Den reelle kostnaden for cybersikkerhet for bedrifter

Informatec Digital » Ressurser » Den reelle kostnaden for cybersikkerhet for bedrifter

Å snakke om den virkelige kostnaden ved cybersikkerhet handler ikke lenger bare om antiviruslisenser eller å ansette en IT-spesialist for å hjelpe til når noe går galt. I dag overstiger pengene et selskap risikerer i en alvorlig sikkerhetshendelse langt enhver rimelig investering i beskyttelse , og data fra forsikringsselskaper, konsulentfirmaer og offentlige etater gjør dette ganske tydelig.

Selv om volumet og sofistikasjonen av cyberangrep skyter i været, er mange selskaper fortsatt underbeskyttet , med stramme budsjetter, stykkevise tiltak og en «det skjer ikke med meg»-mentalitet som, når den første hendelsen inntreffer, viser seg å være svært kostbar. Fra store industri- og energikonsern til lokale små og mellomstore bedrifter blir misforholdet mellom risikoen som tas og pengene som faktisk er bevilget til å redusere den, stadig tydeligere.

De direkte kostnadene ved cyberhendelser: skremmende tall

Når man analyserer cyberforsikringskrav i stor skala, blir det tydelig at datainnbrudd og informasjonslekkasjer er den hyppigste typen hendelse, og dessuten den som til syvende og sist genererer de største økonomiske tapene. Vi snakker om saker som spenner fra en håndfull berørte individer til hendelser som påvirker mer enn en million kunder, med alt dette innebærer av varsler, krisehåndtering, juridisk representasjon, straffer og omdømmeskade.

En global studie basert på 4.650 forsikringskrav i nesten 90 land over et tiår anslår at gjennomsnittskostnaden for et cyberangrep er rundt 2,4 millioner dollar per hendelse. Når problemet involverer et massivt datainnbrudd, øker virkningen ytterligere: gjennomsnittskostnaden for et datainnbrudd er rundt 3,9 millioner dollar, inkludert tekniske, juridiske, driftsmessige og omdømmemessige kostnader.

Videre er virkningen av «store hendelser» enorm: bare 4 % av hendelsene overstiger 10 millioner dollar, men denne lille gruppen står for omtrent 91 % av de totale registrerte tapene. I ytterste konsekvens har noen krav nådd svimlende tall så høye som 331 millioner dollar, noe som illustrerer det ødeleggende potensialet til et godt målrettet angrep på en svært eksponert organisasjon.

En faktor som dukker opp gjentatte ganger er mangelen på tilstrekkelige sikkerhetstiltak . Rundt en fjerdedel av tapene som er analysert, stammer fra dårlig beskyttelse: uoppdaterte systemer , svake tilgangskontroller, manglende leverandørtilsyn eller mangel på respons- og gjenopprettingsplaner som muliggjør rask tilbakeføring til drift.

Hovedårsaker til tap: tredjeparter, menneskelige feil og løsepengevirus

Når man ser på opprinnelsen til mange av disse hendelsene, blir det tydelig at en betydelig del av tapene fra datainnbrudd er knyttet til leverandører og tredjeparter . Omtrent halvparten av disse hendelsene stammer fra feil eller angrep som påvirker partnere som lagrer eller behandler kunde- og ansattdata. Dette nødvendiggjør en grundig og regelmessig gjennomgang av cybersikkerhet i hele forsyningskjeden, ikke bare innad i selve organisasjonen.

Menneskelige feil er fortsatt en klassisk synder. Rundt 24 % av tapene knyttet til datainnbrudd er relatert til uforsiktighet eller dårlig praksis fra ansatte eller partnere: å klikke på lenker i phishing-e-poster, svare på falske meldinger, sende sensitive dokumenter til feil mottaker eller dele legitimasjon uten tilstrekkelige forholdsregler. Et godt onboarding- og opplæringsprogram reduserer disse risikoene betydelig.

I mellomtiden fortsetter ransomware -angrep sin oppadgående trend. Denne typen skadelig programvare krypterer eller låser systemer og data, og krever løsepenger i bytte mot å gjenopprette tilgang. I mange tilfeller kombineres det med datatyveri og publisering for å øke presset. Modellen har blitt så sofistikert at operatører har dukket opp og tilbyr ransomware-som-en-tjeneste , og leverer sett, infrastruktur og støtte til andre kriminelle i bytte mot en prosentandel av løsepengene.

Dette scenariet gjør det viktig å ha en godt utformet, testet og oppdatert plan for forretningskontinuitet og gjenoppretting : robuste og isolerte sikkerhetskopier, klare prosedyrer for å isolere kompromitterte systemer, koordinert intern og ekstern kommunikasjon, og fremfor alt regelmessige øvelser for å unngå improvisasjon når selskapet er under angrep.

Gapet mellom risiko og budsjett innen cybersikkerhet

Selv om angripere forbedrer verktøyene og metodene sine, holder ikke utgiftene til beskyttelse alltid tritt. I markeder som Spania tyder nylige estimater på at kostnadene for nettkriminalitet kan skyte i været med opptil 148 % innen 2028, og nå rundt 69.000 milliarder euro. Budsjettet som er avsatt til nettsikkerhet vokser imidlertid med en årlig rate på rett under 6 %, noe som skaper et stadig mer bekymringsfullt gap mellom volumet av risiko som tas og nivået av faktisk forsvar.

Denne situasjonen er spesielt kritisk i strategiske sektorer , hvor en forstyrrelse av aktiviteten ikke bare genererer økonomiske tap, men også påvirker et lands sikkerhet, forsyning og viktige tjenester. I løpet av det siste året sto produksjonsindustrien for omtrent en fjerdedel av de registrerte angrepene, etterfulgt av energi- og forsyningssektoren, og transport, som også ble rammet av en betydelig andel av hendelsene.

Høyprofilerte saker som cyberangrepet på et stort britisk bilselskap, ansett som et av de mest kostbare i landet, gjør det klart at en enkelt hendelse kan lamme produksjonen, forstyrre forsyningskjeder, skade omdømmet og føre til erstatningskrav på flere millioner dollar.

Til tross for disse utsiktene viser mange organisasjoner fortsatt lav modenhet innen cybersikkerhet. Nyere rapporter indikerer at bare en liten andel av selskapene, rundt 2 %, har implementert en omfattende strategi for cyberrobusthet – det vil si en helhetlig tilnærming som ikke bare forsøker å forhindre angrep, men også å motstå dem og komme seg etter dem raskt og på en kontrollert måte.

Den gode nyheten er at et stort flertall av ledere nå erkjenner behovet for å styrke dette området. Mer enn tre fjerdedeler av selskapene forventer å øke sine cybersikkerhetsbudsjetter på kort sikt, og et betydelig antall planlegger tosifrede økninger, vel vitende om at det å fortsette å utsette disse investeringene bare gjør fremtidige kostnader høyere.

Digitalisering, tilkoblingsmuligheter og en ny angrepsflate

Digital transformasjon har revolusjonert arbeidspraksis i så forskjellige sektorer som nødetater, logistikk, infrastrukturvedlikehold og forsvar. Tilkoblede mobile og bærbare enheter gir tilgang til sanntidsinformasjon, optimaliserer ruter, koordinerer team og reduserer nedetid. Denne samme tilkoblingen utvider imidlertid også spillereglene for angripere . Digital transformasjon krever spesifikke tiltak for å unngå å mangedoble risikoen.

I eksterne miljøer eller feltmiljøer, der direkte tilsyn fra IT-teamet er begrenset eller ikke-eksisterende, mangedobles risikoene: uautorisert tilgang til bedriftssystemer, tap eller tyveri av enheter som inneholder sensitive data, tilkoblinger til usikrede trådløse nettverk og bruk av ukontrollerte applikasjoner. Alt dette skaper et perfekt scenario for at et tilsynelatende mindre sikkerhetsbrudd kan eskalere til et alvorlig problem.

Robuste enheter (bærbare bærbare datamaskiner og nettbrett) som brukes i disse sektorene er designet for å fungere under ekstreme forhold og tilbyr avansert tilkobling, enten det er 4G LTE eller 5G, selv i isolerte områder. Imidlertid er økt tilkobling uten en skikkelig sikkerhetsstrategi en oppskrift på katastrofe: flere inngangspunkter, flere enheter å oppdatere og flere identiteter å administrere.

For å redusere disse risikoene er det fornuftig med en flerlags, endepunktsentrisk beskyttelsestilnærming: maskinvare med forbedrede sikkerhetsfunksjoner fra fastvarenivå, operativsystemer konfigurert med standard sikkerhetsprinsipper, robuste identitetskontroller (som flerfaktorautentisering), full disk- og kommunikasjonskryptering og overvåkingsverktøy som tillater deteksjon av mistenkelig aktivitet i sanntid.

På dette grunnlaget er det tilrådelig å legge til ytterligere lag, som systematisk bruk av sikre VPN-er for ekstern tilgang, strenge retningslinjer for håndtering av programvare- og fastvareoppdateringer (unngå å la vinduer stå åpne for kjente sårbarheter) og hendelsesresponsplaner som tar hensyn til den spesifikke konteksten for feltarbeidet.

Mål cyberrisiko og prioriter investeringer

En av de største utfordringene for mange selskaper er å gå fra beslutninger basert på intuisjon eller generell frykt til en kvantitativ tilnærming til styring av cyberrisiko . De fleste ledere er enige om at måling av cyberrisiko vil være nøkkelen til å bestemme hvor man skal fordele midler, hvilke prosjekter som skal prioriteres og hvilke kontroller som er mest kostnadseffektive når det gjelder å redusere eksponering.

Imidlertid rapporterer bare et mindretall av organisasjoner at de fordeler ressurser på en måte som virkelig er i samsvar med områdene med høyest risiko. Blant de vanligste hindringene er usikkerhet om det virkelige omfanget av trusler , mangel på pålitelige data, vanskeligheter med å transformere denne informasjonen til forretningsforståelige målinger og mistillit til tilgjengelige kvantifiseringsmodeller.

Til tross for dette vinner bruken av økonomiske konsekvensutredninger for ulike typer hendelser stadig mer terreng. Disse løsningene bidrar for eksempel til å estimere hvor mye et langvarig driftsstans i et kritisk system kan koste, eller hvilken innvirkning et massivt datainnbrudd hos kunder vil ha, avhengig av sektor, gjeldende regelverk og selskapets responskapasitet.

Utover store selskaper kan selv små og mellomstore bedrifter dra nytte av enklere tilnærminger for å kvantifisere dette, om ikke annet for å sammenligne et omtrentlig tall for potensielle tap mot dagens utgifter til beskyttelse. Denne sammenligningen er ofte avslørende og fremhever hvor billig det faktisk er å investere i cybersikkerhet sammenlignet med kostnadene ved en alvorlig hendelse.

I denne sammenhengen kan et nært samarbeid med forsikringsselskaper og spesialiserte meglere være svært nyttig. Deling av informasjon om leverandører, teknologiarkitektur og forretningsprosesser muliggjør bedre justering av polisegrenser, dekning og unntak, noe som reduserer sannsynligheten for ubehagelige overraskelser i tilfelle et krav.

Hva som faktisk brukes: tilfellet med spanske små og mellomstore bedrifter

Hvis vi ser på nivået for små og mellomstore bedrifter (SMB-er), er realiteten at investeringene i cybersikkerhet vanligvis er svært lave . En fersk undersøkelse basert på intervjuer med mer enn tusen spanske SMB-er viser at nesten halvparten av dem bruker mindre enn 500 euro i året på digital sikkerhet, et klart utilstrekkelig beløp med tanke på risikoen de står overfor.

I det neste segmentet rapporterer rundt 18 % av små og mellomstore bedrifter at de bevilger mellom 500 og 2.000 euro årlig, mens bare en liten andel overstiger 2.000 euro. Blant de største hindringene for investeringer er oppfatningen om at implementeringskostnadene er for høye , noe som ofte stammer mer fra manglende forståelse enn fra faktiske tall.

Andre barrierer er mer kulturelle eller relatert til oppfatning: en fjerdedel av små og mellomstore bedrifter mener at det ikke er behov for å gå utover det de allerede har (selv om det ofte bare er lite mer enn et grunnleggende antivirusprogram). I tillegg til dette kommer følelsen av at nettsikkerhet er for komplekst å administrere , eller at kvalifisert personell ikke er tilgjengelig, noe som fører til at mange bedrifter unngår å ta steget, til tross for at det finnes administrerte løsninger og tjenester skreddersydd for nesten ethvert budsjett.

Videre oppfatter omtrent halvparten av disse selskapene europeiske forskrifter om digitalisering som mer en hindring enn en hjelp, noe som tvinger dem til å overholde krav de anser som vanskelige å oppfylle med sine nåværende ressurser. Paradoksalt nok erkjenner mange av de samme organisasjonene at investeringer i digitalisering og skytjenester allerede genererer økonomiske fordeler og driftseffektivitet.

Faktisk rapporterer fire av ti små og mellomstore bedrifter at de allerede ser en positiv avkastning på digitalisering, og en betydelig andel ser på nettsikkerhet som en faktor som kan ha en gunstig innvirkning på bunnlinjen. Problemet er vanligvis ikke mangel på bevis på verdi, men snarere vanskeligheten med å oversette denne verdien til konkrete og bærekraftige budsjettbeslutninger.

AI, produktivitet og nye sikkerhetsutfordringer

Et annet relevant aspekt ved den virkelige kostnaden for cybersikkerhet er bruken av verktøy for kunstig intelligens . I SMB-sektoren rapporterer litt over en tredjedel at de allerede bruker AI-baserte løsninger, der generative assistenter spiller en betydelig rolle i dokumenthåndtering, tekstbehandling, dataanalyse og støtte for markedsføring, salg eller kundeservice.

Blant de som har begynt å bruke disse teknologiene, er hovedmotivasjonen å øke produktiviteten og effektiviteten : redusere manuelt arbeid, akselerere innholdsgenerering, forbedre kundeservice med chatboter eller legge til rette for beslutningstaking gjennom automatisert analyse. Et betydelig antall av disse selskapene planlegger å øke investeringene sine i AI i de kommende månedene.

Blant små og mellomstore bedrifter som ennå ikke har tatt spranget, er imidlertid den største hindringen vanligvis ikke de økonomiske kostnadene, som bare en svært liten andel oppgir som sitt primære problem. Det som veier tyngre er mangelen på et tydelig bruksområde i den daglige virksomheten eller manglende bevissthet om tilgjengelige løsninger. Dette betyr at mange organisasjoner går glipp av muligheter til å forbedre sin konkurranseevne og samtidig styrke sikkerheten sin med AI-baserte verktøy.

Det er viktig å huske at AI i seg selv også har blitt et våpen i hendene på angripere. Automatisk generert phishing , deepfakes med tale og video, og mer sofistikerte sosialtekniske angrep hever standarden for å skille et uredelig forsøk fra legitim kommunikasjon. Dette legger enda mer press på selskaper til å styrke sine AI-sikkerhetsprogrammer og tekniske kontroller.

I denne sammenhengen kan kombinasjonen av AI for å forbedre prosesser og trusseldeteksjon, sammen med klare retningslinjer for ansvarlig bruk av disse verktøyene, utgjøre forskjellen mellom å oppnå effektivitet uten å miste sikkerhet, eller utilsiktet å åpne nye sårbarheter i organisasjonen.

Rollen til cyberrisikopolitikker og deres begrensninger

Forsikringer for cyberrisiko har blitt et viktig element i risikostyringsøkosystemet. Generelt sett dekker denne typen forsikring krav knyttet til hendelser som phishing med datainnbrudd, driftsavbrudd, ransomware-angrep og andre hendelser knyttet til digitale systemer og eiendeler.

Skadeanalyser viser at i de fleste datainnbrudd dekkes rundt 94 % av tapene av disse forsikringene, forutsatt at hendelsen oppfyller de avtalte betingelsene. Men når årsaken til problemet ligger hos den forsikrede organisasjonen selv, faller denne prosentandelen av effektiv dekning til rundt 83 %.

Blant årsakene til dekningskonflikter er det spesielt tre som skiller seg ut: innlevering av krav utenfor fristen , manglende aktivering av visse klausuler som krevde spesifikke handlinger fra den forsikrede, og avgjørelser tatt av selskapet uten å innhente forhåndssamtykke fra forsikringsselskapet, noe som i noen tilfeller kan ugyldiggjøre deler av garantiene.

For å unngå disse situasjonene er det avgjørende at organisasjoner forstår nøyaktig hva forsikringen deres dekker, hva unntakene er, og hva deres forpliktelser er i tilfelle en hendelse. Tidlig og smidig kommunikasjon med megleren og forsikringsselskapet, som gir informasjon om kritiske leverandører, sensitive eiendeler og kjente sårbarheter, sikrer at forsikringen virkelig er skreddersydd for selskapets eksponering.

Videre forhindrer det å integrere forsikringen i en bredere strategi for cyberrobusthet det feilaktige inntrykket av at forsikring vil løse alt. Finansiell dekning bidrar til å absorbere virkningen, men den verken forhindrer angrep eller erstatter behovet for robuste prosedyrer, trent personell og passende teknologi.

Den nye cybersikkerhetsloven og kostnadene ved å overholde den

I Europa hever implementeringen av NIS2-direktivet gjennom en ny cybersikkerhetslov standarden for forpliktelser for tusenvis av selskaper, spesielt de som opererer i sektorer som anses som kritiske eller essensielle for økonomien og samfunnet. I Spania anslås det at nesten 6.000 organisasjoner må tilpasse seg denne forskriften og bære de tilhørende implementeringskostnadene.

Loven skiller mellom essensielle og viktige enheter . Essensielle enheter tilsvarer primært selskaper i svært kritiske sektorer (energi, transport, bankvirksomhet, helsevesen, vannforvaltning, digital infrastruktur, IKT-tjenester for tredjeparter, romfart eller kjernekraftindustrien) som også overstiger visse størrelses- og inntektsgrenser, samt leverandører av blant annet pålitelige tjenester, domener og offentlige kommunikasjonsnettverk. Alle andre organisasjoner som faller inn under lovens virkeområde, men som ikke oppfyller essensialitetskravene, anses som viktige enheter.

Kostnaden for tilpasning varierer betydelig avhengig av utgangspunktet. For store organisasjoner som praktisk talt må bygge sin cybersikkerhetsinfrastruktur fra bunnen av, er den gjennomsnittlige estimerte investeringen rundt €180 000. De som allerede har implementert omtrent 27 % av de nødvendige tiltakene, kan oppleve tilpasningskostnader på rundt €131 000.

Når det gjelder essensielle enheter , skyter tallene i været: de som starter med et svært lavt implementeringsnivå kan kreve investeringer på over 2 millioner euro, mens de som allerede oppfyller omtrent halvparten av kravene, vil trenge rundt 1,19 millioner euro. Selskaper som allerede er regulert under det forrige rammeverket (NIS1) har en mye lavere merkostnad, i området 100 000 euro, for å tilpasse seg de nye kravene.

Hvis alle disse tiltakene kombineres, anslår regjeringen at hele den berørte produksjonssektoren kan investere rundt 2.250 milliarder euro i å tilpasse seg den nye loven. Dette er et betydelig tall, men det må tolkes i lys av kostnadene, både økonomisk og sosialt, av en rekke alvorlige hendelser i strategiske sektorer uten et felles minimumsnivå for beskyttelse.

Nødvendige tiltak: fra risikostyring til sanksjoner

Cybersikkerhetsloven går utover generiske anbefalinger: den forplikter selskaper innenfor dens virkeområde til å iverksette et omfattende sett med tiltak , alt fra risikostyring til opplæring av ansatte. Viktige krav inkluderer utvikling av robuste sikkerhetspolicyer, regelmessige risikoanalyser, systematisk sårbarhetshåndtering og etablering av klare prosedyrer for hendelsesrespons.

Behovet for hyppige og pålitelige sikkerhetskopier, mekanismer for gjenoppretting etter katastrofer og krisehåndteringsprotokoller for å forhindre at sikkerhetshendelser lammer driften i dager eller uker blir også understreket. Sikkerhet i forsyningskjeden er nok en gang i forgrunnen, noe som tvinger organisasjoner til å overvåke sikkerheten til sine leverandører og teknologipartnere.

Et annet viktig område er hendelseshåndtering og rapportering . Bedrifter må ha tjenester som er i stand til å reagere raskt når de oppdager et problem, redusere virkningen av det og gjenopprette normalitet så snart som mulig, samt varsle relevante myndigheter og berørte personer innen veldefinerte tidsrammer og med tydelig definert informasjon.

Forskriften krever også at det utnevnes en informasjonssikkerhetsansvarlig som skal fungere som et internt kontaktpunkt og bindeledd til myndighetene. Den forsterker viktigheten av kontinuerlig opplæring i cybersikkerhet for ledere og ansatte, i erkjennelsen av at teknologi alene er utilstrekkelig hvis folk ikke kan identifisere og håndtere risikoer.

For å sikre samsvar er det planlagt sertifiseringsmekanismer for viktige enheter, veiledede selvvurderinger for viktige enheter og brede fullmakter for tilsynsmyndigheter, som vil kunne gjennomføre revisjoner, be om informasjon og ilegge sanksjoner. I de mest alvorlige tilfellene kan bøtene komme opp i 10 millioner euro, og tiltak som suspensjon av sertifiseringer eller midlertidig begrensning av arbeidsoppgaver for ledende tjenestemenn inntil de identifiserte manglene er rettet, vurderes også.

Når man sammenligner investeringstallene som trengs for å styrke sikkerheten med de potensielle økonomiske, juridiske og omdømmemessige konsekvensene av en alvorlig hendelse, blir det ganske tydelig at det å lukke øynene er langt dyrere . Å forstå den sanne kostnaden ved cybersikkerhet betyr å erkjenne at det å beskytte systemer, data og prosesser ikke er en tilfeldig utgift, men en kjernekomponent i forretningsmodellen. Jo før selskaper internaliserer dette, desto mindre vil de betale prisen for passivitet når neste angrep inntreffer.