Как да изчислите загубите от нарушения на сигурността за вашия бизнес

 

Пробивът може да стане финансово тежък много преди застрахователят да изплати претенция или нападателят да бъде напълно отстранен от мрежата. За да разберат как да оценят загубите от инцидент, бизнес лидерите трябва да отчетат пълния финансов ефект: реакцията при инцидента, прекъснатите операции, юридическите задължения, въздействието върху клиентите, дейностите по възстановяване и разходите за бъдещи мерки за защита.

Целта не е да се създаде фалшиво усещане за прецизност. Полезната оценка на загубите от пробив дава на ръководството защитим диапазон на експозиция, показва кои загуби организацията може да задържи и очертава къде контроли за киберсигурност и киберзастраховка трябва да работят заедно.

Започнете със сценария за пробив, не с генерична средна стойност

Публикуваните средни стойности за разходите при пробив могат да бъдат полезен контекст, но не представляват модел за планиране. Малка фирма за професионални услуги, производствена компания със системи за продукция и онлайн търговец могат да понесат напълно различни загуби от един и същ тип атака.

Започнете със сценарии, които са най‑релевантни за вашите операции. За много организации това включва рансъмуер, който засяга критични системи; компрометиране на бизнес имейл, което води до измамни плащания; неоторизиран достъп до клиентски данни; компрометиране на облачен акаунт; или инцидент, свързан с доставчик. Всеки сценарий създава различна времева линия, различни изисквания за реакция и различен профил на загубите.

За всеки сценарий документирайте три променливи: засегнатите активи, вероятната продължителност на прекъсването и данните или третите страни, които участват. Рансъмуер, който спира обработката на поръчки за пет дни, може да създаде по‑голяма финансова загуба от ограничено изтичане на данни, което е бързо овладяно. Обратно, пробив, включващ регулирани лични, здравни, платежни или поверителни клиентски данни, може да доведе до значителни разходи за уведомяване и отговорност, дори ако операциите продължат.

Използвайте реалистични предположения. Попитайте какво реално би спряло, ако основен сървър, облачна платформа, парк от крайни точки или имейл средата станат недостъпни. Идентифицирайте ръчните обходни процеси, зависимостите от доставчици, договорните ангажименти за услуги и системите, необходими за фактуриране или получаване на плащания.

Как да оцените загубите от пробив през директните разходи

Директните разходи са онези, които се появяват скоро след откриването на инцидента. Те често са по‑лесни за идентифициране, защото могат да бъдат обвързани с фактури, записи за заплати и документирани дейности по реакция. Въпреки това организациите често подценяват времето, необходимо за разследване, овладяване и възстановяване след пробив.

Започнете с реакцията при инцидент и форензичното разследване. Това може да включва външни специалисти по киберсигурност, юридически консултации, анализ на зловреден код, преглед на логове, съхранение на доказателства и работа по определяне кои данни са били достъпени или ексфилтрирани. Разходите зависят от сложността на средата, качеството на наличните логове и дали инцидентът се е разпространил в множество системи.

След това включете овладяването и възстановяването. Изчислете извънредния труд за IT персонала, подмяна на хардуер, спешни лицензи за софтуер, възстановяване на данни, преинсталации, нулиране на идентичности, ремедиация на крайни точки и тестове за валидиране преди системите да се върнат в продукция. Ако компанията има непълни резервни копия или недокументирана инфраструктура, разходите за възстановяване и продължителността на прекъсването могат да нараснат рязко.

При пробив на данни добавете разходите за уведомяване и поддръжка на засегнатите лица. В зависимост от приложимите закони и договори това може да включва изпращане на уведомления, поддръжка чрез кол център, кредитен или идентификационен мониторинг, регулаторно докладване и комуникационни услуги. Юридическият екип трябва да насочва обхвата на уведомяването, особено когато субектите на данните, регулаторите или клиентите се намират в повече от една юрисдикция.

Директните разходи могат да включват и кризисни комуникации и PR поддръжка. Тези услуги не са необходими при всеки инцидент, но могат да бъдат критични, когато събитието засяга голяма клиентска база, привлича медийно внимание или прекъсва публична услуга.

Измервайте прекъсването на бизнеса в оперативни, не в счетоводни термини

Прекъсването на бизнеса често е най‑значимата загуба при пробив, особено за организации, които разчитат на технологии, за да предоставят услуги, обработват поръчки, управляват операции или комуникират с клиенти. То трябва да се измерва чрез оперативни данни, а не чрез приблизителни изчисления на база годишни приходи.

Практичната отправна точка е да изчислите загубения нетен доход по време на прекъсването. Използвайте средните дневни приходи, след което коригирайте за разходите, които не са направени поради спирането на операциите. Ако бизнесът генерира 50 000 долара дневни приходи, но избягва 20 000 долара променливи разходи за изпълнение по време на прекъсването, първоначалната оценка за загубен доход е по‑близо до 30 000 долара на ден, преди да бъдат добавени допълнителните разходи.

След това добавете допълнителните разходи. Това включва временен персонал, ръчна обработка, алтернативни помещения, ускорени доставки, спешно оборудване, външен капацитет и извънреден труд, необходим за поддържане на услугата или за намаляване на продължителността на прекъсването. Допълнителните разходи могат да бъдат икономически оправдани, ако изразходването на 25 000 долара намалява прогнозирана загуба от 150 000 долара.

Не ограничавайте изчислението само до дните, в които системите са офлайн. Възстановяването обикновено продължава и след като системите са върнати в продукция. Служителите може да трябва да въведат повторно поръчки, да съгласуват записи, да отговорят на забавени клиентски заявки, да коригират грешки в данните и да обработят натрупан обем работа. В производствена, логистична, здравна или сервизна среда този „опашен“ период на възстановяване може да бъде съществен.

Използвайте няколко допускания за продължителността на прекъсването

Един‑единствен сценарий за продължителността на прекъсването може да заблуди ръководството. Изградете поне три случая: кратко прекъсване, което се овладява бързо; сериозен инцидент, изискващ възстановяване от резервни копия; и тежък сценарий, включващ широкообхватни преинсталации, ексфилтрация на данни или продължително прекъсване при трета страна.

За всеки случай изчислете загубата на ден и я умножете по очаквания период на прекъсване. Така се създава диапазон, който подпомага бюджетиране и разговорите за лимити на застраховката, без да се предполага, че всеки инцидент следва един и същ модел.

Отчетете отговорността, регулаторната експозиция и договорните задължения

Пробивът може да създаде разходи, които излизат извън собствените операции на организацията. Трети страни могат да твърдят, че пропуск в сигурността им е причинил финансови щети, разкрил е поверителна информация или им е попречил да изпълнят свои задължения.

Прегледайте договорите с клиенти, споразуменията с доставчици и ангажиментите за професионални услуги. Потърсете клаузи за обезщетение, изисквания за защита на данните, ангажименти за ниво на услуга и задължения за покриване на уведомления или разследвания. Технологичен доставчик, например, може да се сблъска с претенции от клиент след отказ на система или неоторизирано разкриване, което засяга операциите на този клиент.

Регулаторната експозиция зависи от вида данни, местоположението и индустрията на организацията. Потенциалните разходи могат да включват юридическа защита, регулаторни разследвания, споразумения, санкции — когато са застрахователно допустими — и задължителни корективни действия. Сумата не винаги може да бъде предвидена точно, затова използвайте диапазон, базиран на обема и чувствителността на записите, приложимите задължения и предишното състояние на съответствие.

Инцидентите с платежни карти могат да създадат отделна категория разходи, включително форензични изисквания, такси от картовите брандове, разходи за подмяна и договорни претенции. Компаниите, които обработват плащания, трябва да моделират тази експозиция отделно, вместо да я включват в обща оценка за пробив на данни.

Включвайте дългосрочния търговски ефект внимателно

Отлив на клиенти, забавени продажби, загубени сделки и репутационни щети са реални рискове, но са по‑трудни за доказване от фактури и разходни отчети. Те не бива да се игнорират, но и не бива да се завишават без доказателства.

Оценявайте търговския ефект чрез измерими сигнали. Сравнете процентите на подновяване, прекратените договори, конверсията в търговската фуния, средната продължителност на продажбения цикъл и обема на клиентските запитвания преди и след инцидента. За бизнес с ограничен брой високостойностни клиенти загубата на един ключов акаунт може да бъде по‑значима от широкото публично внимание.

Помислете за разходите за допълнителна сигурност, които клиентите изискват след пробив. Те могат да настояват за допълнителни одити, въпросници за сигурност, изменения в договорите, тестове за проникване или доказателства за подобрени контроли, преди да продължат взаимоотношението. Тези разходи са част от възстановяването на търговското доверие и трябва да бъдат включени в модела за загуби.

Създайте работен лист за загуби от пробив, който ръководството може да използва

Полезният модел разделя загубите в ясни категории и ги прилага последователно към всеки сценарий. Общата оценка може да бъде изразена така:

Обща загуба от пробив = разходи за реакция и възстановяване + прекъсване на бизнеса + допълнителни разходи + разходи за уведомяване и юридическа защита + отговорност към трети страни + регулаторна експозиция + търговско въздействие – възстановявания

Възстановяванията могат да включват постъпления от киберзастраховка, възстановени средства от измамни трансфери, обезщетение от доставчик или други договорни компенсации. Третирайте възстановяванията отделно от брутната загуба. Това разграничение помага на ръководството да разбере както общата икономическа щета, така и нетната експозиция, която организацията задържа.

За всяка категория документирайте допускането, източника на данни, ниска оценка, вероятна оценка и висока оценка. Например, допускането за дневно загубен доход трябва да бъде обвързано с финансови отчети; часовете за IT възстановяване — със staffing и инвентар на системите; а разходите за уведомяване — с броя на потенциално засегнатите записи.

Този подход разкрива и пропуски в наличната информация. Ако организацията не може да идентифицира кои системи поддържат критични процеси, да оцени времена за възстановяване или да определи къде се съхраняват чувствителни данни, това са проблеми в управлението на риска, които трябва да бъдат адресирани преди да настъпи пробив.

Свържете оценката на загубите с контролите и застраховката

Оценяването на загубите не е само застрахователно упражнение. То помага да се приоритизират техническите мерки, като показва кои контроли намаляват най‑скъпите последствия. Надеждните резервни копия, endpoint detection and response, многофакторната автентикация, сегментацията на мрежата, мониторингът на облачната среда, тестваните процедури за реакция при инциденти и обучението на служителите могат да намалят честотата, продължителността или тежестта на инцидента.

Застраховката трябва да се оценява спрямо сценариите, които остават след внедряването на разумни контроли. Прегледайте лимитите, франшизите или самоучастието, периодите на изчакване при прекъсване на бизнеса, сублимитите, изключенията, одобрените доставчици за реакция при инциденти и изискванията за покритие при измамни трансфери. Формулировката на покритието е толкова важна, колкото и headline лимитът.

Полицата може да предостави ценна подкрепа за форензична реакция, юридически консултации, уведомяване, отговорност и прекъсване на бизнеса, но тя не заменя подготовката. Застрахователите също очакват организациите да поддържат базови контроли. Несъответствие между декларираните практики за сигурност и реалните практики може да усложни андеррайтинга и претенциите.

InsureCyberSec помага на организациите да разгледат тези технически и финансови експозиции заедно, така че инвестициите в сигурност и решенията за застраховка да подкрепят едни и същи цели за непрекъснатост.

Добре поддържаният модел за загуби от пробив трябва да се преглежда, когато бизнесът добавя нови системи, навлиза на нови пазари, променя практиките си за данни, подписва по‑големи договори с клиенти или приема нов облачен или платежен доставчик. Най‑полезното число не е това, което изглежда прецизно на слайд. То е числото, което помага на организацията да реши какво да защити, какво да застрахова и какво може да си позволи да загуби.

Често задавни въпроси

1. Защо е важно да изчисляваме загубите от пробив?

За да имаме реалистичен диапазон на експозиция, да знаем какво можем да понесем и къде трябва да се комбинират контроли и застраховка.

2. Защо не трябва да разчитаме на средни стойности от доклади?

Защото различните бизнеси имат различни сценарии, системи, данни и зависимости.

3. Как да започнем оценката?

Със сценарии: рансъмуер, BEC, cloud compromise, vendor breach.

4. Какви директни разходи трябва да включим?

Форенсика, правни разходи, containment, възстановяване, хардуер, лицензиране, identity reset, тестове, уведомяване.

5. Как да измерим бизнес прекъсването?

Чрез нетен загубен доход, не чрез брутни приходи. Включва и допълнителни разходи за временно поддържане на операции.

Автор: Мирослав Султанов
LinkedIn: https://www.linkedin.com/in/miroslav-sultanov-29b3b8232/