Cyberangrep kan få store konsekvenser for en virksomhet. Kritiske systemer kan bli utilgjengelige, data kan gå tapt eller komme på avveie, og viktige prosesser kan stoppe opp. Det kan påvirke både økonomi, kunder, ansatte og virksomhetens omdømme.
For å forstå hvor utsatt virksomheten er, må dere kjenne verdiene dere er avhengige av, hvilke digitale risikoer som kan påvirke dem, og hvor alvorlige konsekvensene kan bli.
Det krever også oversikt over sammenhengene i virksomheten. Ett system kan støtte flere kritiske prosesser. Én leverandør kan sitte på data eller tjenester som store deler av organisasjonen er avhengig av. En hendelse som i utgangspunktet virker begrenset, kan derfor få konsekvenser langt utover systemet eller avdelingen som først blir rammet.
En risikovurdering gir denne oversikten og gjør det enklere å prioritere tiltak der de har størst betydning.
Cyberrisiko beskriver risikoen for økonomiske, operative eller andre negative konsekvenser som følge av digitale hendelser.
Det kan for eksempel være:
Konsekvensene kan spre seg til flere deler av virksomheten. Et utilgjengelig system kan hindre ansatte i å utføre oppgavene sine. Tap av data kan påvirke leveranser og kundebehandling. Et sikkerhetsbrudd kan kreve omfattende oppfølging og påvirke tilliten til virksomheten.
Cyberrisiko bør derfor vurderes ut fra hvordan en hendelse kan påvirke virksomhetens mål, drift og forpliktelser.
Det innebærer også å forstå virksomhetens avhengigheter:
Risikoen ligger dermed også i hva som skjer videre dersom en kritisk ressurs blir utilgjengelig.
En god risikovurdering starter med å identifisere hva virksomheten er mest avhengig av.
Det kan være systemer som er nødvendige for den daglige driften, kunde- og personopplysninger, økonomisystemer, produksjonsprosesser, kommunikasjonsverktøy, integrasjoner eller eksterne leverandører.
For å finne de mest kritiske områdene kan dere stille noen konkrete spørsmål:
For noen systemer kan noen timers nedetid være håndterbart. For andre kan det føre til forsinkede leveranser, tapt omsetning eller stans i kritiske arbeidsprosesser.
Leverandøravhengigheter bør også inngå i vurderingen. Virksomheten kan være avhengig av skytjenester, programvareleverandører, betalingsløsninger, IT-drift eller andre tredjeparter.
En hendelse hos en slik leverandør kan påvirke virksomheten selv om egne systemer ikke er direkte angrepet.
Når dere kjenner disse avhengighetene, får dere et tydeligere bilde av hvor virksomheten er mest sårbar og hvor konsekvensene kan bli størst.
Kostnaden ved et cyberangrep avhenger av hvor stor virksomheten er, hvilke systemer som rammes, hvor lenge hendelsen varer og hvor avhengig driften er av systemene som blir utilgjengelige.
Selv en relativt kort driftsstans kan bli kostbar når flere kostnader oppstår samtidig.
Tenk deg en virksomhet med 100 ansatte hvor et sentralt system blir utilgjengelig gjennom én arbeidsdag.
Dersom 50 ansatte blir berørt og den gjennomsnittlige totale personalkostnaden er 600 kroner per arbeidstime, representerer åtte timer med kraftig redusert produktivitet opptil 240 000 kroner i arbeidstid alene.
Samtidig kan virksomheten ha behov for ekstern bistand til å undersøke hendelsen, sikre systemene og gjenopprette normal drift.
Interne IT-ressurser, ledelse, HR, kommunikasjon, juridisk og personvernansvarlige kan måtte legge andre oppgaver til side. Hvis hendelsen varer i flere dager, fortsetter disse kostnadene å bygge seg opp.
Direkte kostnader kan for eksempel være:
Hvis virksomheten normalt omsetter for 500 000 kroner per arbeidsdag, betyr ikke én dag med nedetid nødvendigvis at hele beløpet går tapt.
Noen salg kan gjennomføres senere. Andre kan forsvinne permanent. Produksjon som stopper kan kanskje tas igjen, men det kan kreve overtid, ekspressleveranser eller ekstra kapasitet.
Det er derfor nyttig å beregne hvor stor del av omsetningen som faktisk er avhengig av en bestemt prosess eller et bestemt system.
En nettbutikk som står utilgjengelig i seks timer vil ha et annet tapsbilde enn et internt HR-system som er nede like lenge.
Tap av data kan skape ytterligere kostnader.
Dersom ansatte må rekonstruere ordre, dokumentasjon, kundeinformasjon eller annet arbeid fra de siste dagene, fortsetter kostnadene etter at systemene er tilbake.
Ti ansatte som bruker to arbeidsdager på å gjenskape tapt arbeid, tilsvarer 160 arbeidstimer. Med en personalkostnad på 600 kroner per time er det ytterligere 96 000 kroner før eventuelle konsekvenser for kunder og leveranser er tatt med.
Det samme gjelder etterslepet som kan oppstå under nedetiden. Ordre skal behandles, kundehenvendelser besvares, fakturaer sendes og utsatte leveranser gjennomføres.
Normal teknisk drift betyr derfor ikke nødvendigvis at virksomheten umiddelbart er tilbake i normal produksjon.
En hendelse kan også binde opp nøkkelpersoner over tid. Dersom ti ledere og spesialister i gjennomsnitt bruker 20 timer hver på hendelseshåndtering, møter, dokumentasjon og oppfølging, utgjør det 200 timer som ellers ville vært brukt på ordinær virksomhet.
For enkelte virksomheter kan de største økonomiske konsekvensene komme senere. En kunde kan kreve kompensasjon for en forsinket leveranse. En viktig kontrakt kan stå i fare. Et prosjekt kan bli utsatt. Salgsarbeid kan stoppe opp mens ansatte håndterer hendelsen.
Ved brudd på personopplysningssikkerheten kan det også oppstå kostnader knyttet til undersøkelser, varsling, juridiske vurderinger og eventuell myndighetsoppfølging.
For å få et realistisk bilde av den økonomiske risikoen kan dere forsøke å beregne noen konkrete scenarioer:
Slike beregninger trenger ikke være perfekte for å være nyttige. Et realistisk estimat gjør den økonomiske eksponeringen synlig og gir et bedre grunnlag for å vurdere hvilke sikkerhetstiltak virksomheten bør prioritere.
Kunder, ansatte og samarbeidspartnere forventer at virksomheten håndterer informasjon på en trygg måte.
Dersom personopplysninger, kundedata eller konfidensiell informasjon kommer på avveie, kan hendelsen påvirke denne tilliten. Et sikkerhetsbrudd kan også få direkte konsekvenser for kundene dersom tjenester blir utilgjengelige eller leveranser stopper opp.
Konsekvensene vil variere med typen virksomhet og hvilke kunder som blir berørt.
For en virksomhet som leverer en forretningskritisk tjeneste, kan flere timers nedetid også skape problemer hos kundene. Dersom kunden selv mister salg, produksjonstid eller tilgang til viktig informasjon, kan hendelsen påvirke hele kundeforholdet.
Kundene kan også begynne å stille flere spørsmål:
I B2B-markedet kan slike spørsmål også dukke opp i forbindelse med kontraktsfornyelser, leverandørvurderinger og nye anskaffelser.
Hvordan virksomheten håndterer hendelsen, har derfor betydning. Tydelige ansvarsområder, etablerte rutiner og en plan for kommunikasjon gjør det enklere å reagere raskt og strukturert.
Virksomheten bør ha oversikt over hvem som gjør hva dersom en alvorlig cyberhendelse oppstår, hvilke parter som må involveres og hvordan berørte personer skal følges opp.
Tid, budsjett og ressurser til sikkerhetsarbeid må brukes der de gir størst effekt. Risikovurderinger gir et bedre beslutningsgrunnlag for disse prioriteringene.
Start med å identifisere viktige verdier, systemer og prosesser. Kartlegg deretter relevante trusler og sårbarheter, og vurder sannsynligheten for at en hendelse kan oppstå og hvilke konsekvenser den kan få.
Konsekvensen kan blant annet vurderes ut fra:
Deretter kan virksomheten vurdere hvilke eksisterende tiltak som allerede reduserer risikoen. Det kan være tilgangsstyring, sikkerhetskopiering, tofaktorautentisering, opplæring, beredskapsplaner, leverandøroppfølging eller tekniske sikkerhetstiltak.
Dette gir et mer realistisk bilde av risikoen virksomheten faktisk sitter igjen med.
Hvis et kritisk system kan være utilgjengelig i tre dager og dette kan gi betydelige økonomiske konsekvenser, kan virksomheten undersøke hvilke tiltak som kan redusere sannsynligheten for hendelsen eller tiden det tar å gjenopprette systemet.
Kostnaden ved tiltaket kan deretter vurderes opp mot den potensielle konsekvensen.
Risikovurderingen kan på denne måten brukes direkte i prioriteringen av investeringer og ressurser.
Den bør også oppdateres. Nye systemer tas i bruk, leverandører byttes, virksomheten vokser og nye avhengigheter oppstår. Et system som hadde begrenset betydning for to år siden, kan i dag støtte en kritisk prosess.
En systematisk risikovurdering gjør det enklere å dokumentere hvilke risikoer virksomheten kjenner til, hvorfor enkelte tiltak prioriteres, hvem som har ansvar for dem og hvordan risikoen utvikler seg.
God risikostyring krever oversikt. Virksomheten trenger å vite:
Med Draftit kan dere samle risikoer, verdier, tiltak og ansvar på ett sted. Det gir et tydeligere bilde av virksomhetens risikosituasjon og gjør det enklere å følge opp tiltak over tid.
Dere kan for eksempel knytte en identifisert cyberrisiko til systemet eller verdien som kan bli berørt, dokumentere sannsynlighet og konsekvens, registrere tiltak og tydeliggjøre hvem som er ansvarlig for oppfølgingen.
Det gjør risikovurderingen til et arbeidsverktøy som kan følges opp når tiltak gjennomføres, nye risikoer identifiseres eller virksomhetens forutsetninger endrer seg.
Når cyberrisiko knyttes til konkrete verdier og konsekvenser, blir det også enklere å involvere flere deler av organisasjonen. Ledelsen får et bedre beslutningsgrunnlag, ansvarlige får tydeligere oppgaver, og virksomheten kan prioritere ressursene der behovet er størst.
Hvor utsatt virksomheten er, avhenger blant annet av hvilke data, systemer og prosesser dere er avhengige av, hvilke trusler dere står overfor og hvilke tiltak dere allerede har på plass.
Et godt utgangspunkt er å velge ut noen av virksomhetens mest kritiske systemer og prosesser og vurdere:
Svarene gir et mer konkret bilde av virksomhetens cyberrisiko.
En oppdatert oversikt gjør det mulig å se hvor konsekvensene kan bli størst, hvilke områder som trenger oppfølging og hvilke tiltak som bør prioriteres.
Med systematiske risikovurderinger blir cyberrisiko mer konkret, synlig og håndterbar – både for dem som arbeider med sikkerhet til daglig og for dem som har ansvar for virksomhetens overordnede risiko.