Obsah
- Straty sú ohromujúce
- Otázka výkonnosti vlastného kapitálu dlhodobo
- Reakcie na kybernetickú bezpečnosť
- Žiadne chyby, žiadny stres - Váš sprievodca krok za krokom k vytvoreniu softvéru na zmenu života bez zničenia vášho života
Zdroj: iStock
Zobrať:
Tu skúmame trvalé následky kybernetických útokov, konkrétne krátkodobé a dlhodobé škody na cenách akcií a spôsob, akým sa vrcholový manažment a členovia predstavenstva priamo podieľajú na prevencii a reakčných opatreniach pri riešení kybernetických útokov.
Kybernetická bezpečnosť je všadeprítomným predmetom IT, ale dnes kybernetické útoky ovplyvňujú veľké množstvo jednotlivcov mimo IT. Porušenie údajov môže mať vplyv na životy ľudí, ktorých osobné údaje boli ukradnuté roky po zabudnutí incidentu. V iných prípadoch môžu byť odcudzené informácie, ktoré vylučujú konkurenčné výhody pre interné obchodné jednotky a produktové divízie. Útoky Ransomware a DDoS môžu narušiť obchodné operácie a služby pre zákazníkov a predajcov na celé dni a týždne. Okrem toho rozsah niektorých kybernetických útokov v súčasnosti ovplyvňuje zisky a zisky, zatiaľ čo vážne poškodzuje korporátny obraz postihnutých. (Rok 2017 sa cítil ako bannerový rok pre oblasť počítačovej kriminality, ale zistite, čo spoločnosti robia, aby proti tomu bojovali v oblasti počítačovej kriminality 2018: The Enterprise Strikes Back.)
Výsledkom je, že tieto incidenty prinajmenšom v krátkodobom horizonte odpisujú ceny akcií, čo ovplyvňuje akcionárov, a teda zvoní na poplachové zvony v správnych radách spoločností. Podľa prieskumu postupov Rady pre správu spoločností Deloitte / Spoločnosť pre správu a riadenie spoločností z roku 2016 sa kybernetická bezpečnosť zaradila medzi najväčšie riziko, na ktoré sa správne rady dnes zameriavajú. Ďalším dôkazom je, že podľa Príručky riaditeľov NACD o dohľade nad kybernetickým rizikom menej ako 40% riaditeľov spoločností uviedlo, že riziká spojené s kybernetickou bezpečnosťou boli na zasadnutiach správnych rád v roku 2014 bežne kryté. V roku 2017 to bolo 90%.
Straty sú ohromujúce
Obavy týkajúce sa kybernetickej bezpečnosti v podnikových správnych radách sú opodstatnené na základe niektorých hrozieb, s ktorými sa v roku 2017 stretávajú veľké korporácie.
- Spoločnosť Nuance Communications je hlavným poskytovateľom hlasových a jazykových nástrojov so sídlom v Burlingtone v štáte Massachusetts, ktorý vyrába sadu diktátových a prepisovacích služieb, ktoré slúžia viac ako 500 000 klinickým lekárom a 10 000 zdravotníckym zariadeniam. Tieto služby umožňujú lekárom diktovať poznámky z telefónu. Spoločnosť bola zasiahnutá globálnym útokom na Petya 27. júna, ktorý prerušil jej základné činnosti na tri až päť týždňov, čo spoločnosť prinútilo ponúknuť alternatívy diktátových služieb zákazníkom postihnutým výpadkom. Úplné obnovenie všetkých cloudových služieb trvalo celé päť týždňov. Pretože takmer polovica príjmov spoločnosti pochádza z týchto výrobkov, spoločnosť koncom júla oznámila, že útok by mal nepriaznivý vplyv na štvrťročné zisky. Ihneď po vyhlásení akcie poklesli o štyri percentá a obchodovanie sa dnes ráno zastavilo.
- Koncom septembra sme boli svedkami jedného z najväčších porušení údajov v histórii, v ktorom boli ukradnuté osobné údaje 145,5 milióna Američanov pri notoricky známom porušení spoločnosti Equifax. Na skomplikovanie utrpenia boli vrcholoví riadiaci pracovníci pri zverejňovaní incidentu pomalí a počiatočné kroky na riešenie problému boli zle koncipované. Equifax sa stal náporom vtipov a intenzívnej kritiky počas týždňov po útoku. Zásoba klesla o 30 percent do týždňa, nakoniec sa znížila o ďalších 15 percent. Straty na vlastnom imaní počas tohto obdobia dosiahli viac ako 4 miliardy dolárov. Samotné náklady na vyčistenie boli 87,5 milióna dolárov a spoločnosť Equifax vykázala pokles čistého príjmu za tretí štvrťrok o 27 percent. (Porušenie systému Equifax bolo spôsobené zraniteľnosťou treťou stranou. Viac informácií nájdete v časti Kvalitatívne vs. Kvantitatívne: Čas na zmenu Ako posudzujeme závažnosť zraniteľností tretích strán?)
Ohromujúce straty z kybernetických útokov sa v roku 2017 neobjavili len náhle. V roku 2011 predstavovali náklady podnikov v USA v oblasti počítačovej kriminality 9 miliárd dolárov. Do roku 2015 sa tieto náklady zvýšili na viac ako 400 miliárd dolárov av roku 2016 sa ďalej zvýšili na 600 miliárd dolárov. Odhaduje sa, že do roku 2019 budú spoločnosti stáť podniky takmer 2 bilióny dolárov. Sumy spojené s kybernetickými útokmi sú šokujúce a verejnosť si ich začína všímať. Investori sa navyše čoraz viac vzdelávajú v oblasti narušenia a nákladov na mamuty, ktoré sú dnes spojené s kybernetickým útokom.
Otázka výkonnosti vlastného kapitálu dlhodobo
Aj keď nie je pochýb o tom, že akciové trhy môžu brániť verejne obchodovanej spoločnosti v dňoch nasledujúcich po narušení údajov, existujú zmiešané dôkazy o tom, či incidenty v oblasti kybernetickej bezpečnosti majú dlhodobý nepriaznivý účinok. Štúdia, ktorú vypracovala poradenská spoločnosť v oblasti IT CGI a Oxford Economics, ukázala, že porušenia kybernetickej bezpečnosti natrvalo znižujú ceny akcií spoločnosti približne o 1,8 percenta. Do štúdie bolo zapojených 65 spoločností, ktorých porušenie sa týkalo stoviek tisícov záznamov alebo viac od roku 2013. Celkové náklady pre akcionárov 65 spoločností v štúdii dosiahli viac ako 52 miliárd dolárov. Záver správy bol taký, že investori typickej firmy FTSE 100 sú určite horšie po porušení na dlhšie obdobie.
Ďalšia štúdia, ktorú v minulom roku vykonala spoločnosť Compairtech, priniesla podobné zistenia. Do štúdie bolo zapojených 24 verejne obchodovaných spoločností ako Target a Yahoo, ktoré sa stali obeťami porušenia údajov týkajúcich sa najmenej 1 milióna záznamov. Výsledky štúdie ukázali toto:
- Akcie v priemere zaznamenali okamžité zníženie ceny akcií po porušení 0,43 percenta, čo sa približne rovnalo ich priemernej dennej volatilite.
- Ceny akcií z dlhodobého hľadiska naďalej v priemere rastú, ale oveľa pomalšie. Počas troch rokov pred porušením došlo k 45,6-percentnému zvýšeniu ceny akcií a o tri roky neskôr len k 14,8-percentnému nárastu. Denná volatilita bola v oboch obdobiach približne rovnaká.
- Porušené spoločnosti majú sklon k nedostatočnému výkonu v NASDAQ. V priemere sa o 38 dní vrátia na úroveň výkonnosti indexu, ale NASDAQ ich po troch rokoch nakoniec prekoná o viac ako 40 percent.
Nedávna štúdia Georgetownskej univerzity však poukazuje na malú koreláciu medzi narušením bezpečnosti a výkonnosťou dlhodobého majetku. Štúdia zahŕňala súbor údajov 235 spoločností so zaznamenanými porušeniami údajov z roku 2005. Spoločnosti zastupovali všetky priemyselné odvetvia vrátane diskrečného práva spotrebiteľov, financií, zdravotníctva a technológie. Štúdia neukázala žiadne významné rozdiely medzi výkonom pred a po výkone po 90 dňoch od porušenia. Autori štúdie dospeli k záveru, že straty spojené s dopadom porušenia údajov na akcie spoločnosti sa javia ako vysoko závislé od mnohých premenných, ktoré sú pre spoločnosť jedinečné. Ďalšia štúdia uverejnená v správe Harvard Business Review v roku 2015 dospela k záveru, že zatiaľ čo ceny akcií v dňoch nasledujúcich po útoku, akým je napríklad Home Depot, výrazne klesajú, ceny akcií sa začínajú v priemere zvyšovať po dvoch týždňoch a správajú sa normálne na základe trhových podmienok. Štúdia zaznamenala najčastejšie škody štátne finančné služby, zdravotníctvo a globálne telekomunikačné spoločnosti.
Reakcie na kybernetickú bezpečnosť
V politike je staré príslovie, že zakrývanie je omnoho horšie ako zločin. Môže sa to týkať aj kybernetických útokov. Jedným z príkladov bol poskytovateľ telefónnych a širokopásmových služieb v Spojenom kráľovstve, TalkTalk, ktorý v roku 2015 utrpel porušenie údajov týkajúcich sa 4 miliónov jeho zákazníkov. Akciová spoločnosť klesla počas prvých dvoch dní o viac ako 10 percent. Manažment bol v nasledujúcich mesiacoch veľmi kritizovaný za zlé zvládnutie situácie, čo prispelo k strate vyše 90 000 zákazníkov. Akcie sa nepodarilo zotaviť spôsobom, aký sa nachádzal v štúdiách na Georgetowne a Harvardskej univerzite.
Žiadne chyby, žiadny stres - Váš sprievodca krok za krokom k vytvoreniu softvéru na zmenu života bez zničenia vášho života
Svoje programovacie schopnosti si nemôžete vylepšiť, keď sa nikto nestará o kvalitu softvéru.
To je dôvod, prečo váha zodpovednosti za ochranu organizácie pred kybernetickými hrozbami, ako aj reakcia na jednu z nich, je prenesená na generálneho riaditeľa, CIO / CTO / CSO a výkonný tím. Kybernetická bezpečnosť už nie je „problémom v oblasti IT“. Je to záležitosť, ktorá by sa mala týkať tak vrcholového manažmentu, ako aj predstavenstva, ktorému podliehajú. Dve veci sa zdajú byť isté - útoky sa v nasledujúcich rokoch zvýšia a náklady na tieto útoky s nimi určite stúpnu.