Uśrednienie różnorodności – metodologia badania

Poważna luka w systemach bezpieczeństwa IT naraża firmy na wiele problemów. Ze względu na różnorodność szkód czasami same ofiary mają kłopot z oszacowaniem całkowitego kosztu incydentu. Metody zastosowane w badaniu Kaspersky Lab wykorzystują dane z poprzednich lat w celu wskazania obszarów, w których firmy ponoszą wydatki w następstwie incydentu naruszenia bezpieczeństwa lub tracą pieniądze na skutek takiego zdarzenia. Zwykle firmy muszą przeznaczyć więcej pieniędzy na usługi specjalistów (takich jak zewnętrzni eksperci IT, prawnicy, konsultanci itd.) i uzyskują niższe przychody z powodu utraconych możliwości biznesowych i przestoju w pracy.

Oprócz rozmiaru firmy pod uwagę wzięto prawdopodobieństwo wystąpienia poszczególnych konsekwencji. Podobną metodę zastosowano w celu oszacowania wydatków pośrednich - budżetu przeznaczanego przez firmy po usunięciu szkód, który ma związek z incydentem naruszenia bezpieczeństwa. Dlatego oprócz wymienionych wyżej kwot firmy wydają zwykle od 8 000 dolarów (małe i średnie) do 69 000 dolarów (przedsiębiorstwa) na zatrudnienie personelu, szkolenia i uaktualnienie infrastruktury.

Średnia wysokość strat przedsiębiorstwa, które padło ofiarą incydentu naruszenia bezpieczeństwa

• Usługi profesjonalistów (IT, zarządzanie ryzykiem, prawnicy): do 84 tysięcy dolarów przy prawdopodobieństwie na poziomie 88%.

• Utracone możliwości biznesowe: do 203 tysięcy dolarów, 29%.

• Przestój w pracy: do 14 milionów dolarów, 30%.

• Całkowity średni koszt: 551 000 dolarów, w tym szkody na reputacji: do 204 750 dolarów.

• Wydatki pośrednie: do 69 tysięcy dolarów.

Małe i średnie firmy a korporacje: różne koszty związane z cyberzagrożeniami

Dziewięć na dziesięć firm, które wzięły udział w badaniu, zgłosiło co najmniej jeden incydent naruszenia bezpieczeństwa. Jednak nie wszystkie takie zdarzenia są poważne i/lub prowadzą do utraty poufnych danych. Poważny incydent naruszenia bezpieczeństwa jest najczęściej wynikiem ataku z wykorzystaniem szkodliwego oprogramowania, phishingu, wycieku danych z winy pracowników czy korzystania z nieaktualnego (niezałatanego) oprogramowania. Szacunek kosztów rzuca nowe światło na to, jak poważne konsekwencje mogą mieć incydenty naruszenia bezpieczeństwa IT, przy czym są one nieco inne w przypadku małych i średnich firm oraz przedsiębiorstw.

Duże firmy ponoszą znacznie większe koszty, gdy incydent naruszenia bezpieczeństwa jest wynikiem zaniedbania zaufanej osoby trzeciej. Inne kosztowne rodzaje incydentów obejmują oszustwa popełniane przez pracowników, cyberszpiegostwo oraz włamania do sieci.

Małe i średnie przedsiębiorstwa zwykle tracą ogromną ilość pieniędzy na skutek niemal wszystkich rodzajów incydentów, płacąc równie wysoką cenę za odzyskanie sprawności po aktach szpiegostwa oraz atakach phishingowych czy DDoS.

- Na rynku brakuje raportów dotyczących konsekwencji incydentów naruszenia bezpieczeństwa IT szacujących realne straty. Zaproponowanie niezawodnej metody obliczenia wartości średnich jest trudne, jednak było to konieczne w celu połączenia teorii dotyczącej krajobrazu zagrożeń korporacyjnych z praktyką biznesową. Dlatego stworzyliśmy listę zagrożeń korporacyjnych, które powodują najpoważniejsze szkody - takie, na które firmy muszą według nas zwracać największą uwagę - powiedział Brian Burke, szef zespołu odpowiedzialnego za rozpoznawanie rynku, Kaspersky Lab.

Badanie zostało przeprowadzone w 2015 r. i objęło ponad 5 500 firm z 26 państw na całym świecie. Pełne wyniki dostępne są na stronie Kaspersky Lab.

Czytaj także: Ponad 70% firm naraża się na ataki, zaniedbując aktualizowanie oprogramowania