Содержание
- Потери ошеломляют
- Вопрос об эффективности акций в долгосрочной перспективе
- Реакции на инцидент кибербезопасности
- Нет ошибок, нет стресса - ваше пошаговое руководство по созданию изменяющего жизнь программного обеспечения без разрушения вашей жизни
Источник: iStock
вынос:
Здесь мы рассмотрим долговременные последствия кибератак, в частности краткосрочный и долгосрочный ущерб, нанесенный ценам на акции, и то, как старшее руководство и члены совета директоров теперь непосредственно участвуют как в профилактических, так и в ответных мерах по борьбе с кибератаками.
Кибербезопасность является широко распространенной темой для ИТ, но сегодня кибератаки затрагивают большое количество людей за пределами ИТ. Нарушение данных может повлиять на жизнь людей, чья личная информация была украдена в течение многих лет после того, как инцидент был забыт. В других случаях конфиденциальная информация может быть украдена, что устраняет конкурентные преимущества для внутренних бизнес-подразделений и производственных подразделений. Ransomware и DDoS-атаки могут нарушать бизнес-операции и сервисы для клиентов и поставщиков на дни и недели подряд. Кроме того, масштабы некоторых кибератак сегодня влияют на прибыль и прибыль, в то же время серьезно подрывая корпоративный имидж пострадавших. (2017 год показался знаковым годом для киберпреступности, но узнайте, что компании делают для борьбы с ней в «Киберпреступности 2018: Предприятие наносит ответный удар».)
В результате эти инциденты, по крайней мере, в краткосрочной перспективе, обесценивают цены на акции, что влияет на акционеров и, как следствие, вызывает тревогу в корпоративных залах заседаний. Согласно исследованию Deloitte / Общества по корпоративному управлению, проведенному в 2016 году, кибербезопасность была оценена как риск номер один, на котором сегодня сосредоточены советы. В качестве еще одного доказательства, согласно Справочнику директоров NACD по надзору за кибер-рисками, менее 40 процентов директоров компаний сообщили, что риски кибербезопасности обычно покрывались на заседаниях совета директоров в 2014 году. В 2017 году этот показатель составлял 90 процентов.
Потери ошеломляют
Проблемы кибербезопасности в корпоративных залах заседаний хорошо обоснованы на основе некоторых угроз в 2017 году, с которыми столкнулись крупные корпорации.
- Nuance Communications - основной поставщик голосовых и языковых инструментов, базирующийся в Берлингтоне, штат Массачусетс, который производит набор услуг диктовки и транскрипции, которые обслуживают более 500 000 врачей и 10 000 медицинских учреждений. Эти услуги позволяют врачам диктовать записи по телефону. 27 июня компания пострадала от глобальной атаки на Петю, которая помешала ее основным операциям на три-пять недель, вынудив компанию предлагать альтернативные услуги диктовки клиентам, пострадавшим в результате сбоя. На полное восстановление всех облачных сервисов ушло целых пять недель. Поскольку почти половина доходов компании поступает от этих продуктов, в конце июля компания объявила, что атака негативно повлияет на квартальную прибыль. Сразу после объявления акции упали на четыре процента, и торги были приостановлены этим утром.
- В конце сентября мы стали свидетелями одного из крупнейших в истории взломов данных, когда личные данные 145,5 миллионов американцев были похищены в результате пресловутого взлома «Эквифакса». Чтобы усугубить это испытание, высшее руководство не спешило освещать инцидент, и первоначальные шаги по решению проблемы были плохо продуманными. Equifax стал основной шуткой и интенсивной критикой в течение нескольких недель после атаки. Его акции упали на 30 процентов в течение недели, в конечном итоге снизившись после падения еще на 15 процентов. Потери капитала за этот период составили более 4 миллиардов долларов. Только затраты на очистку составили 87,5 млн долларов, и Equifax сообщил о 27-процентном снижении чистой прибыли в третьем квартале. (Нарушение Equifax было вызвано уязвимостью стороннего производителя. Узнайте больше в разделе Качественный против количественного: время перемен Как мы оцениваем серьезность уязвимостей сторонних разработчиков?)
Ошеломляющие потери от кибератак не просто внезапно проявились в 2017 году. В 2011 году затраты на киберпреступность для предприятий в США составили 9 миллиардов долларов. К 2015 году эти расходы возросли до 400 миллиардов долларов, а в 2016 году выросли до 600 миллиардов долларов. По прогнозам, кибератаки обойдутся предприятиям почти в 2 триллиона долларов к 2019 году. Суммы, связанные с кибератаками, шокируют, и общественность начинает обращать на это внимание. Кроме того, инвесторы становятся все более осведомленными о срыве и огромных затратах, связанных с кибератакой сегодня.
Вопрос об эффективности акций в долгосрочной перспективе
Несмотря на то, что нет сомнений в том, что фондовые рынки могут нанести удар по открытой акционерной компании в последующие дни после взлома данных, существуют неоднозначные свидетельства того, имеют ли инциденты кибербезопасности устойчивый отрицательный эффект в долгосрочной перспективе. Исследование, проведенное ИТ-консультантами CGI и Oxford Economics, показало, что нарушения кибербезопасности подрывают цены акций компании примерно на 1,8 процента на постоянной основе. В исследовании приняли участие 65 компаний, которые столкнулись с нарушением, включающим сотни тысяч записей и более с 2013 года. Общая стоимость для акционеров 65 компаний в исследовании составила более 52 миллиардов долларов. Заключение отчета заключалось в том, что инвесторы типичной фирмы FTSE 100, безусловно, находятся в худшем положении после нарушения в течение длительного периода.
Другое исследование, проведенное Compairtech в прошлом году, дало аналогичные результаты. В исследовании приняли участие 24 публично торгуемых компаний, таких как Target и Yahoo, которые стали жертвами взлома данных, включающего не менее 1 миллиона записей. Результаты исследования показали следующее:
- Акции в среднем пострадали от немедленного снижения цены акций после нарушения на 0,43 процента, что примерно равно их средней дневной волатильности.
- В долгосрочной перспективе цены на акции продолжают расти в среднем, но гораздо более медленными темпами. За три года до нарушения цены на акции выросли на 45,6%, а за три года - только на 14,8%. Дневная волатильность была примерно одинаковой для обоих периодов.
- Нарушенные компании, как правило, уступают NASDAQ. Они восстанавливаются до уровня производительности индекса в среднем через 38 дней, но через три года NASDAQ в конечном итоге превосходит их более чем на 40 процентов.
Однако недавнее исследование, проведенное Джорджтаунским университетом, показывает небольшую корреляцию между нарушениями безопасности и долгосрочными показателями справедливости. В исследовании приняли участие 235 компаний с зарегистрированными нарушениями данных, начиная с 2005 года. Компании представляли все отрасли, включая потребительские права, финансы, здравоохранение и технологии. Исследование показало отсутствие значимого различия между до и после исполнения после 90 дней после нарушения. Авторы исследования пришли к выводу, что потери, связанные с воздействием утечки данных на акции компании, по-видимому, сильно зависят от многих переменных, которые являются уникальными для компании. Другое исследование, опубликованное в Harvard Business Review в 2015 году, пришло к выводу, что, хотя цены на акции действительно значительно снижаются в дни, следующие за атакой, такой как атака на Home Depot, цены на акции начинают восстанавливаться в среднем через две недели и ведут себя нормально в зависимости от рыночных условий. Исследование нанесло государству финансовые услуги, здравоохранение и глобальные телекоммуникационные компании понесли самый длительный ущерб.
Реакции на инцидент кибербезопасности
В политике существует старая пословица, что сокрытие намного хуже, чем преступление. Это может относиться и к кибератакам. В качестве примера можно привести провайдера телефонной и широкополосной связи в Великобритании TalkTalk, который в 2015 году пострадал от взлома данных у 4 миллионов своих клиентов. За первые два дня акции упали более чем на 10 процентов. В последующие месяцы руководство подвергалось резкой критике за плохое управление ситуацией, что привело к потере более 90 000 клиентов. Акции не удалось восстановить так же, как в исследованиях в Джорджтауне и Гарвардском университете.
Нет ошибок, нет стресса - ваше пошаговое руководство по созданию изменяющего жизнь программного обеспечения без разрушения вашей жизни
Вы не можете улучшить свои навыки программирования, когда никто не заботится о качестве программного обеспечения.
Именно по этой причине ответственность за обеспечение безопасности организации от киберугроз, а также противодействие им, лежит на генеральном директоре, CIO / CTO / CSO и исполнительной команде. Кибербезопасность больше не является «проблемой ИТ». Это вопрос, который должен охватывать как старшее руководство, так и совет директоров, которому они подчиняются. Кажется очевидным две вещи: атаки будут только возрастать в ближайшие годы, и стоимость этих атак, безусловно, будет расти вместе с ними.