Vissa kanske tvekar över att investera i cybersäkerhet. Vissa tror inte att de behöver det – ”det kommer inte att hända oss”. Vissa säger att de inte har budgeten. Men vad händer om alternativkostnaden för en cyberattack faktiskt är större än att ha investerat i tillräckligt skydd? Faktum är att du kan förlora väldigt mycket om du inte investerar i cybersäkerhet, till exempel stora summor pengar, ditt rykte kan påverkas och du kan råka ut för driftstopp. Vissa kanske tvekar över att investera i cybersäkerhet. I denna blogg förklarar vi hur mycket du tjänar på att ha en datadiod!
Vad är en datadiod?
En datadiod är en cybersäkerhetslösning som säkerställer ett enkelriktat informationsflöde. Denna hårdvaruprodukt, med sin höga assurans, bibehåller både nätverkets integritet genom att förhindra intrång eller nätverkets konfidentialitet genom att skydda den mest skyddsvärda informationen. En datadiod skyddar tack vare sin höga assurans tillgångar hos aktörer verksamma inom kritisk infrastruktur, ICS/SCADA och försvarsindustrin. Digitaliseringen och ökningen av sofistikerade cyberattacker gör att varje organisation som arbetar med känslig information har användning av en datadiod för att kunna skydda sin värdefulla information och för att kunna utbyta data på ett säkert sätt.
Hur fungerar en datadiod?
Datadioder är det felsäkra sättet att skydda känsliga system och konfidentiell data på. En datadiod är en säkerhetsprodukt som placeras mellan två nätverk och som fungerar som en backventil vars funktion endast tillåter att data skickas i ena riktningen medan den blockerar all data i motsatt riktning. Eftersom säkerheten inte bygger på mjukvara finns det inga sårbarheter i form av mjukvarubuggar och den kan heller inte attackeras av skadlig kod. Hårdvarubaserad säkerhet innebär att man kan vara trygg med att datadioder uppfyller sina säkerhetskrav och har en hög assuransnivå.
Att investera i en datadiod
Det är dags att ta säkerheten på allvar för att undvika höga risker och kostnader som i slutändan kan bli större än att bygga motståndskraftig infrastruktur. Verksamheter är idag direkta måltavlor för många cyberattacker och företag som är beroende av IT-system för drift, övervakning och styrning är särskilt utsatta. Att inte ha tillräckligt skydd för sina känsliga nätverk och system kan resultera i höga kostnader.
Att investera i en datadiod är att investera i en högsäkerhetslösning – det går inte att jämföra med vanliga åtgärder för IT-säkerhet. Om du behöver överföra information till eller från ett säkerhetskänsligt nätverk är ”vanlig” IT-säkerhet inte den enda lösning du bör välja.
Vad alternativkostnaden kan bli
Tillräcklig cybersäkerhet kan skydda dig från ransomware, dataläckage, datamanipulation och så vidare. Det finns gott om exempel under det senaste året där företag drabbats av attacker som resulterat i stora kostnader. En attack kan bli väldigt dyr, till exempel kan du förlora pengar på grund av:
- Driftstopp som påverkar din verksamhet
- Förlorade intäkter
- Återställande och sanering av system
- Förlorat förtroende/goodwill
En genomsnittlig cyberattack 2021 kostade mellan 3,86 miljoner USD till 4,24 miljoner USD. Så att skydda dig mot detta är mer än viktigt. Det är nödvändigt.
Många kanske tänker “vi har vår brandvägg, vad mer kan vi göra?”. Men om du har information eller system som är avgörande för din organisation, är det lämpligt att minska dina risker och investera i en högsäkerhetslösning. Många nätverk kräver extra skydd mot manipulation och dataläckage eftersom de innehåller sekretessbelagd eller känslig information. Om dessa nätverk/system utsätts för en attack kommer en brandvägg förmodligen inte att skydda dig från att behöva spendera mycket pengar på att återställa era system.
Dessutom finns det flera lagar och förordningar som kräver att du har tillräckligt skydd för känslig information och system – till exempel NIS-direktivet. I Sverige kan en annan lag, säkerhetsskyddslagen, påverka hur du ska skydda din känsliga information. Har ni inte sett till att det finns tillräckligt säkerhetsskydd inom er organisation eller hos era partners kan ni få en sanktionsavgift på upp till 50 miljoner kronor. En verksamhet som behövde betala böter är region Uppsala, som hade skickat känsliga personuppgifter okrypterat till mottagare utomlands. Detta kostade dem 2 miljoner kronor.
Räkna ut säkerhetskostnaden, eller vad kostnaden blir om du inte har tillräcklig säkerhet
Kvantifiering av cyberrisker (CRQ)
Eftersom cyberattackerna ständigt ökar och är något de flesta företag är medvetna om, finns det ett ökande behov av att cyberrisker mäts och rapporteras i finansiella termer. Företagsledare vill helt enkelt veta mer om de risker de står inför och vad kostnaderna kan vara. Att arbeta med kvantifiering av cyberrisker (CRQ) betyder att prioritera risker efter hur stor ekonomisk förlust de kan innebära, vilket gör det möjligt för företaget att budgetera baserat på de riskreducerande strategier som ger det bästa skyddet och avkastningen på investeringen.
I en kvantifiering av cyberrisker tittar du på den ekonomiska effekten av cyberrisk på din verksamhet, men också på mer immateriella men ändå grundläggande områden så som kundnöjdhet, medarbetarengagemang, rykteshantering, varumärkesskydd och hantering av leveranskedjan. Alla dessa är risker som kommer att kosta dig pengar i slutändan.
Riskkostnaden är sannolikheten för en viss konsekvens gånger kostnaden som konsekvensen har. Så för en konsekvens som skulle kosta företaget eller organisationen 1 Mkr och har en sannolikhet på en gång vart tionde år, är riskkostnaden 100 000 kr/år. Skyddet för just denna risk bör då inte vara mer än det beloppet.
Return on security investment (ROSI)
Return of Security Investment (ROSI) handlar om att beräkna vad bristen på säkerhet kan kosta och vilka de mest kostnadseffektiva lösningarna är – detta för att kunna veta vad man ska lägga på säkerhet. Denna beräkning kan leda till följande frågor:
- Betalar vi för mycket för vår säkerhet?
- Vilken ekonomisk inverkan kan brist på säkerhet ha på vår produktivitet?
- När kommer vår säkerhetssatsning vara tillräcklig?
- Är denna säkerhetsprodukt eller -tjänst fördelaktig?
Du kan beräkna ROSI med formeln nedan. Du får en procentandel av din avkastning på säkerhetsinvesteringen. Den är baserad på Annualised Loss Expectancy (ALE), beräknad riskreducering och kostnad för lösningen:
(Minskad monetär förlust – Kostnad för lösningen) / Kostnad för lösningen
Där minskning av monetär förlust är skillnaden mellan ALE utan säkerhetslösningen kontra ALE efter implementering av säkerhetslösningen.
Anta till exempel att ALE är 100 000 SEK/år utan säkerhetslösningen och att det går ner till 10 000 SEK/år med en säkerhetslösning som kostar 25 000 SEK/år:
(100 000 – 10 000 – 25 000) / 25 000 = 260%
Skydda din organisation från attacker och ekonomiska förluster
Så vi har konstaterat att om man inte investerar i tillräcklig cybersäkerhet kan det kosta mer än att bli utsatt för en attack. Men hur ser det ut egentligen? I det här exemplet kommer vi att använda ROSI-modellen.
Ett företag har beslutat att skydda sina känsliga operativsystem från skadlig programvara och att möjliggöra export av mätdata i realtid. De har bestämt sig för att investera i en datadiod.
I det här exemplet kostar datadioden 200 000 SEK och följs av en årlig MSA på 25%. Installationskostnaden är 10 000 SEK och den årliga kostnaden för underhåll är 20 arbetstimmar.
Om du i stället för att använda en datadiod använder ett USB-minne för att överföra information i en airgap-miljö, är det ganska säkert att du kommer att få skadlig programvara i ditt system en gång vart femte år. Det finns antiviruskontroll inom operativsystemet, men det kostar en dags arbete att rensa och undersöka. En gång vart 20:e år sprider sig viruset till det operativa systemet och orsakar en dags driftstopp. Denna stilleståndstid och återställning av systemet kostar 5 000 000 SEK.
Att investera i en datadiod skulle resultera i följande:
ROSI: 132,7%
Besparing av manuell hantering: 132 600 SEK
Besparingar av minskad risk: 143 280 SEK
Så du får inte bara en ROSI på 132 %, du sparar också pengar på det manuella arbetet med virusskanning och hantering av bärbara media och du kan låta din personal göra mer produktiva saker.
Vi kan hjälpa dig att hitta de lösningar du behöver!
Tveka inte att kontakta oss!
