Fem alvorlige konsekvenser av datainnbrudd

Vi i GlobalConnect vet at cyberangrep kan ramme alle bedrifter. Det er neppe praktisk mulig å sikre seg 100 prosent mot angrep, men heldigvis finnes det systemer og prosedyrer som vil gjøre det vanskeligst mulig for eventuelle angripere å komme seg inn på nettet ditt. Når bedrifter dropper å sikre seg best mulig, er det gjerne av kostnadshensyn. Men, et cyberangrep kan fort bli enda dyrere.

Norsk Hydro har estimert kostnadene forbundet med det store løsepengeangrepet på selskapet i 2019 til mer enn 450 millioner kroner. Det er heldigvis sjelden det blir så dyrt, men konsekvensene av å spare på IT-sikringen kan bli alvorlige for både store og små bedrifter.  Her er fem av de vanligste.

Tyveri

Kunnskap og informasjon er verdifulle eiendeler for de fleste bedrifter i dag. Om cyberkriminelle kommer seg inn på nettverket ditt kan de stikke av med både kundelister, personopplysninger og ikke minst immaterielle rettigheter eller åndsverk. Forretningsplaner, ikke-patenterte oppfinnelser eller verdifull kode kan enkelt omsettes på det mørke nettet. Flere års forskning og utvikling kan havne hos konkurrenter eller fremmede makter, eller de kan bli tapt for alltid om du ikke har back-up.

Økonomiske tap

Da Hydro ble offer for et lammende cyberangrep, stanset produksjonen i mange av selskapets lokasjoner noe som ga store inntektstap, og kostnadene med å rydde opp igjen var også store. Selv om kostnadene for store selskaper som Hydro utgjør mange hundre millioner, er det allikevel en mindre andel av totalen. Det året Hydro tapte 450 millioner på cyberangrepet, omsatte selskapet for 150 milliarder kroner. For mindre selskaper utgjør gjerne tapene en større andel av totalen. Ifølge tall fra IBM og Ponemon Institute koster det gjennomsnittlige dataangrepet bedriften rundt 40 millioner kroner. Det er mye penger for en mellomstor bedrift.

Omdømmetap

Ifølge en undersøkelse GlobalConnect gjorde sammen med YouGov høsten 2022 sier 56 av de spurte at de er skeptiske til å handle med bedrifter som har blitt usatt for hacking. Stadig flere virksomheter setter strenge krav til sikkerhetsrutinene til de bedriftene de skal handle med. Redsel for å bli for tett assosiert med en bedrift som har hatt databrudd, kan føre til at denne velges bort i konkurransen. Selv om hullene er tettet.

Bøter

I tillegg til direkte økonomiske tap og kundeflukt, risikerer bedriften også store bøter om cyberinnbruddet innebærer at personopplysninger kommer på avveie. Siden 2018 er alle europeiske bedrifter underlagt den strenge personopplysningsreguleringen GDPR (General Data Protection Regulation). Brudd på GDPR kan straffes med høye bøter i størrelsesorden 200 millioner kroner eller fire prosent av selskapets globale omsetning – det som måtte være størst av de to. I 2020 delte datamyndighetene i EU ut bøter på til sammen 1,8 milliarder kroner. Den største enkeltboten – på 517 millioner kroner – ble utstedt av franske datamyndigheter til Google.

I Norge er det Datatilsynet som følger opp brudd på GDPR. Østre Toten kommune ble bøtelagt 4 millioner kroner etter at et hackerangrep i 2021 der personopplysninger ble lekket på nettet.

Indirekte konsekvenser

I tillegg til de direkte konsekvensene av et cyberangrep, vil en virksomhet som har blitt utsatt for et angrep kunne slite med en rekke indirekte konsekvenser og kostnader. Ofte i lang tid etter. Lammende datainnbrudd kan, som i tilfelle med Hydro, stanse produksjonen og gi høye kostnader når den skal starte igjen. Bedrifter som har vært utsatt for datainnbrudd vil også kunne risikere høyere forsikringspremie og dyrere finansiering.

I en tid der mange små og mellomstore bedrifter allerede sliter økonomisk, og opererer helt på marginen, kan stans i driften på grunn av et lammende løsepengeangrep være det som setter bedriften utfor stupet.

I dagens forretningsverden, der de cyberkriminelle blir stadig mer sofistikerte, og data spiller en stadig viktigere rolle i enhver virksomhet, er IT-sikkerhet ikke lenger kun et IT-spørsmål. Å sikre bedriften mot datainnbrudd er helt forretningskritisk. Kunnskap om brannmur, DDoS-beskyttelse  og sikkerhetsovervåkning burde være like langt fremme i ledergruppenes pannebrask som cashflow, balanse og capex.