Röviden: Egy vállalkozás hackertámadásának költségei három csoportból tevődnek össze: közvetlen költségek az incidenskezelésre, a tisztításra és a tanácsadásra, közvetett költségek a kiesés, a munkaidő és a bizalomvesztés miatt, valamint következményköltségek a keményítésre, a migrációra és az utómunkára. Az átalányösszegek nem komolyak. Megbízható az a saját számítás, amely minden tételt az Ön számaival tölt ki, és így megindokolhatóvá teszi a megelőzést.
A számítás, amelyet senki sem készít el
Sok költségvetési körben a biztonság az egyik oldalon költséghelyként szerepel. A másik oldalon nincs semmi, mert a kár még nem következett be. Csak amikor egy szervert átvettek, válik láthatóvá, mi minden jön össze, és ez többnyire több, mint a szolgáltató számlája.
A PHP2Shell ezen a héten sok vállalkozást kényszerített mérlegelésre: a weboldalt azonnal levenni a hálózatról, ahogyan a BSI (a német Szövetségi Információbiztonsági Hivatal) a nem javítható rendszereknél javasolta, vagy futni hagyni? Ez a döntés is költségkérdés. Aki tudja, mibe kerül egy nap kiesés, és mibe kerülhetne egy behatolás, nyugodtabban dönt. A médiajelentések szerint például Mainz városa elővigyázatosságból lekapcsolta központi webportálját; a hivatalok telefonon és e-mailben elérhetők maradtak. Egy ilyen kiesésnek is megvan az ára, csak tervezhető.
A hackertámadás költségeinek áttekintése
A következő felsorolás a tipikus tételeket nevezi meg. Nem minden incidensnél merül fel mindegyik, de mindegyiket érdemes megvizsgálni.
| Csoport | Költségtétel | Mitől függ |
|---|---|---|
| Közvetlen | incidenskezelés és műszaki vészhelyzeti segítség | időtartam, rendszerek száma, napszak |
| Közvetlen | IT-forenzika és bizonyítékrögzítés | terjedelem, bíróságon is megálló dokumentáció igénye |
| Közvetlen | szerverek tisztítása vagy újjáépítése | a mentések állapota, dokumentáció |
| Közvetlen | jogi és adatvédelmi tanácsadás | bejelentési kötelezettségek, szerződések, követelések |
| Közvetlen | az érintettek értesítése, ügyfélszolgálat | az érintettek száma, csatornák |
| Közvetett | bevételkiesés a lekapcsolás alatt | a rendszertől való függés, időtartam |
| Közvetett | a vezetés, az IT és az értékesítés belső munkaideje | felkészültség, a szerepek egyértelműsége |
| Közvetett | láthatóság elvesztése a keresőmotorokban | figyelmeztető üzenetek, bejuttatott spam |
| Közvetett | letiltott levélküldés | a szerver spamre való visszaélése |
| Közvetett | bizalomvesztés ügyfeleknél és partnereknél | kommunikáció, az adatok fajtája |
| Következmény | keményítés, monitoring, új folyamatok | kiinduló állapot |
| Következmény | elavult szoftverek migrációja | pl. PHP 8.1 és régebbi |
| Következmény | szerződésmódosítások a szolgáltatókkal | meglévő szabályozások |
| Következmény | harmadik felek lehetséges követelései vagy bírságok | egyedi eset, jogi értékelés |
Közvetlen költségek: ami a számlákon áll
A közvetlen költségeket a legkönnyebb felmérni, mert számla formájában érkeznek. Idetartozik a műszaki segítség, a forenzika, a tisztítás és a tanácsadás. Terjedelmük nagyban függ a felkészültségtől. Ha van aktuális leltár, tesztelt mentés és megőrzött napló, az elemzés gyorsabban halad. Ha ez hiányzik, a munka egy része alapok utáni nyomozássá válik. Hogy mit foglal magában egy alapos vizsgálat, azt az IT-forenzika egy webszerver elleni támadás után írja le.
Ide jönnek még azok a tételek, amelyekre elsőre nem gondol az ember: külső szolgáltatók hétvégi túlórái, egy pótszerver az átmeneti időre, vagy levelek nyomtatása és postázása, ha az érintetteket így kell értesíteni.
Közvetett költségek: ami nem áll a számlákon
A közvetett költségek gyakran nagyobbak és nehezebben megfoghatók. Egy webshop bevételkiesése a saját számokból levezethető. A vezetés, az IT, az értékesítés és az ügyfélszolgálat munkaidejét ezzel szemben ritkán rögzítik, noha egy incidens sok embert köt le napokra.
Két következmény különösen a weboldalakat érinti. Ha a Google kártékony kódot talál, egy figyelmeztetés elriaszthatja a látogatókat, amíg a tisztítást nem igazolják; hogyan távolíttathatja el, azt a A Google-figyelmeztetés eltávolítása tartalmazza. Ha a szervert spamre használják vissza, a vállalkozás levelei tiltólistákra kerülnek, és nem érik el az ügyfeleket. Mindkettő gyakran még hetekkel a műszaki tisztítás után is hat.
Következményköltségek: ami a tisztítás után jön
Ha a szerver ismét tiszta, a számítás még nem zárult le. Szinte minden incidens olyan mulasztásokat tár fel, amelyeket most pótolni kell: a szerverek keményítését, egy a jövőben korábban figyelmeztető monitoringot, tesztelt mentéseket, új hozzáféréseket minden érintettnek. Ha egy rendszer PHP 8.1-en vagy régebbin fut, amelyhez már nincsenek hivatalos frissítések, gyakran migrálni kell, ami amúgy is esedékes lett volna, de most időnyomás alatt.
Ehhez jönnek a szervezeti következményköltségek. A tárhelyszolgáltatóval és az ügynökséggel kötött szerződéseket átdolgozzák, a vészhelyzeti tervet módosítják, a munkatársakat képzik. E tételek egy része értelmes befektetés, amely az incidens nélkül olcsóbb lett volna. Éppen ez az érv a megelőzés mellett.
A saját számítás elkészítése
Idegen statisztikák helyett a saját számokkal készített számítás segít. Így járjon el:
- A kritikus rendszerek megnevezése: mely weboldalak, webshopok és portálok hordoznak bevételt vagy folyamatokat?
- A napi kiesési költség becslése: a bevételi adatokból, a megrendelések beérkezéséből vagy abból a munkaidőből, amely a rendszer nélkül nem végezhető el.
- Belső órák felvétele: ki mennyi ideig lenne lekötve? Értékelje a belső óradíjakkal.
- A közvetlen tételek megkérdezése: keretajánlatok bekérése a szolgáltatóktól a vészhelyzeti segítségre és a forenzikára.
- A biztosítási fedezet egyeztetése: mely tételeket fedezi a kötvény, milyen önrészek és feltételek érvényesek?
- Összevetés a megelőzéssel: mibe kerül évente a leltár, a patchfolyamat, a mentések, a monitoring és a karbantartás?
Számoljon egy szám helyett egy sávval: egy incidens, amelyet még aznap felfedeznek, és egy, amely csak hetek után tűnik fel. A különbség megmutatja, mennyit ér a korai felismerés.
Hogy egy kiberbiztosítás átvállal-e egyes tételeket, azt kizárólag az Ön biztosítási feltételei szabályozzák; a tipikus kötelezettségekről a Kiberbiztosítás: mi számít kár esetén ad útmutatást. Harmadik felek lehetséges követeléseit, szerződési bírságokat vagy bírságokat nem lehet előre számszerűsíteni; ez jogi kérdés az ügyvéd és az adatvédelmi tisztviselő számára. Ez az oldal nem jogi tanácsadás.
Hogyan segít konkrétan a PHP SOS?
- Önnel együtt megnevezzük a kritikus rendszereket, és megmutatjuk, mely költségtételek merülnének fel ott egy incidensnél realisztikusan.
- Megvizsgáljuk, mennyire jól vannak előkészítve a mentések, a naplók és a leltár, mert a közvetlen költségek ettől nagyban függnek.
- Írásos ajánlatot készítünk a megelőzésre, amelyet szembeállíthat a saját számításával.
- A tartós megelőzést biztonsági karbantartási szerződésen keresztül vesszük át, világosan leírt terjedelemmel.
Összegzés: Egy feltörés legdrágább tételei ritkán állnak egy számlán. Aki előre saját számokkal láthatóvá teszi őket, megindokolhatja a megelőzést, és éles helyzetben gyorsabban dönthet.
Gyakori kérdések
Mennyibe kerül egy hackertámadás egy vállalkozásnak?
Ez általánosságban nem válaszolható meg. A költségek az incidens fajtájától és időtartamától, az érintett adatoktól, a rendszertől való függéstől és a felkészültségtől függenek. Csak a költségtételek olyan felsorolása komoly, amelyet Ön saját számokkal tölt ki.
Mely költségeket veszi át egy kiberbiztosítás?
Ezt a szerződés biztosítási feltételei szabályozzák. Gyakran az incidenskezelés költségeiről, az üzemszünetről és bizonyos felelősségi esetekről van szó, mindegyik feltételekkel és kötelezettségekkel. Az terjedelmet előre tisztázza a biztosítójával vagy a közvetítőjével.
Mely költségeket néznek át a leggyakrabban?
A belső munkaidőt, az incidens utáni heteket, a levélküldésre és a keresőmotorokra gyakorolt következményeket, valamint azoknak az intézkedéseknek a költségeit, amelyek tulajdonképpen már korábban esedékesek lettek volna, például egy elavult PHP-verzió migrálását.
Meg lehet előre becsülni a bírságokat vagy a kártérítést?
Nem. Hogy ilyen követelések keletkeznek-e, és milyen összegben, az egyedi esettől függ, és jogi kérdés. Az értékelés az adatvédelmi tisztviselő és az ügyvéd feladata; ez az oldal nem jogi tanácsadás.