Pogosto se zdi, da je informacijska varnost nekaj zapletenega, tehničnega in dragega. V resnici je veliko dražje, če ji ne posvečamo pozornosti in v podjetju zanjo ni poskrbljeno. Dokler vse deluje brez težav, se zdi, da je to nepotreben strošek. A težave nastopijo že pri prvem varnostnem incidentu.

To smo vam želeli predstaviti na bolj konkretnem primeru srednje velikega podjetja, ki se je odločilo, da bo zanemarilo potrebe po informacijski varnosti.

Primer podjetja, ki je varnost jemalo prelahko

Podjetje, recimo mu podjetje X, ima približno 25 zaposlenih oseb. Ukvarjajo se s storitvami za zunanje naročnike. Zaradi tega imajo v računalnikih shranjene osebne podatke strank, številne pogodbe, dostopne podatke in tudi finančne dokumente. A vseeno:

• niso imeli urejenih varnostnih kopij,
• so uporabljali zastarela gesla,
• zaposleni niso bili seznanjeni z osnovnimi varnostnimi tveganji,
• protivirusna zaščita ni bila redno posodobljena.

Preprost primer, ki bi ga lahko informacijska varnost preprečila je bil sledeč. Zaposleni je dobronamerno odprt elektronsko pošto, ki je izgledala kot nedolžno obvestilo dostavne službe. V priponki sporočila se je skrival zlonameren program.

Kaj se je zgodilo po vdoru?

V nekaj minutah po kliku na priponko, so bili računalniki v podjetju okuženi. Dostop do podatkov je bil onemogočen, na zaslonu pa so se prikazale različne grožnje. Najhuje je, da je podjetje v trenutku ostalo brez:

• dostopa do naročniških podatkov,
• računovodskih dokumentov,
• projektnih datotek.

Posledice so se hitro začele kopičiti.

Stroški, ki jih podjetje ni pričakovalo

Ker informacijska varnost ni bila ustrezno urejena, so se pojavili številni nepredvideni stroški:

• IT strokovnjaki in forenzika: približno 8.000 €
• Vzpostavitev sistema iz nič: 12.000 €
• Izgubljeno poslovanje (3 dni nedelovanja): 6.000 €
• Pravna pomoč in obveščanje strank: 4.000 €
• Morebitna globa zaradi kršitve varstva podatkov: do 10.000 €

Skupni strošek je hitro presegel 40.000 €, brez da bi upoštevali izgubo zaupanja strank.

Dolgoročne posledice so še hujše

Denar ni bil edina težava. Nekateri naročniki so prekinili sodelovanje, drugi so zahtevali dodatna pojasnila. Podjetje je utrpelo tudi upad ugleda, ki ga je gradilo več let. Zaposleni so izgubili zaupanje v sisteme, delo pa je bilo nekaj časa precej oteženo.

Zaključek

Informacijska varnost ni luksuz, temveč nuja. Primer podjetja X jasno pokaže, kaj se zgodi, ko zaščita podatkov ni vzpostavljena pravočasno. Stroški sanacije so večkrat višji od preventivnih ukrepov, posledice pa lahko podjetje spremljajo še dolgo po incidentu. Vprašanje zato ni, ali si podjetje lahko privošči informacijsko varnost – temveč ali si lahko privošči, da je nima.