Cyberangreb – hvad koster det din forretning, hvis det sker for dig?
I min rolle som business case ekspert, så får jeg tit spørgsmålet ”Hvad er business casen for (indsæt selv et emne her)”. Alt har været i spil her; lige fra en lægtehammer og vildtmarksbade over marsvin og el-ladcykler. Fantasien vil ingen ende tage. Mere relevante emner i et forretningsperspektiv er dog, hvad business casen er for CRM, IoT, Blockchain etc.
Senest pga. debatten omkring cybertruslen er spørgsmålet; hvad business casen er i forbindelse med cybertruslen? Det talte jeg med en ven af huset, Mogens Nørgaard, om. Han slår netop på tromme for den øget risiko for cyberangreb. Samme tema behandles i en nylig artikel i Version2.
Mit umiddelbare svar ligger i skuffen med business casen for gement tyveri. Her er risikoelementerne ved en hacking:
• Omkostninger til generhvervelse af stjålne ejendele
• Omkostninger/tid, der skal bruges på genetablering/generhvervelse
• Tab af potentielle indtægter dels pga. produktionsudstyr er utilgængelig og dels pga. virksomhedshemmeligheder er blevet kompromitteret, og nu bruges af en konkurrent
• Repressalier/krav i relation til følsomme data, som er kommet i tredje mands hænder
• Image-tab i forbindelse med kompromittering
Alt sammen ganget med en sandsynlighed for det sker.
Den reelle trussel
Nuvel – nu skal vi tættere på cyber end indbo. For det er en meget seriøs trussel. Hvis det står til trone – alt det, som Mogens fremfører i disse tider (og der plejer at være bundtræk i det, han siger), så er vi i den grad under angreb. Og langt størsteparten er fra Kina.
Mogens sammenligner det med, at vores hjem er uden døre og vinduer. Alle kan komme og gå. Jeg tænker, at man også kan sammenligne det med, at vi har fået installeret en dør med lås, men Kina (som et eksempel) har hovednøglen og kan komme ind, når de har lyst. Så vi skal gøre noget mere for at sikre os mod gement tyveri.
Dvs. den sandsynlighed, som jeg talte om, er tæt på 100%. Maersk er ikke et enestående tilfælde, heller ikke den tyske regering eller et hotel mistede data. Det er nok også derfor Norge ikke har tillid til Huawei og vores egen Forsvarsminister får en række spørgsmål.
Senest er det aktualiseret ved regeringens tiltag omkring CsCF.
Omkostninger til generhvervelse af stjålne ejendele
Fra hjemmet ved vi alle, at hvis der har været indbrud, så skal vi i gang med købe nyt. Man kan lige høre ejendomsmægler Jeppe K sige: ”Nyt, nyt, nyt”.
Men nyt er ikke altid fedt. Vi kender alle til eksemplet med, at en harddisk bliver låst eller stjålet af 3. mand, som vil have penge for at låse den op. I værste fald skal vi ud og købe en ny, men det genskaber jo ikke indholdet af den gamle. Specielt hvis der ikke er taget backup af børnebillederne de sidste ti år eller taget backup af ens produktionsopsætning, så kan man ikke genskabe sit produktionsapparat.
Omkostninger/tid brugt på genetablering/generhvervelse
Fra et indbrud ved vi, at vi skal i gang med at samle glasskår op fra den ødelagte terrassedør, som de brugte til at komme ind i huset, rejse de væltede møbler etc.
På helt samme måde, så skal man indregne tiden og evt. køb af leverandør til genetablering/generhvervelse af ens ødelagte IT. Det kender vi alt for godt. Vi skal bruge en del tid på at etablere os igen.
Kan I med sikkerhed sige, at I har en plan for total disaster-recovery? Ved I, hvor længe der vil gå fra jeres produktionssystem/-miljø er smadret til ukendelighed til det er oppe at køre igen?
Rigtig mange af jer ved det ikke. Og mange af jer ved ikke, hvordan man skal genetablere det. Og det koster dyrt!
Tab af potentielle indtægter dels pga. produktionsudstyr er utilgængelig og dels pga. virksomhedshemmeligheder er blevet kompromitteret og nu bruges af en konkurrent
Jeg har tidligere skrevet en blog på businesscase.dk om, hvad det koster. Den var også skrevet i relation til Black Friday – men den er lige så aktuel alle andre dage af året. Den havde den mundrette titel ”Det er nederen at være nede – og det koster” – dels er der et tab i selve nedetiden, men der kan også være et varigt tab, da kunderne har søgt et andet sted hen.
Der er en fin lille model, som også er gengivet i min seneste bog.
Et er at være ”nede” et andet er, at ens forretningsmodel er blevet kopieret. Her har kineserne været på spil før. De har i flere omgange planket et eller andet fra os i vesten, produceret og solgt det. Derefter har kineserne lært det, de skal lære og kan selv. Huaweis net er et eksempel, da det oprindeligt skulle være planket fra Cisco. Jeg er ret sikker på, at Cisco piber lidt i denne tid – for ikke at nævne US regering, som angiveligvis også havde en hovednøgle, som kineserne nu har.
Repressalier/krav i relation til at følsomme data er kommet i tredje mands hænder
Nu kommer vi så til det, som er lidt mere kildent, at man mister fortrolig information. Hvad koster det?
Ud over en kæmpe dummebøde af den store størrelse, så kommer det meget an på, hvilken branche man er i. Dog virker det til, at virksomhederne ikke betaler for, at tabt personlig data kommer i andre folks hænder. Hvis det sker, bliver det gemt godt.
Image-tab i forbindelse med kompromittering.
Det tabte ansigt er svær at sætte et beløb på, men alligevel kan det godt lade sig gøre. Stil jer det spørgsmål, hvor mange kunder vil I tabe, hvis kunderne mistede tillid til, at I har en stabil forretning – dvs. en forretning, der ikke kan modstå cyberangreb? Det kan få både personlige konsekvenser og konsekvenser for den organisation, man arbejder for. Så det har man ikke lyst til, hvis man er en nogenlunde velfungerende ansvarlig person.
Det her handler alene om risikovillighed – eller dumhed vil nogle påstå. For ”rigtige mænd” tager ikke backup, de græder bare meget mere end dem, som gør.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
