Если воры вынесли из квартиры технику и ценности, ущерб можно посчитать за пару минут — по чекам или рыночной стоимости вещей. С киберутечками всё сложнее: точную цифру получить трудно, а в расчёте приходится учитывать множество факторов.
Почему сложно оценить стоимость утечки данных
Перечень «статей ущерба» напрямую зависит от вида, размера и ниши бизнеса, его товаров и услуг, внутренней организации, наличия и квалификации профильных подразделений (ИТ-департамент, служба безопасности) и, конечно, от типа самого информационного инцидента.
Поэтому универсальной формулы не существует — для каждой компании расчёт будет индивидуальным.
Из чего складывается ущерб от утечки данных
Оценка убытков от информационного инцидента состоит из трёх базовых компонентов. В этой части разбираем первый из них.
Прямой ущерб: основные статьи расходов
Прямой урон — это расходы, которые бизнес несёт в процессе обнаружения и устранения утечки: затраты на расследование инцидента, штрафы и выплаты компенсаций.
1Стоимость украденной информации
В ряде случаев цену похищенных данных можно определить уже на первом этапе. Дизайнерский макет, архив сайта или перевод контента имеют рыночную цену либо стоимость, выраженную в человеко-часах. Но «на глаз» оценить некоторые типы данных почти невозможно — например, ущерб от украденной клиентской базы, собиравшейся годами, имеет весьма относительную рыночную стоимость.
2Поиск и ликвидация утечки
Для этого нужны ИТ-специалисты и безопасники. Если в компании есть свои департаменты, затраты равны стоимости рабочих часов на задачу. Свои «спецы» упрощают работу, но не убирают расходы: это время можно было бы потратить на развитие бизнеса, а не на устранение «дыр». При привлечении аутсорсеров расходы выше, зато подсчёт проще — он примерно равен стоимости услуг подрядчиков.
3Дополнительное оборудование и ПО
Обычно расследованием дело не ограничивается. Кроме работы специалистов, компании приходится оплачивать оборудование и программное обеспечение, без которого невозможно провести расследование, вернуться к нормальной работе и предотвратить подобные инциденты в будущем.
4Штрафы и компенсации
Финишный этап оценки прямых затрат — выплата штрафов госрегуляторам или компенсация вреда клиентам, поставщикам и партнёрам.
Разобравшись с прямым уроном, расслабляться рано: впереди бизнес ждут ещё две масштабные статьи расходов — о них речь в следующих материалах.
Как защитить бизнес от утечек данных
Подберём и внедрим DLP-систему под задачи вашей компании. Бесплатная консультация и расчёт.