Ukratko: Troškovi hakerskog napada za tvrtku sastoje se od tri skupine: izravni troškovi obrade incidenta, čišćenja i savjetovanja, neizravni troškovi zbog ispada, radnog vremena i gubitka povjerenja te naknadni troškovi ojačavanja, migracije i dorade. Paušalni iznosi nisu ozbiljni. Pouzdan je vlastiti obračun koji svaku stavku ispunjava Vašim brojkama i tako omogućuje obrazloženje prevencije.
Obračun koji nitko ne sastavlja
U mnogim proračunskim krugovima sigurnost stoji kao troškovno mjesto na jednoj strani. Na drugoj strani nema ničega jer šteta još nije nastala. Tek kad je poslužitelj preuzet, vidi se što se sve zbraja, a to je najčešće više od računa pružatelja usluga.
PHP2Shell je ovog tjedna mnoge tvrtke prisilio na odvagivanje: web-stranicu odmah skinuti s mreže, kako je BSI (njemački Savezni ured za informacijsku sigurnost) preporučio za sustave koji se ne mogu zakrpati, ili je pustiti da radi? I ta je odluka pitanje troškova. Tko zna koliko košta dan ispada i koliko bi mogla koštati provala, odlučuje mirnije. Prema medijima, grad Mainz primjerice je preventivno isključio svoj središnji web-portal; uredi su ostali dostupni telefonom i e-poštom. I takav ispad ima cijenu, ali planiranu.
Troškovi hakerskog napada u pregledu
Sljedeći popis navodi tipične stavke. Ne javlja se svaka kod svakog incidenta, ali svaku treba provjeriti.
| Skupina | Stavka troška | O čemu ovisi |
|---|---|---|
| Izravno | obrada incidenta i tehnička hitna pomoć | trajanje, broj sustava, doba dana |
| Izravno | IT forenzika i osiguranje dokaza | opseg, potreba za dokumentacijom prihvatljivom na sudu |
| Izravno | čišćenje ili ponovna izgradnja poslužitelja | stanje sigurnosnih kopija, dokumentacija |
| Izravno | pravno savjetovanje i savjetovanje o zaštiti podataka | obveze prijave, ugovori, zahtjevi |
| Izravno | obavješćivanje pogođenih osoba, korisnička služba | broj pogođenih, kanali |
| Neizravno | izgubljeni prihod tijekom isključenja | ovisnost o sustavu, trajanje |
| Neizravno | interno radno vrijeme uprave, IT-a, prodaje | priprema, jasnoća uloga |
| Neizravno | gubitak vidljivosti u tražilicama | upozorenja, ubačeni spam |
| Neizravno | blokirano slanje e-pošte | zlouporaba poslužitelja za spam |
| Neizravno | gubitak povjerenja kupaca i partnera | komunikacija, vrsta podataka |
| Naknadno | ojačavanje, nadzor, novi procesi | početno stanje |
| Naknadno | migracija zastarjelog softvera | npr. PHP 8.1 i stariji |
| Naknadno | prilagodbe ugovora s pružateljima usluga | postojeće odredbe |
| Naknadno | mogući zahtjevi trećih osoba ili novčane kazne | pojedinačni slučaj, pravna procjena |
Izravni troškovi: što piše na računima
Izravne je troškove najlakše obuhvatiti jer dolaze kao račun. Tu spadaju tehnička pomoć, forenzika, čišćenje i savjetovanje. Njihov opseg jako ovisi o pripremljenosti. Ako postoje ažuran popis, testirane sigurnosne kopije i osigurani logovi, analiza ide brže. Ako toga nema, dio posla postaje traženje osnovnih podataka. Što obuhvaća temeljita istraga, opisuje IT forenzika nakon napada na web-poslužitelj.
Dodaju se stavke na koje se isprva ne misli: prekovremeni sati vanjskih pružatelja usluga vikendom, zamjenski poslužitelj za prijelazno razdoblje ili ispis i slanje pisama kada se pogođene osobe moraju tako obavijestiti.
Neizravni troškovi: što ne piše na računima
Neizravni su troškovi često veći i teže uhvatljivi. Izgubljeni prihod shopa može se izvesti iz vlastitih brojki. Radno vrijeme uprave, IT-a, prodaje i korisničke službe, naprotiv, rijetko se bilježi, iako incident veže mnogo ljudi danima.
Dvije posljedice osobito pogađaju web-stranice. Ako Google pronađe zlonamjerni kod, upozorenje može odbiti posjetitelje dok se čišćenje ne potvrdi; kako ga dati ukloniti, piše u članku Uklanjanje Googleova upozorenja. Ako se poslužitelj zloupotrijebi za spam, e-pošta tvrtke završava na popisima blokiranih i ne stiže do kupaca. Oboje često djeluje još tjednima nakon tehničkog čišćenja.
Naknadni troškovi: što dolazi nakon čišćenja
Kad je poslužitelj opet čist, račun još nije zaključen. Gotovo svaki incident otkriva propuste koje sada treba nadoknaditi: ojačavanje poslužitelja, nadzor koji će ubuduće ranije upozoriti, testirane sigurnosne kopije, novi pristupi za sve sudionike. Ako sustav radi na PHP-u 8.1 ili starijem, za koji više nema službenih ažuriranja, često slijedi migracija koja je ionako bila neizbježna, ali sada pod vremenskim pritiskom.
Dodaju se organizacijski naknadni troškovi. Ugovori s pružateljem hostinga i agencijom revidiraju se, plan za hitne slučajeve prilagođava, zaposlenici školuju. Neke od tih stavki smislena su ulaganja koja bi bez incidenta bila jeftinija. Upravo je to argument za prevenciju.
Sastavljanje vlastitog obračuna
Umjesto tuđe statistike pomaže obračun s vlastitim brojkama. Postupak je sljedeći:
- Imenovati kritične sustave: Koje web-stranice, shopovi i portali nose prihod ili procese?
- Procijeniti troškove ispada po danu: iz podataka o prihodu, zaprimanju narudžbi ili radnog vremena koje se bez sustava ne može obaviti.
- Uračunati interne sate: Tko bi bio vezan i koliko dugo? Vrednovati internim satnicama.
- Raspitati se o izravnim stavkama: zatražiti okvirne ponude pružatelja usluga za hitnu pomoć i forenziku.
- Uskladiti osiguranje: Koje stavke pokriva polica, koji se udjeli i uvjeti primjenjuju?
- Usporediti s prevencijom: Koliko godišnje koštaju popis, proces zakrpanja, sigurnosne kopije, nadzor i održavanje?
Računajte s rasponom umjesto s jednim brojem: incident otkriven istog dana i onaj koji se primijeti tek nakon tjedana. Razlika pokazuje vrijednost ranog otkrivanja.
Hoće li kibernetičko osiguranje pokriti pojedine stavke, uređuju isključivo Vaši uvjeti osiguranja; napomene o tipičnim obvezama daje Kibernetičko osiguranje: što se računa u slučaju štete. Moguće zahtjeve trećih, ugovorne kazne ili novčane kazne ne može se unaprijed izračunati; to je pravno pitanje za odvjetnika i službenika za zaštitu podataka. Ova stranica nije pravni savjet.
Kako PHP SOS konkretno pomaže?
- S Vama imenujemo kritične sustave i pokazujemo koje bi se stavke troškova tamo realno javile kod incidenta.
- Provjeravamo koliko su dobro pripremljeni sigurnosne kopije, logovi i popis, jer o tome jako ovise izravni troškovi.
- Izrađujemo pisanu ponudu za prevenciju koju možete usporediti sa svojim obračunom.
- Trajnu prevenciju preuzimamo putem ugovora o sigurnosnom održavanju s jasno opisanim opsegom.
Zaključak: Najskuplje stavke hakerskog napada rijetko stoje na računu. Tko ih unaprijed učini vidljivima vlastitim brojkama, može obrazložiti prevenciju i brže odlučivati u kritičnom trenutku.
Česta pitanja
Koliko hakerski napad košta tvrtku?
To se ne može odgovoriti paušalno. Troškovi ovise o vrsti i trajanju incidenta, pogođenim podacima, ovisnosti o sustavu i pripremljenosti. Ozbiljan je samo popis stavki troškova koji ispunite vlastitim brojkama.
Koje troškove pokriva kibernetičko osiguranje?
To uređuju uvjeti osiguranja Vašeg ugovora. Često se radi o troškovima obrade incidenta, prekidu poslovanja i određenim slučajevima odgovornosti, svaki s uvjetima i obvezama. Opseg unaprijed razjasnite sa svojim osigurateljem ili posrednikom.
Koji se troškovi najčešće previđaju?
Interno radno vrijeme, tjedni nakon incidenta, posljedice za slanje e-pošte i tražilice te troškovi mjera koje su zapravo trebale biti provedene i ranije, primjerice migracija zastarjele verzije PHP-a.
Mogu li se novčane kazne ili naknada štete unaprijed izračunati?
Ne. Hoće li takvi zahtjevi nastati i u kojem iznosu, ovisi o pojedinačnom slučaju i pravno je pitanje. Za procjenu su nadležni službenik za zaštitu podataka i odvjetnik; ova stranica nije pravni savjet.