„Ile kosztuje brak reakcji na incydent?” — to pytanie zadaje sobie wiele firm dopiero wtedy, gdy incydent już trwa. Odpowiedź jest niewygodna: koszt nie jest stały. Rośnie z każdą godziną, w której atakujący działa niezauważony. Poniżej pokazujemy, z czego się składa, jak go oszacować i które działania realnie go ograniczają. Nie podajemy uśrednionych kwot z raportów — dla konkretnej firmy liczą się jej własne procesy, przychody i dane.
Składniki kosztu incydentu
Koszty bezpośrednie
- Przestój — utracona sprzedaż, niewykonane usługi, bezczynni pracownicy.
- Obsługa techniczna — analiza, izolacja, czyszczenie systemów, odtwarzanie danych, praca nadliczbowa zespołu IT i zewnętrznych specjalistów.
- Odtworzenie infrastruktury — nowe licencje, sprzęt, przebudowa środowiska, jeśli kopie zapasowe nie nadają się do użycia.
- Obsługa prawna i komunikacja — analiza obowiązków, powiadomienia, kontakt z klientami i partnerami.
Koszty regulacyjne
- Naruszenie ochrony danych osobowych — obowiązek oceny i ewentualnego zgłoszenia do Prezesa UODO w ciągu 72 godzin oraz powiadomienia osób, których dane dotyczą.
- Obowiązki wynikające z UKSC — podmioty kluczowe i ważne zgłaszają incydenty poważne do CSIRT w terminach opisanych w artykule o zgłaszaniu incydentów. Za naruszenie obowiązków ustawa przewiduje kary pieniężne.
- Wymagania umowne — klienci i partnerzy coraz częściej wpisują do umów obowiązek informowania o incydentach i kary za jego niedopełnienie.
Koszty długoterminowe
- Utrata zaufania i klientów — szczególnie dotkliwa w usługach, w których klient powierza firmie dane.
- Wyższe składki ubezpieczeniowe albo trudniejszy dostęp do ubezpieczenia cyber.
- Koszt zmian po incydencie — wdrożenie zabezpieczeń, których zabrakło, zwykle w trybie pilnym, a więc drożej.
Dlaczego późne wykrycie zwiększa koszty
Typowy atak ransomware nie zaczyna się od szyfrowania. Zanim do niego dojdzie, atakujący zwykle:
- uzyskuje dostęp — np. przez przejęte hasło do VPN albo phishing,
- rozpoznaje sieć i szuka kont z wysokimi uprawnieniami,
- wykrada dane, żeby później szantażować ich ujawnieniem,
- usuwa lub szyfruje kopie zapasowe,
- dopiero na końcu szyfruje systemy.
Każdy z tych etapów to szansa na wykrycie. Jeśli firma zauważy atak na etapie 1 lub 2, koszt ogranicza się zwykle do zablokowania konta, analizy i zmiany haseł. Jeśli dopiero na etapie 5 — dochodzi przestój, odtwarzanie, prawdopodobny wyciek danych i obowiązki zgłoszeniowe. Dlatego czas wykrycia (MTTD) jest jednym z najważniejszych wskaźników bezpieczeństwa — piszemy o nim w artykule Ile trwa wykrycie incydentu i jak skrócić MTTD.
Jak oszacować ryzyko w swojej firmie
Prosty arkusz wystarczy, żeby rozmowa o budżecie bezpieczeństwa opierała się na liczbach, a nie na intuicji:
| Pytanie | Skąd wziąć dane |
|---|---|
| Ile kosztuje godzina przestoju kluczowego procesu? | Przychód lub marża na godzinę, koszt wynagrodzeń, kary umowne |
| Jak długo trwałoby odtworzenie systemów z kopii? | Wynik ostatniego testu odtwarzania — jeśli go nie było, to pierwsza luka |
| Jakie dane osobowe i tajemnice przedsiębiorstwa są przetwarzane? | Rejestr czynności przetwarzania, inwentaryzacja systemów |
| Czy firma podlega UKSC? | Analiza opisana w artykule Kto musi wpisać się do Wykazu KSC |
| Kto wykryje atak w nocy lub w weekend? | Procedury, dyżury, umowy z dostawcami |
Co realnie ogranicza koszty
- Szybkie wykrycie — EDR, zbieranie logów i analiza alertów przez całą dobę, samodzielnie lub przez zewnętrzny SOC.
- Sprawdzone kopie zapasowe — przechowywane poza zasięgiem atakującego i regularnie testowane. Więcej o tym na stronie backup i ciągłość działania.
- MFA i porządek w uprawnieniach — utrudniają pierwszy etap ataku.
- Plan reagowania — kto decyduje, kogo powiadamia, jak izoluje systemy. Plan, który ktoś przećwiczył, skraca pierwsze godziny incydentu, a to one decydują o skali szkód.
- Wsparcie z zewnątrz uzgodnione wcześniej — w trakcie incydentu nie ma czasu na szukanie firmy i negocjowanie umowy. Tak działa nasze reagowanie na incydenty.
Jeśli incydent trwa teraz, zadzwoń: 500-355-246.