De reelle omkostninger ved cybersikkerhed for virksomheder

Informatic Digital » Recursos » De reelle omkostninger ved cybersikkerhed for virksomheder

At tale om de reelle omkostninger ved cybersikkerhed handler ikke længere kun om antiviruslicenser eller at hyre en IT-specialist til at hjælpe, når noget går galt. I dag overstiger de penge, en virksomhed risikerer i en alvorlig sikkerhedshændelse, langt enhver rimelig investering i beskyttelse , og data fra forsikringsselskaber, konsulentfirmaer og offentlige institutioner gør dette ret tydeligt.

Selvom omfanget og sofistikeringen af ​​cyberangreb stiger voldsomt, er mange virksomheder fortsat underbeskyttede med stramme budgetter, fragmenterede foranstaltninger og en "det sker ikke for mig"-mentalitet, der, når den første hændelse indtræffer, viser sig at være meget omkostningsfuld. Fra store industri- og energikoncerner til lokale SMV'er bliver uoverensstemmelsen mellem den påtagne risiko og de penge, der rent faktisk afsættes til at afbøde den, stadig mere tydelig.

De direkte omkostninger ved cyberhændelser: skræmmende tal

Når man analyserer cyberforsikringskrav i stor skala, bliver det tydeligt, at databrud og informationslækager er den hyppigste type hændelse og desuden den, der i sidste ende genererer de største økonomiske tab. Vi taler om sager, der spænder fra en håndfuld berørte individer til hændelser, der påvirker mere end en million kunder, med alt hvad dette indebærer af underretninger, krisehåndtering, juridisk repræsentation, bøder og omdømmeskade.

En global undersøgelse baseret på 4.650 forsikringskrav i næsten 90 lande over et årti anslår de gennemsnitlige omkostninger ved et cyberangreb til omkring 2,4 millioner dollars pr. hændelse. Når problemet involverer et massivt databrud, stiger virkningen yderligere: de gennemsnitlige omkostninger ved et databrud er omkring 3,9 millioner dollars, inklusive tekniske, juridiske, operationelle og omdømmemæssige omkostninger.

Derudover er virkningen af ​​"større hændelser" enorm: kun 4% af hændelserne overstiger 10 millioner dollars, men denne lille gruppe tegner sig for cirka 91% af de samlede registrerede tab. I yderste konsekvens har nogle krav nået svimlende tal på helt op til 331 millioner dollars, hvilket illustrerer det ødelæggende potentiale af et velmålrettet angreb på en meget udsat organisation.

En faktor, der dukker op igen og igen, er manglen på tilstrækkelige sikkerhedsforanstaltninger . Omkring en fjerdedel af de analyserede tab stammer fra dårlig beskyttelse: uopdaterede systemer , svag adgangskontrol, manglende leverandørtilsyn eller mangel på reaktions- og genopretningsplaner, der muliggør en hurtig tilbagevenden til driften.

Hovedårsager til tab: tredjeparter, menneskelige fejl og ransomware

Når man ser på oprindelsen af ​​mange af disse hændelser, bliver det tydeligt, at en betydelig del af tabene fra databrud er knyttet til leverandører og tredjeparter . Cirka halvdelen af ​​disse hændelser stammer fra fejl eller angreb, der påvirker partnere, der opbevarer eller behandler kunde- og medarbejderdata. Dette nødvendiggør en grundig og regelmæssig cybersikkerhedsgennemgang i hele forsyningskæden, ikke kun inden for selve organisationen.

Menneskelige fejl er fortsat en klassisk synder. Omkring 24 % af tabene forbundet med databrud er relateret til uagtsomhed eller dårlig praksis fra medarbejderes eller partneres side: at klikke på links i phishing-e-mails, besvare svigagtige beskeder, sende følsomme dokumenter til den forkerte modtager eller dele legitimationsoplysninger uden tilstrækkelige forholdsregler. Et godt onboarding- og træningsprogram reducerer disse risici betydeligt.

I mellemtiden fortsætter ransomware -angreb deres opadgående tendens. Denne type malware krypterer eller låser systemer og data og kræver en løsesum til gengæld for at genoprette adgangen. I mange tilfælde kombineres det med datatyveri og offentliggørelse for at øge presset. Modellen er blevet så sofistikeret, at operatører er dukket op og tilbyder ransomware-as-a-service , hvor de leverer kits, infrastruktur og support til andre kriminelle til gengæld for en procentdel af løsesummen.

Dette scenarie gør det afgørende at have en veludformet, testet og opdateret plan for forretningskontinuitet og genopretning : robuste og isolerede sikkerhedskopier, klare procedurer for isolering af kompromitterede systemer, koordineret intern og ekstern kommunikation og frem for alt regelmæssige øvelser for at undgå improvisation, når virksomheden er under angreb.

Forskellen mellem risiko og budget inden for cybersikkerhed

Mens angribere forfiner deres værktøjer og metoder, holder udgifterne til beskyttelse ikke altid trit. I markeder som Spanien tyder nylige estimater på, at omkostningerne ved cyberkriminalitet kan stige med op til 148 % inden 2028 og nå op på omkring 69.000 milliarder euro. Budgettet, der er afsat til cybersikkerhed, vokser dog med en årlig rate på lige under 6 %, hvilket skaber en stadig mere bekymrende kløft mellem omfanget af den påtagne risiko og niveauet af det faktiske forsvar.

Denne situation er særligt kritisk i strategiske sektorer , hvor en afbrydelse af aktiviteten ikke blot genererer økonomiske tab, men også påvirker et lands sikkerhed, forsyning og essentielle tjenester. I det sidste år tegnede fremstillingsindustrien sig for cirka en fjerdedel af de registrerede angreb, efterfulgt af energi- og forsyningssektoren samt transportsektoren, som også led under en betydelig procentdel af hændelserne.

Højprofilerede sager som cyberangrebet på en stor britisk bilproducent, der betragtes som en af ​​de dyreste i landet, gør det klart, at en enkelt hændelse kan lamme produktionen, forstyrre forsyningskæder, skade omdømmet og føre til erstatningskrav på flere millioner dollars.

Trods disse udsigter udviser mange organisationer stadig lav modenhed inden for cybersikkerhed. Nylige rapporter viser, at kun en lille del af virksomhederne, omkring 2%, har implementeret en omfattende strategi for cyberrobusthed – det vil sige en holistisk tilgang, der ikke kun forsøger at forhindre angreb, men også at modstå dem og komme sig hurtigt og kontrolleret efter dem.

Den gode nyhed er, at et stort flertal af ledere nu erkender behovet for at styrke dette område. Mere end tre fjerdedele af virksomhederne forventer at øge deres cybersikkerhedsbudgetter på kort sigt, og et betydeligt antal planlægger tocifrede stigninger, vel vidende at fortsat udsættelse af disse investeringer kun gør de fremtidige omkostninger højere.

Digitalisering, konnektivitet og en ny angrebsflade

Digital transformation har revolutioneret arbejdspraksis i så forskellige sektorer som redningstjenester, logistik, infrastrukturvedligeholdelse og forsvar. Forbundne mobile og bærbare enheder giver adgang til information i realtid, optimerer ruter, koordinerer teams og reducerer nedetid. Denne samme forbindelse udvider dog også spillefeltet for angribere . Digital transformation kræver specifikke foranstaltninger for at undgå at mangedoble risikoen.

I fjerntliggende eller feltbaserede miljøer, hvor direkte IT-teamets tilsyn er begrænset eller ikke-eksisterende, mangedobles risiciene: uautoriseret adgang til virksomhedssystemer, tab eller tyveri af enheder, der indeholder følsomme data, forbindelser til usikrede trådløse netværk og brug af ukontrollerede applikationer. Alt dette skaber et perfekt scenarie for, at et tilsyneladende mindre sikkerhedsbrud kan eskalere til et alvorligt problem.

Robuste enheder (bærbare bærbare computere og tablets), der anvendes i disse sektorer, er designet til at fungere under ekstreme forhold og tilbyde avanceret forbindelse, uanset om det er 4G LTE eller 5G, selv i isolerede områder. Øget forbindelse uden en ordentlig sikkerhedsstrategi er dog en opskrift på katastrofe: flere adgangspunkter, flere enheder at opdatere og flere identiteter at administrere.

For at afbøde disse risici giver en flerlags, endpoint-centreret beskyttelsestilgang mening: hardware med forbedrede sikkerhedsfunktioner fra firmwareniveau, operativsystemer konfigureret med standardsikkerhedsprincipper, robuste identitetskontroller (såsom multifaktor-godkendelse), fuld disk- og kommunikationskryptering og overvågningsværktøjer , der muliggør detektion af mistænkelig aktivitet i realtid.

På den baggrund er det tilrådeligt at tilføje yderligere lag, såsom systematisk brug af sikre VPN'er til fjernadgang, strenge politikker for håndtering af software- og firmwareopdateringer (undgå at lade vinduer være åbne for kendte sårbarheder) og hændelsesresponsplaner, der tager højde for den specifikke kontekst for feltarbejdet.

Mål cyberrisiko og prioritér investeringer

En af de største udfordringer for mange virksomheder er at gå fra beslutninger baseret på intuition eller generel frygt til en kvantitativ tilgang til cyberrisikostyring . De fleste ledere er enige om, at måling af cyberrisiko vil være nøglen til at beslutte, hvor der skal allokeres midler, hvilke projekter der skal prioriteres, og hvilke kontroller der er mest omkostningseffektive med hensyn til at reducere eksponering.

Det er dog kun et mindretal af organisationer, der rapporterer, at de allokerer ressourcer på en måde, der er i overensstemmelse med de områder med højest risiko. Blandt de hyppigste hindringer er usikkerhed om truslernes reelle omfang , mangel på pålidelige data, vanskeligheder med at omdanne disse oplysninger til forretningsforståelige målinger og mistillid til tilgængelige kvantificeringsmodeller.

På trods af dette vinder brugen af ​​økonomiske konsekvensanalyser (Financial Impact Assessments) for forskellige typer hændelser frem. Disse løsninger hjælper for eksempel med at estimere, hvor meget et længerevarende udfald af et kritisk system kan koste, eller hvilken indvirkning et massivt databrud hos kunder ville have, afhængigt af sektoren, gældende regler og virksomhedens indsatskapacitet.

Ud over store virksomheder kunne selv SMV'er drage fordel af enklere metoder til at kvantificere dette, om ikke andet for at sammenligne et omtrentligt tal for potentielle tab med de nuværende udgifter til beskyttelse. Denne sammenligning er ofte afslørende og fremhæver, hvor billig det faktisk er at investere i cybersikkerhed sammenlignet med omkostningerne ved en alvorlig hændelse.

I denne sammenhæng kan et tæt samarbejde med forsikringsselskaber og specialiserede mæglere være meget nyttigt. Deling af information om udbydere, teknologiarkitektur og forretningsprocesser muliggør bedre justering af policegrænser, dækning og undtagelser, hvilket reducerer sandsynligheden for ubehagelige overraskelser i tilfælde af en skade.

Hvad der rent faktisk bruges: tilfældet med spanske SMV'er

Hvis vi ser på niveauet for små og mellemstore virksomheder (SMV'er), er realiteten, at investeringerne i cybersikkerhed normalt er meget lave . En nylig undersøgelse baseret på interviews med mere end tusind spanske SMV'er viser, at næsten halvdelen af ​​dem bruger mindre end 500 euro om året på digital sikkerhed, et klart utilstrækkeligt beløb i betragtning af de risici, de står over for.

I det næste segment rapporterer omkring 18 % af SMV'erne, at de afsætter mellem 500 og 2.000 euro årligt, mens kun en lille procentdel overstiger 2.000 euro. Blandt de største hindringer for investeringer er opfattelsen af, at implementeringsomkostningerne er for høje , noget der ofte stammer mere fra manglende forståelse end fra faktiske tal.

Andre barrierer er mere kulturelle eller relateret til opfattelse: en fjerdedel af SMV'erne mener, at der ikke er behov for at gå ud over, hvad de allerede har (selvom det ofte kun er et simpelt antivirusprogram). Derudover er der en følelse af, at cybersikkerhed er for kompleks at administrere , eller at der ikke er kvalificeret personale tilgængeligt, hvilket får mange virksomheder til at undgå at tage springet, på trods af at der findes administrerede løsninger og tjenester, der er skræddersyet til næsten ethvert budget.

Derudover opfatter cirka halvdelen af ​​disse virksomheder europæiske regler om digitalisering som mere en hindring end en hjælp, hvilket tvinger dem til at overholde krav, som de finder vanskelige at opfylde med deres nuværende ressourcer. Paradoksalt nok erkender mange af de samme organisationer, at investeringer i digitalisering og cloudtjenester allerede genererer økonomiske fordele og driftsmæssig effektivitet.

Faktisk rapporterer fire ud af ti SMV'er, at de allerede ser et positivt afkast af digitalisering, og en betydelig procentdel ser cybersikkerhed som en faktor, der kan have en gavnlig indvirkning på deres bundlinje. Problemet er normalt ikke mangel på beviser for værdi, men snarere vanskeligheden ved at omsætte denne værdi til konkrete og bæredygtige budgetbeslutninger.

AI, produktivitet og nye sikkerhedsudfordringer

Et andet relevant aspekt af de reelle omkostninger ved cybersikkerhed er indførelsen af ​​kunstig intelligens-værktøjer . I SMV-sektoren rapporterer lidt over en tredjedel allerede at bruge AI-baserede løsninger, hvor generative assistenter spiller en betydelig rolle i dokumenthåndtering, tekstbehandling, dataanalyse og support til marketing, salg eller kundeservice.

Blandt dem, der er begyndt at bruge disse teknologier, er den primære motivation at øge produktiviteten og effektiviteten : reducere manuelt arbejde, accelerere indholdsgenerering, forbedre kundeservice med chatbots eller lette beslutningstagningen gennem automatiseret analyse. Et betydeligt antal af disse virksomheder planlægger at øge deres investeringer i AI i de kommende måneder.

Blandt SMV'er, der endnu ikke har taget springet, er den største hindring dog normalt ikke de økonomiske omkostninger, som kun en meget lille procentdel angiver som deres primære problem. Det, der vejer tungere, er manglen på en klar use case i deres daglige forretning eller manglende kendskab til de tilgængelige løsninger. Det betyder, at mange organisationer går glip af muligheder for at forbedre deres konkurrenceevne og samtidig styrke deres sikkerhed med AI-baserede værktøjer.

Det er vigtigt at huske, at AI i sig selv også er blevet et våben i angriberes hænder. Automatisk genereret phishing , deepfakes med stemme og video og mere sofistikerede social engineering-angreb hæver barren for at skelne et bedragerisk forsøg fra legitim kommunikation. Dette lægger endnu større pres på virksomheder for at styrke deres AI-sikkerhedsprogrammer og tekniske kontroller.

I denne sammenhæng kan kombinationen af ​​AI til at forbedre processer og trusselsdetektion, sammen med klare politikker for ansvarlig brug af disse værktøjer, være forskellen mellem at opnå effektivitet uden at miste sikkerhed eller utilsigtet at åbne nye sårbarheder i organisationen.

Cyberrisikopolitikkers rolle og deres begrænsninger

Cyberrisikoforsikringer er blevet et vigtigt element i risikostyringsøkosystemet. Generelt dækker denne type forsikring krav i forbindelse med hændelser som phishing med databrud, driftsafbrydelser, ransomware-angreb og andre hændelser relateret til digitale systemer og aktiver.

Skadesanalyser viser, at omkring 94 % af tabene i de fleste databrud er dækket af disse policer, forudsat at hændelsen opfylder de aftalte betingelser. Men når årsagen til problemet ligger hos den forsikrede organisation selv, falder denne procentdel af effektiv dækning til omkring 83 %.

Blandt årsagerne til dækningskonflikter er der især tre, der skiller sig ud: indgivelse af krav efter fristen , manglende aktivering af visse klausuler, der krævede specifikke handlinger fra den forsikrede, og beslutninger truffet af selskabet uden forudgående samtykke fra forsikringsselskabet, hvilket i nogle tilfælde kan ugyldiggøre dele af garantierne.

For at undgå disse situationer er det afgørende, at organisationer fuldt ud forstår præcis, hvad deres police dækker, hvad dens undtagelser er, og hvad deres forpligtelser er i tilfælde af en hændelse. Tidlig og flydende kommunikation med mægleren og forsikringsselskabet, der giver information om kritiske leverandører, følsomme aktiver og kendte sårbarheder, sikrer, at forsikringspolicen virkelig er skræddersyet til virksomhedens eksponering.

Derudover forhindrer integrationen af ​​politikken i en bredere strategi for cybermodstandsdygtighed det fejlagtige indtryk, at forsikring vil løse alt. Finansiel dækning hjælper med at absorbere virkningen, men den hverken forhindrer angreb eller erstatter behovet for robuste procedurer, uddannet personale og passende teknologi.

Den nye cybersikkerhedslov og omkostningerne ved at overholde den

I Europa hæver implementeringen af ​​NIS2-direktivet gennem en ny cybersikkerhedslov barren for forpligtelser for tusindvis af virksomheder, især dem, der opererer i sektorer, der anses for at være kritiske eller essentielle for økonomien og samfundet. I Spanien anslås det, at næsten 6.000 organisationer vil skulle tilpasse sig denne forordning og bære de tilhørende implementeringsomkostninger.

Loven skelner mellem essentielle og vigtige enheder . Essentielle enheder svarer primært til virksomheder i meget kritiske sektorer (energi, transport, bankvæsen, sundhedsvæsen, vandforvaltning, digital infrastruktur, IKT-tjenester til tredjeparter, rumfart eller atomkraftindustrien), der også overstiger visse størrelses- og indtægtstærskler, samt udbydere af betroede tjenester, domæner og offentlige kommunikationsnetværk, blandt andet. Alle andre organisationer, der falder ind under lovens anvendelsesområde, men ikke opfylder essentialitetskravene, betragtes som vigtige enheder.

Omkostningerne ved tilpasning varierer betydeligt afhængigt af udgangspunktet. For store organisationer , der praktisk talt skal opbygge deres cybersikkerhedsinfrastruktur fra bunden, er den gennemsnitlige anslåede investering omkring 180.000 euro. Dem, der allerede har implementeret cirka 27 % af de nødvendige foranstaltninger, kan opleve tilpasningsomkostninger på omkring 131.000 euro.

For essentielle enheder stiger tallene voldsomt: Dem, der starter med et meget lavt implementeringsniveau, kan kræve investeringer på over 2 millioner euro, mens dem, der allerede opfylder omkring halvdelen af ​​kravene, vil have brug for omkring 1,19 millioner euro. Virksomheder, der allerede er reguleret under den tidligere ramme (NIS1), har en meget lavere meromkostning, i omegnen af ​​100.000 euro, for at tilpasse sig de nye krav.

Hvis alle disse bestræbelser kombineres, anslår regeringen, at hele den berørte produktionssektor kan investere omkring 2.250 milliarder euro i at tilpasse sig den nye lov. Dette er et betydeligt tal, men det skal fortolkes i lyset af omkostningerne, både økonomisk og socialt, ved en række alvorlige hændelser i strategiske sektorer uden et fælles minimumsbeskyttelsesniveau.

Nødvendige foranstaltninger: fra risikostyring til sanktioner

Cybersikkerhedsloven går ud over generiske anbefalinger: den forpligter virksomheder inden for dens anvendelsesområde til at vedtage et omfattende sæt af foranstaltninger , lige fra risikostyring til personaleuddannelse. Nøglekrav omfatter udvikling af robuste sikkerhedspolitikker, regelmæssige risikoanalyser, systematisk sårbarhedsstyring og etablering af klare procedurer for håndtering af hændelser.

Behovet for hyppige og pålidelige sikkerhedskopier, mekanismer til katastrofegendannelse og krisestyringsprotokoller for at forhindre sikkerhedshændelser i at lamme driften i dage eller uger understreges også. Forsyningskædens sikkerhed er endnu engang i forgrunden, hvilket tvinger organisationer til at overvåge sikkerheden hos deres leverandører og teknologipartnere.

Et andet vigtigt område er hændelseshåndtering og -rapportering . Virksomheder skal have tjenester, der er i stand til at reagere hurtigt, når de opdager et problem, afbøde dets virkninger og genoprette normalitet så hurtigt som muligt, samt underrette de relevante myndigheder og berørte personer inden for veldefinerede tidsrammer og med klart definerede oplysninger.

Forordningen kræver også udpegelse af en informationssikkerhedsmedarbejder, der skal fungere som intern kontaktperson og forbindelsesled til myndighederne. Den understreger vigtigheden af ​​løbende cybersikkerhedsuddannelse for ledere og medarbejdere, idet den anerkender, at teknologi alene er utilstrækkelig, hvis folk ikke kan identificere og håndtere risici.

For at sikre overholdelse af reglerne er der planlagt certificeringsmekanismer for væsentlige enheder, vejledte selvevalueringer for vigtige enheder og brede beføjelser til tilsynsmyndigheder, som vil kunne udføre revisioner, anmode om oplysninger og pålægge sanktioner. I de mest alvorlige tilfælde kan bøderne nå op til 10 millioner euro, og der overvejes også foranstaltninger som suspension af certificeringer eller midlertidig begrænsning af opgaver for ledende embedsmænd, indtil de identificerede mangler er afhjulpet.

Når man sammenligner de investeringer, der er nødvendige for at styrke sikkerheden, med de potentielle økonomiske, juridiske og omdømmemæssige konsekvenser af en alvorlig hændelse, bliver det ret tydeligt, at det er langt dyrere at vende det blinde øje til . At forstå de sande omkostninger ved cybersikkerhed betyder at erkende, at beskyttelse af systemer, data og processer ikke er en tilfældig udgift, men en kernekomponent i forretningsmodellen. Jo før virksomheder internaliserer dette, jo mindre vil de betale prisen for passivitet, når det næste angreb finder sted.