Cyberattacker kan få stora konsekvenser för en verksamhet. Kritiska system kan bli otillgängliga, data kan gå förlorade eller hamna fel och viktiga processer kan stanna upp. Det kan påverka både ekonomi, kunder, medarbetare och verksamhetens förtroende.
För att förstå hur utsatt verksamheten är behöver ni känna till vilka värden ni är beroende av, vilka digitala hot som kan påverka dem och hur allvarliga konsekvenserna kan bli.
Det kräver också överblick över sambanden i verksamheten. Ett system kan stödja flera kritiska processer. En leverantör kan ha data eller tjänster som stora delar av organisationen är beroende av. En händelse som först verkar begränsad kan därför få konsekvenser långt utanför det system eller den avdelning som drabbas först.
En riskbedömning ger den här överblicken och gör det enklare att prioritera åtgärder där de har störst betydelse.
Cyberrisk beskriver risken för ekonomiska, operativa eller andra negativa konsekvenser till följd av digitala händelser.
Det kan till exempel vara:
Konsekvenserna kan sprida sig till flera delar av verksamheten. Ett otillgängligt system kan hindra medarbetare från att utföra sitt arbete. Förlorade data kan påverka leveranser och kundhantering. En säkerhetshändelse kan kräva omfattande uppföljning och påverka tilliten till verksamheten.
Cyberrisk bör därför bedömas utifrån hur en händelse kan påverka verksamhetens mål, drift och skyldigheter.
Det innebär också att förstå verksamhetens beroenden:
Risken ligger alltså också i vad som händer vidare om en kritisk resurs blir otillgänglig. För en bredare genomgång av begreppen kan ni läsa Cyberangrepp: vad det är, hur det går till – och vad du behöver veta och Skillnaden på Cybersäkerhet, IT-säkerhet & Informationssäkerhet.
En bra riskbedömning börjar med att identifiera vad verksamheten är mest beroende av.
Det kan vara system som är nödvändiga för den dagliga driften, kund- och personuppgifter, ekonomisystem, produktionsprocesser, kommunikationsverktyg, integrationer eller externa leverantörer.
För att hitta de mest kritiska områdena kan ni ställa några konkreta frågor:
För vissa system kan några timmars nedtid vara hanterbart. För andra kan det leda till försenade leveranser, förlorade intäkter eller stopp i kritiska arbetsprocesser.
Leverantörsberoenden bör också ingå i bedömningen. Verksamheten kan vara beroende av molntjänster, programvaruleverantörer, betallösningar, IT-drift eller andra tredje parter.
En händelse hos en sådan leverantör kan påverka verksamheten även om de egna systemen inte angrips direkt.
När ni känner till de här beroendena blir bilden tydligare av var verksamheten är mest sårbar och var konsekvenserna kan bli störst.
Kostnaden för en cyberattack beror på hur stor verksamheten är, vilka system som drabbas, hur länge händelsen pågår och hur beroende driften är av de system som blir otillgängliga.
Även ett relativt kort driftstopp kan bli kostsamt när flera kostnader uppstår samtidigt.
Tänk er en verksamhet med 100 medarbetare där ett centralt system blir otillgängligt under en arbetsdag.
Om 50 medarbetare påverkas och den genomsnittliga totala personalkostnaden är 600 kronor per arbetstimme motsvarar åtta timmar med kraftigt minskad produktivitet upp till 240 000 kronor enbart i arbetstid.
Samtidigt kan verksamheten behöva extern hjälp för att utreda händelsen, säkra systemen och återställa normal drift.
Interna IT-resurser, ledning, HR, kommunikation, juridik och dataskyddsansvariga kan behöva lägga annat arbete åt sidan. Om händelsen pågår i flera dagar fortsätter kostnaderna att byggas upp.
Direkta kostnader kan till exempel vara:
Om verksamheten normalt omsätter 500 000 kronor per arbetsdag betyder inte en dags nedtid nödvändigtvis att hela beloppet går förlorat.
Vissa affärer kan genomföras senare. Andra kan försvinna permanent. Produktion som stannar kan kanske tas igen, men det kan kräva övertid, expressleveranser eller extra kapacitet.
Det är därför värdefullt att beräkna hur stor del av omsättningen som faktiskt är beroende av en viss process eller ett visst system.
En e-handel som blir otillgänglig i sex timmar har en annan förlustbild än ett internt HR-system som ligger nere lika länge.
Förlust av data kan skapa ytterligare kostnader.
Om medarbetare måste återskapa order, dokumentation, kundinformation eller annat arbete från de senaste dagarna fortsätter kostnaderna även efter att systemen är tillbaka.
Tio medarbetare som använder två arbetsdagar för att återskapa förlorat arbete motsvarar 160 arbetstimmar. Med en personalkostnad på 600 kronor per timme blir det ytterligare 96 000 kronor innan eventuella konsekvenser för kunder och leveranser räknas in.
Detsamma gäller det eftersläp som kan uppstå under nedtiden. Ordrar ska hanteras, kundärenden besvaras, fakturor skickas och uppskjutna leveranser genomföras.
Normal teknisk drift innebär därför inte nödvändigtvis att verksamheten omedelbart är tillbaka i normal produktion.
En händelse kan också binda upp nyckelpersoner under lång tid. Om tio chefer och specialister i genomsnitt lägger 20 timmar var på incidenthantering, möten, dokumentation och uppföljning blir det 200 timmar som annars hade använts i ordinarie verksamhet.
För vissa verksamheter kan de största ekonomiska konsekvenserna komma senare. En kund kan kräva kompensation för en försenad leverans. Ett viktigt avtal kan hamna i fara. Ett projekt kan bli förskjutet. Försäljningsarbetet kan stanna upp medan medarbetare hanterar händelsen.
Vid personuppgiftsincidenter kan det också uppstå kostnader kopplade till utredningar, anmälningar, juridiska bedömningar och eventuell myndighetsuppföljning.
För att få en realistisk bild av den ekonomiska exponeringen kan ni försöka beräkna några konkreta scenarier:
Sådana beräkningar behöver inte vara perfekta för att vara användbara. Ett realistiskt estimat gör den ekonomiska exponeringen synlig och ger ett bättre underlag för att avgöra vilka säkerhetsåtgärder verksamheten bör prioritera.
Kunder, medarbetare och samarbetspartners förväntar sig att verksamheten hanterar information på ett tryggt sätt.
Om personuppgifter, kunddata eller konfidentiell information hamnar fel kan händelsen påverka det förtroendet. En säkerhetshändelse kan också få direkta konsekvenser för kunderna om tjänster blir otillgängliga eller leveranser stannar upp.
Konsekvenserna varierar beroende på vilken typ av verksamhet det är och vilka kunder som berörs.
För en verksamhet som levererar en verksamhetskritisk tjänst kan flera timmars nedtid också skapa problem hos kunderna. Om kunden själv förlorar försäljning, produktionstid eller tillgång till viktig information kan händelsen påverka hela kundrelationen.
Kunderna kan också börja ställa fler frågor:
I B2B-marknaden kan sådana frågor också dyka upp i samband med avtalsförnyelser, leverantörsbedömningar och nya upphandlingar.
Hur verksamheten hanterar händelsen har därför stor betydelse. Tydliga ansvarsområden, etablerade rutiner och en plan för kommunikation gör det enklare att agera snabbt och strukturerat.
Verksamheten bör ha överblick över vem som gör vad om en allvarlig cyberhändelse inträffar, vilka parter som måste involveras och hur berörda personer ska följas upp.
Tid, budget och resurser till säkerhetsarbetet behöver användas där de ger störst effekt. Riskbedömningar ger ett bättre beslutsunderlag för de prioriteringarna.
Börja med att identifiera viktiga värden, system och processer. Kartlägg sedan relevanta hot och sårbarheter, och bedöm sannolikheten för att en händelse kan inträffa och vilka konsekvenser den kan få.
Konsekvensen kan bland annat bedömas utifrån:
Därefter kan verksamheten bedöma vilka befintliga åtgärder som redan minskar exponeringen. Det kan handla om åtkomststyrning, säkerhetskopiering, multifaktorautentisering, utbildning, beredskapsplaner, leverantörsuppföljning eller tekniska säkerhetsåtgärder.
Det ger en mer realistisk bild av den exponering verksamheten faktiskt har kvar. Om ni vill arbeta mer systematiskt med det här området kan ni läsa Riskanalys för informationssäkerhet och Lag om informationssäkerhet – Vad är det och vilka regler gäller?.
Om ett kritiskt system kan vara otillgängligt i tre dagar och det kan ge betydande ekonomiska konsekvenser kan verksamheten undersöka vilka åtgärder som kan minska sannolikheten för händelsen eller tiden det tar att återställa systemet.
Kostnaden för åtgärden kan därefter vägas mot den möjliga konsekvensen.
Riskbedömningen kan på det sättet användas direkt i prioriteringen av investeringar och resurser.
Den bör också uppdateras. Nya system tas i bruk, leverantörer byts ut, verksamheten växer och nya beroenden uppstår. Ett system som hade begränsad betydelse för två år sedan kan i dag stödja en kritisk process.
En systematisk riskbedömning gör det enklare att dokumentera vilka exponeringar verksamheten känner till, varför vissa åtgärder prioriteras, vem som ansvarar för dem och hur läget utvecklas över tid.
God riskhantering kräver överblick. Verksamheten behöver veta:
Med Draftit kan ni samla risker, värden, åtgärder och ansvar på ett ställe. Det ger en tydligare bild av verksamhetens situation och gör det enklare att följa upp åtgärder över tid.
Ni kan till exempel koppla en identifierad cyberrisk till det system eller värde som kan påverkas, dokumentera sannolikhet och konsekvens, registrera åtgärder och tydliggöra vem som ansvarar för uppföljningen.
Det gör riskbedömningen till ett arbetsverktyg som går att följa upp när åtgärder genomförs, nya frågor identifieras eller verksamhetens förutsättningar förändras.
När cyberrisk kopplas till konkreta värden och konsekvenser blir det också enklare att involvera fler delar av organisationen. Ledningen får ett bättre beslutsunderlag, ansvariga får tydligare uppgifter och verksamheten kan prioritera resurser där behovet är störst.
Hur utsatt verksamheten är beror bland annat på vilka data, system och processer ni är beroende av, vilka hot ni står inför och vilka åtgärder ni redan har på plats.
En bra start är att välja ut några av verksamhetens mest kritiska system och processer och bedöma:
Svaren ger en mer konkret bild av verksamhetens cyberrisk.
En uppdaterad överblick gör det möjligt att se var konsekvenserna kan bli störst, vilka områden som behöver följas upp och vilka åtgärder som bör prioriteras.
Med systematiska riskbedömningar blir cyberrisk mer konkret, synlig och hanterbar, både för dem som arbetar med säkerhet i vardagen och för dem som har ansvar för verksamhetens övergripande risk.