A költségelemzőnek sem könnyű. Ezt a még napi okosságocskának is gyenge tanulságot vontam le legelőször, amikor belemerültem egy közelmúltban publikált jelentésbe, amely az adatsértések során keletkezett költségek alakulását szándékozik globális szinten számba venni. Aztán rájöttem, hogy sokkal több megszívlelendő következtetéssel szolgál e mű, amelybe gyakorta visszalapozok majd, ha az adatmenedzsment, az adatbiztonság témája kerül terítékre. Lássuk, hogy miért!
■ Adatmenedzsment
„Cost of a Data Breach Report 2023” a címe a szabadon elérhető dolgozat címe, amelyet az IBM Security tett közzé, és amely 2017 óta jelenik meg, éves rendszerességgel, így trendek felrajzolására is alkalmas. A három kiemelten fontos konklúziójából e jelentésnek kettő is a költségekre fókuszál, ami érthető is, hiszen nincs vagy nem lehet annál jobban cselekvésre ösztönző, minthogy minél pontosabban kvantifikáljuk a kár mértékét, amit egy elhibázott döntés, egy sebezhetőség kihasználása vagy egy meggondolatlan felhasználó okozhat.
Lassan, de évről évre stabilan növekszik az adatsértések okozta károk elhárításának költsége, ami a tanulmány szerzői szerint azt jelenti, hogy 2023-ban e szám minden idők rekordjára emelkedett, a maga 4,45 millió dolláros értékével. Szembetűnőbb e növekedés a 2020-as adattal való összehasonlításban: ahhoz képes 15,3 százalékos a bővülés. Azt állítja a dolgozat a költségekkel kapcsolatos másik következtetésében, hogy a kiberbiztonsági vertikalitású MI és az automatizáció csökkentő hatással vannak az adatsértések okozta károk pénzben megfogalmazott mértékére és nem mellesleg arra, hogy minimalizálódjon az adatsértés és az annak felfedezése, majd következményeinek felszámolása közötti idő.
Továbbá, a harmadik kiemelten fontos tanulságként említi a jelentés, hogy 51 százaléka azoknak a szervezeteknek, amelyek átestek az adatsértés traumáján, a kiberbiztonsággal kapcsolatos befektetéseik növelése mellett döntenek. „És ezt így hogy?”, tettem fel magamban a kérdést, amikor végiggondoltam, hogy a felmérésben megkérdezettek 49 százalékát kitevő szervezeteket jól megadatsértik, abból azok nagy nehezen, nem egyszer millió dolláros költséggel kikecmeregnek, majd, mint akik jól végezték dolgukat, mindent ugyanúgy folytatnak tovább, ahogyan azt az incidens előtt tették. Ez annyira rosszul hangzik, hogy nyilvánvalóan igaz – valóban, ilyenek (is) vagyunk.
Érdemes átfutni a 78 oldalas jelentést, mert részletes képet kapunk az adatbiztonság globális trendjeiről, amelyekből megépíthetjük a magunk megközelítését a magunk szemszögéből. Országokra, globális régiókra lebontva megkapjuk egy adatsértés átlagos költségét (az Amerikai Egyesült Államok vezeti ezt a listát), láthatjuk, hogy iparáganként miként alakul e szám (messze a eltávolodva követőitől az egészségügy az, amelyben átlagosan a legnagyobb a kár mértéke egy adatsértésnek, 2023-ban 10,93 millió dollár).
Ami pedig a költségek elemzését illeti, a tanulmány négy részre osztja azokat:
– az adatsértés miatt elvesztett üzletek költsége,
– az adatsértéssel kapcsolatos nyomozás és kiterjesztés,
– az adatsértés okozta károk elhárításával járó intézkedések,
– az adatsértés külső kommunikációja.
Úgy tűnik nekem, hogy e felosztás kellően elnagyolt ahhoz, hogy beleférhessen minden kapcsolódó kiadás, azonban túlságosan elnagyolt ahhoz, hogy mellőzhető lenne a károkat pontos számokká formáló költségelemző alapossága, tapasztalatai és kreativitása.
