Stručne: Náklady hackerského útoku pre firmu sa skladajú z troch skupín: priame náklady na spracovanie incidentu, vyčistenie a poradenstvo, nepriame náklady v dôsledku výpadku, pracovného času a straty dôvery a následné náklady na hardening, migráciu a dodatočné práce. Paušálne sumy sú neseriózne. Spoľahlivý je vlastný prepočet, ktorý každú položku naplní vašimi číslami, a tým umožní odôvodniť prevenciu.
Prepočet, ktorý nikto nerobí
V mnohých rozpočtových kolách je bezpečnosť na jednej strane nákladovým strediskom. Na druhej strane nie je nič, pretože škoda ešte nenastala. Až keď sa server stal obeťou, ukáže sa, čo všetko sa nazbiera, a väčšinou je to viac než faktúra dodávateľa.
PHP2Shell prinútilo mnohé firmy tento týždeň k úvahe: web okamžite odpojiť od siete, ako to BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúčalo pri systémoch, ktoré sa nedajú záplatovať, alebo ho nechať bežať? Aj toto rozhodnutie je otázkou nákladov. Kto vie, koľko stojí deň výpadku a koľko by mohlo stáť vniknutie, rozhoduje pokojnejšie. Podľa médií mesto Mainz preventívne vypnulo svoj centrálny webový portál; úrady zostali dostupné telefonicky a e-mailom. Aj takýto výpadok má cenu, ale plánovateľnú.
Náklady hackerského útoku v prehľade
Nasledujúci zoznam uvádza typické položky. Nie každá vznikne pri každom incidente, ale každú treba preveriť.
| Skupina | Nákladová položka | Od čoho závisí |
|---|---|---|
| Priame | spracovanie incidentu a technická núdzová pomoc | trvanie, počet systémov, denná doba |
| Priame | IT forenzná analýza a zabezpečenie dôkazov | rozsah, potreba dokumentácie použiteľnej pred súdom |
| Priame | vyčistenie alebo nové vybudovanie serverov | stav záloh, dokumentácia |
| Priame | právne poradenstvo a poradenstvo v ochrane údajov | oznamovacie povinnosti, zmluvy, nároky |
| Priame | oznámenie dotknutým osobám, zákaznícky servis | počet dotknutých osôb, kanály |
| Nepriame | strata tržieb počas odstávky | závislosť od systému, trvanie |
| Nepriame | interný pracovný čas vedenia, IT, predaja | príprava, jasnosť rolí |
| Nepriame | strata viditeľnosti vo vyhľadávačoch | varovné hlásenia, zavlečený spam |
| Nepriame | zablokované odosielanie pošty | zneužitie servera na spam |
| Nepriame | strata dôvery zákazníkov a partnerov | komunikácia, druh údajov |
| Následné | hardening, monitoring, nové procesy | východiskový stav |
| Následné | migrácia zastaraného softvéru | napr. PHP 8.1 a staršie |
| Následné | úpravy zmlúv s dodávateľmi | existujúce úpravy |
| Následné | možné nároky tretích strán alebo pokuty | konkrétny prípad, právne posúdenie |
Priame náklady: čo je na faktúrach
Priame náklady sa zachytávajú najľahšie, pretože prichádzajú ako faktúra. Patrí sem technická pomoc, forenzná analýza, vyčistenie a poradenstvo. Ich rozsah silne závisí od prípravy. Ak existuje aktuálny inventár, otestované zálohy a zabezpečené logy, analýza ide rýchlejšie. Ak chýba, časť práce sa mení na hľadanie základov. Čo zahŕňa dôkladné vyšetrenie, opisuje článok IT forenzná analýza po útoku na webový server.
Pribúdajú položky, na ktoré sa spočiatku nemyslí: nadčasy externých dodávateľov cez víkend, náhradný server na prechodné obdobie alebo tlač a odoslanie listov, ak sa dotknuté osoby musia informovať takto.
Nepriame náklady: čo nie je na faktúrach
Nepriame náklady sú často väčšie a ťažšie uchopiteľné. Výpadok tržieb e-shopu sa dá odvodiť z vlastných čísel. Pracovný čas konateľov, IT, predaja a zákazníckeho servisu sa však zachytáva zriedka, hoci incident viaže mnoho ľudí na dni.
Dva dôsledky zasahujú weby osobitne. Ak Google nájde škodlivý kód, môže varovné hlásenie odradiť návštevníkov, kým sa vyčistenie nepotvrdí; ako ho dáte odstrániť, nájdete v článku Odstránenie varovania Google. Ak sa server zneužije na spam, e-maily firmy skončia na zoznamoch zablokovaných odosielateľov a zákazníkov nedosiahnu. Oboje často pôsobí ešte týždne po technickom vyčistení.
Následné náklady: čo príde po vyčistení
Keď je server opäť čistý, prepočet ešte nie je uzavretý. Takmer každý incident odhalí zanedbania, ktoré treba dobehnúť: hardening serverov, monitoring, ktorý bude v budúcnosti varovať skôr, otestované zálohy, nové prístupy pre všetkých zúčastnených. Ak systém beží na PHP 8.1 alebo staršom, pre ktoré už neexistujú oficiálne aktualizácie, často nasleduje migrácia, ktorá bola aj tak splatná, teraz však pod časovým tlakom.
Pribúdajú organizačné následné náklady. Zmluvy s poskytovateľom hostingu a agentúrou sa prepracujú, núdzový plán sa upraví, zamestnanci sa zaškolia. Niektoré z týchto položiek sú zmysluplné investície, ktoré by bez incidentu vyšli lacnejšie. Presne to je argument pre prevenciu.
Zostaviť si vlastný prepočet
Namiesto cudzích štatistík pomôže prepočet s vlastnými číslami. Postupujte takto:
- Určiť kritické systémy: Ktoré weby, obchody a portály nesú tržby alebo procesy?
- Odhadnúť náklady výpadku na deň: z údajov o tržbách, prijatých objednávok alebo pracovného času, ktorý bez systému nemožno odpracovať.
- Započítať interné hodiny: Kto by bol viazaný ako dlho? Ohodnotiť internými hodinovými sadzbami.
- Zistiť priame položky: Vyžiadať rámcové ponuky dodávateľov na núdzovú pomoc a forenznú analýzu.
- Porovnať s poistným krytím: Ktoré položky poistka kryje, aké spoluúčasti a podmienky platia?
- Porovnať s prevenciou: Koľko ročne stojí inventár, proces záplatovania, zálohy, monitoring a údržba?
Počítajte s rozpätím namiesto jedného čísla: incident, ktorý sa odhalí v ten istý deň, a taký, ktorý si všimnete až po týždňoch. Rozdiel ukáže, akú hodnotu má včasná detekcia.
Či kybernetické poistenie nesie jednotlivé položky, upravujú výlučne vaše poistné podmienky; upozornenia na typické povinnosti poskytuje článok Kybernetické poistenie: čo sa počíta pri poistnej udalosti. Možné nároky tretích strán, zmluvné pokuty alebo pokuty orgánov sa vopred vyčísliť nedajú; je to právna otázka pre právnika a zodpovedného pracovníka pre ochranu údajov. Táto stránka nie je právne poradenstvo.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami určíme kritické systémy a ukážeme, aké nákladové položky by tam pri incidente realisticky vznikli.
- Preverujeme, ako dobre sú pripravené zálohy, logy a inventár, pretože od nich silne závisia priame náklady.
- Vypracujeme písomnú ponuku na prevenciu, ktorú môžete porovnať s vlastným prepočtom.
- Trvalú prevenciu preberáme prostredníctvom bezpečnostnej servisnej zmluvy s jasne opísaným rozsahom.
Záver: Najdrahšie položky hacku sa zriedka objavia na faktúre. Kto ich vopred zviditeľní vlastnými číslami, môže odôvodniť prevenciu a v krízovej situácii rozhodnúť rýchlejšie.
Časté otázky
Koľko stojí hackerský útok firmu?
Paušálne sa to nedá povedať. Náklady závisia od druhu a trvania incidentu, dotknutých údajov, závislosti od systému a prípravy. Serióznym je iba prehľad nákladových položiek, ktorý si naplníte vlastnými číslami.
Aké náklady hradí kybernetické poistenie?
To upravujú poistné podmienky vašej zmluvy. Často ide o náklady na spracovanie incidentu, prerušenie prevádzky a určité prípady zodpovednosti, vždy s podmienkami a povinnosťami. Rozsah si vopred vyjasnite s poisťovateľom alebo maklérom.
Ktoré náklady sa najčastejšie prehliadnu?
Interný pracovný čas, týždne po incidente, dôsledky pre odosielanie pošty a vyhľadávače a náklady na opatrenia, ktoré mali byť splatné už predtým, napríklad migrácia zastaranej verzie PHP.
Dajú sa pokuty alebo náhrada škody vyčísliť vopred?
Nie. Či a v akej výške takéto nároky vzniknú, závisí od konkrétneho prípadu a je to právna otázka. Na posúdenie sú príslušní zodpovedný pracovník pre ochranu údajov a právnik; táto stránka nie je právne poradenstvo.