Накратко: Разходите от една хакерска атака за фирмата се състоят от три групи: преки разходи за обработка на инцидента, почистване и консултации, косвени разходи от прекъсване, работно време и загуба на доверие, и последващи разходи за заздравяване, миграция и доработки. Общите суми не са сериозни. Надеждна е собствената сметка, която попълва всяко перо с Вашите цифри и така прави превенцията обосновима.
Сметката, която никой не изготвя
В много бюджетни срещи сигурността стои като разходен център от едната страна. От другата страна няма нищо, защото щетата още не е настъпила. Едва когато един сървър бъде превзет, става видимо колко неща се натрупват, и обикновено е повече от фактурата на доставчика.
PHP2Shell принуди тази седмица много фирми да преценяват: да изключат уебсайта веднага, както BSI (Федералната служба за информационна сигурност на Германия) препоръча за системи, които не могат да бъдат пачнати, или да го оставят да работи? И това решение е въпрос на разходи. Който знае колко струва един ден прекъсване и колко би могло да струва едно проникване, решава по-спокойно. Според медиите например град Майнц предпазно изключи централния си уебпортал; ведомствата останаха достъпни по телефон и по имейл. И такова прекъсване има цена, но планируема.
Разходите от хакерска атака накратко
Следната таблица посочва типичните пера. Не всяко възниква при всеки инцидент, но всяко трябва да се провери.
| Група | Разходно перо | От какво зависи |
|---|---|---|
| Пряко | Обработка на инцидента и техническа помощ при извънредни случаи | продължителност, брой системи, час от денонощието |
| Пряко | ИТ форензика и запазване на доказателства | обхват, нужда от документация, годна за съда |
| Пряко | Почистване или ново изграждане на сървъри | състояние на резервните копия, документация |
| Пряко | Правно консултиране и консултации по защита на данните | задължения за уведомяване, договори, претенции |
| Пряко | Уведомяване на засегнатите, обслужване на клиенти | брой засегнати, канали |
| Косвено | Пропуснат оборот по време на изключването | зависимост от системата, продължителност |
| Косвено | вътрешно работно време на ръководство, ИТ, продажби | подготовка, яснота на ролите |
| Косвено | Загуба на видимост в търсачките | предупредителни съобщения, внесен спам |
| Косвено | блокирано изпращане на имейли | злоупотреба със сървъра за спам |
| Косвено | Загуба на доверие при клиенти и партньори | комуникация, вид на данните |
| Последващо | Заздравяване, мониторинг, нови процеси | изходно състояние |
| Последващо | Миграция на остарял софтуер | напр. PHP 8.1 и по-стари |
| Последващо | Промени в договорите с доставчици | съществуващи уговорки |
| Последващо | възможни претенции на трети лица или глоби | конкретен случай, правна оценка |
Преки разходи: какво е във фактурите
Преките разходи се отчитат най-лесно, защото идват като фактура. Към тях се числят техническа помощ, форензика, почистване и консултации. Размерът им силно зависи от подготовката. Ако има актуален инвентар, тествани резервни копия и запазени логове, анализът минава по-бързо. Ако липсва, част от работата се превръща в търсене на следи за основни неща. Какво включва задълбоченото проучване, описва ИТ форензика след атака срещу уеб сървър.
Към това се добавят пера, за които първоначално не се мисли: извънреден труд на външни доставчици през почивните дни, заместващ сървър за преходния период или печат и изпращане на писма, когато засегнатите трябва да се информират по този начин.
Косвени разходи: какво не е във фактурите
Косвените разходи често са по-големи и по-трудни за обхващане. Пропуснатият оборот на един магазин може да се изведе от собствените цифри. Работното време на управителя, ИТ, продажбите и обслужването на клиенти обаче рядко се отчита, макар един инцидент да ангажира много хора с дни.
Две последици засягат особено уебсайтовете. Ако Google намери зловреден код, предупредително съобщение може да отблъсне посетителите, докато почистването не бъде потвърдено; как да го премахнете, е описано в Как да премахнете предупреждението на Google. Ако сървърът бъде използван за спам, имейлите на фирмата попадат в списъци за блокиране и вече не стигат до клиентите. И двете често действат още седмици след техническото почистване.
Последващи разходи: какво идва след почистването
Когато сървърът е отново чист, сметката още не е приключена. Почти всеки инцидент разкрива пропуски, които сега трябва да се наваксат: заздравяване на сървърите, мониторинг, който занапред предупреждава по-рано, тествани резервни копия, нови достъпи за всички участници. Ако една система работи на PHP 8.1 или по-стар, за който вече няма официални актуализации, често предстои миграция, която така или иначе е щяла да е дължима, но сега е под натиска на времето.
Към това се добавят организационни последващи разходи. Договорите с хостинг доставчика и агенцията се преработват, планът за извънредни ситуации се адаптира, служителите се обучават. Някои от тези пера са разумни инвестиции, които без инцидента биха били по-евтини. Точно това е аргументът за превенция.
Изготвяне на собствената сметка
Вместо чужди статистики помага сметка със собствени цифри. Ето как да действате:
- Назовете критичните системи: Кои уебсайтове, магазини и портали носят оборот или процеси?
- Оценете разходите от прекъсване на ден: от данни за оборота, постъпване на поръчки или работно време, което не може да се извърши без системата.
- Отчетете вътрешните часове: Кой за колко време би бил ангажиран? Оценете с вътрешните часови ставки.
- Попитайте за преките пера: Поискайте рамкови оферти от доставчици за помощ при извънредни случаи и форензика.
- Сверете застрахователната защита: Кои пера покрива полицата, какви самоучастия и условия важат?
- Сравнете с превенцията: Колко струват годишно инвентарът, процесът за пачове, резервните копия, мониторингът и поддръжката?
Изчислявайте с интервал, а не с една цифра: инцидент, открит същия ден, и такъв, който се забелязва едва след седмици. Разликата показва колко струва ранното откриване.
Дали една киберзастраховка поема отделни пера, се урежда единствено от Вашите застрахователни условия; насоки за типичните задължения дава Киберзастраховка: какво има значение при щета. Възможните претенции на трети лица, договорни неустойки или глоби не могат да се определят предварително; това е правен въпрос за адвоката и длъжностното лице по защита на данните. Тази страница не е правен съвет.
Как помага PHP SOS конкретно?
- Назоваваме с Вас критичните системи и показваме кои разходни пера биха възникнали реалистично там при инцидент.
- Проверяваме колко добре са подготвени резервните копия, логовете и инвентарът, защото от тях силно зависят преките разходи.
- Изготвяме писмена оферта за превенцията, която можете да сравните със собствената си сметка.
- Продължителната превенция поемаме чрез договор за поддръжка на сигурността с ясно описан обхват.
Извод: Най-скъпите пера от един хак рядко стоят във фактура. Който ги направи предварително видими със собствени цифри, може да обоснове превенцията и да реши по-бързо в критичен момент.
Често задавани въпроси
Колко струва една хакерска атака на фирмата?
Това не може да се каже общо. Разходите зависят от вида и продължителността на инцидента, засегнатите данни, зависимостта от системата и подготовката. Сериозна е само таблица с разходните пера, която попълвате със собствени цифри.
Какви разходи покрива една киберзастраховка?
Това се урежда от общите условия на Вашия договор. Често става дума за разходи по обработката на инцидента, прекъсване на дейността и определени случаи на отговорност, всеки път с условия и задължения. Изяснете обхвата предварително със застрахователя или брокера.
Кои разходи най-често се пропускат?
Вътрешното работно време, седмиците след инцидента, последиците за изпращането на имейли и за търсачките, както и разходите за мерки, които така или иначе е трябвало да се направят по-рано, например миграцията от остаряла версия на PHP.
Могат ли глобите или обезщетенията да се определят предварително?
Не. Дали и в какъв размер ще възникнат такива претенции, зависи от конкретния случай и е правен въпрос. За оценка са компетентни длъжностното лице по защита на данните и адвокатът; тази страница не е правен съвет.