørgsmålet af sig; hvad business casen er i forbindelse med cybertruslen? Det talte jeg med en ven af huset, Mogens Nørgaard, om. Han slår netop på tromme for den øget risiko for cyberangreb. Samme tema behandles i en nylig artikel i Version2.

Mit umiddelbare svar ligger i skuffen med business casen for gement tyveri. Her er risikoelementerne ved en hacking:

• Omkostninger til generhvervelse af stjålne ejendele
• Omkostninger/tid, der skal bruges på genetablering/generhvervelse
• Tab af potentielle indtægter dels pga. produktionsudstyr er utilgængelig og dels pga. virksomhedshemmeligheder er blevet kompromitteret, og nu bruges af en konkurrent
• Repressalier/krav i relation til følsomme data, som er kommet i tredje mands hænder
• Image-tab i forbindelse med kompromittering

Alt sammen ganget med en sandsynlighed for det sker.

Den reelle trussel

Mogens sammenligner det med, at vores hjem er uden døre og vinduer. Alle kan komme og gå. Jeg tænker, at man også kan sammenligne det med, at vi har fået installeret en dør med lås, men Kina (som et eksempel) har hovednøglen og kan komme ind, når de har lyst. Så vi skal gøre noget mere for at sikre os mod gement tyveri.

Dvs. den sandsynlighed, som jeg talte om, er tæt på 100%. Maersk er ikke et enestående tilfælde, heller ikke den tyske regering eller et hotel der mistede data. Det er nok også derfor Norge ikke har tillid til Huawei og vores egen Forsvarsminister får en række spørgsmål.

Omkostninger til generhvervelse af stjålne ejendele

Nyt er ikke altid fedt eller fyldestgørende. Vi kender alle til eksemplet med, at en harddisk bliver låst eller stjålet af 3. mand, som vil have penge for at låse den op. I værste fald skal vi ud og købe en ny, men det genskaber jo ikke indholdet af den gamle. Specielt hvis der ikke er taget backup af børnebillederne de sidste ti år eller taget backup af ens produktionsopsætning, så kan man ikke genskabe sit produktionsapparat.

Omkostninger/tid brugt på genetablering/generhvervelse

Fra et indbrud ved vi, at vi skal i gang med at samle glasskår op fra den ødelagte terrassedør, som de brugte til at komme ind i huset, rejse de væltede møbler etc.
På helt samme måde, så skal man indregne tiden og evt. køb af leverandør til genetablering/generhvervelse af ens ødelagte IT.

Kan I med sikkerhed sige, at I har en plan for total disaster-recovery? Ved I, hvor længe der vil gå fra jeres produktionssystem/-miljø er smadret til ukendelighed til det er oppe at køre igen?

Rigtig mange af jer ved det ikke. Og mange af jer ved ikke, hvordan man skal genetablere det. Og det koster dyrt!

Tab af potentielle indtægter pga. produktionsudstyr er utilgængelig og pga. virksomhedshemmeligheder er blevet kompromitteret

Jeg har tidligere skrevet en blog på businesscase.dk om, hvad det koster. Den var også skrevet i relation til Black Friday – men den er lige så aktuel alle andre dage af året. Den havde den mundrette titel ”Det er nederen at være nede – og det koster” – dels er der et tab i selve nedetiden, men der kan også være et varigt tab, da kunderne har søgt et andet sted hen.
Der er en fin lille model, som også er gengivet i min seneste bog.

Et er at være ”nede” et andet er, at ens forretningsmodel er blevet kopieret. Her har kineserne været på spil før. De har i flere omgange planket et eller andet fra os i vesten, produceret og solgt det. Derefter har kineserne lært det, de skal lære og kan selv. Huaweis net er et eksempel, da det oprindeligt skulle være planket fra Cisco. Jeg er ret sikker på, at Cisco piber lidt i denne tid – for ikke at nævne US regering, som angiveligvis også havde en hovednøgle, som kineserne nu har.

Repressalier/krav i relation til at følsomme data er kommet i tredje mands hænder

Nu kommer vi så til det, som er lidt mere kildent, at man mister fortrolig information. Hvad koster det?
Ud over en kæmpe dummebøde af den store størrelse, så kommer det meget an på, hvilken branche man er i. Dog virker det til, at virksomhederne ikke betaler for, at tabt personlig data kommer i andre folks hænder. Hvis det sker, bliver det gemt godt.

Image-tab

Det tabte ansigt er svær at sætte et beløb på, men alligevel kan det godt lade sig gøre. Stil jer det spørgsmål, hvor mange kunder vil I tabe, hvis kunderne mistede tillid til, at I har en stabil forretning – dvs. en forretning, der ikke kan modstå cyberangreb? Det kan få både personlige konsekvenser og konsekvenser for den organisation, man arbejder for. Så det har man ikke lyst til, hvis man er en nogenlunde velfungerende ansvarlig person.

Det her handler alene om risikovillighed – eller dumhed vil nogle påstå. For ”rigtige mænd” tager ikke backup, de græder bare meget mere end dem, som gør.