I takt med at modstandsdygtighed er påkrævet af et stigende antal regler, hvordan kan alle organisationer så gøre deres del?

Af Kate O'Flaherty

Virksomheder over hele Storbritannien står over for et alvorligt problem: Cyberangreb har nu en målbar indvirkning på BNP. Rapporter fra Storbritanniens Cyber ​​Monitoring Centre (CMC) og ONS tyder på, at Jaguar Land Rover (JLR)-hacket var et dæmpet BNP-vækst, hvor økonomien kun voksede med 0.1 % i kvartalet fra juli til september, da bilproduktionen blev trukket ned til et 73-årigt lavpunkt.

Væsentlige cyberhændelser koster den britiske økonomi 14.7 milliarder pund årligt (~0.5 % af BNP), og IP-relaterede angreb alene kan koste op til 8.5 milliarder pund, ifølge forskning fra Institut for Videnskab, Innovation og Teknologi og Alma Economics.

Hvis enkeltstående store hændelser som f.eks. JLR-angreb kan påvirke BNP målbart, vil den kumulative effekt af tusindvis af mindre angreb sandsynligvis være endnu større. Det er et bekymrende billede, der omformulerer cybersikkerhed til en systemisk økonomisk risiko, der går ud over forretning og IT.

As modstandskraft er pålagt af et stigende antal regler, hvordan kan alle organisationer så gøre deres del for at minimere virkningen af ​​cyberangreb på den britiske økonomi?

Omkostningspåvirkningen

ONS-tallene er nye, men omkostningspåvirkningen har altid været der. Hver gang der betales en løsesum for data, eller en virksomhed bliver bedraget, er virkningen omkring fem gange værdien i tabte muligheder og genopretningsomkostninger, fortæller Harry Mason, chef for kundeservice hos den administrerede IT-tjenesteudbyder Mason Infotech. IO.

Han nævner JLR-bruddet som et eksempel. "Angrebet stoppede produktionen i flere uger, hvilket skabte en enorm pukkel, der skulle afvikles, når de var i gang igen. Dette blev også forværret af omdømmeskader fra presseomtale og tab af tillid fra forbrugerne."

Selvom de tilhørende omkostninger ved cyberhændelser kan være mindre for SMV'er, er de "ikke mindre skadelige" og kan i sidste ende resultere i, at virksomheder går konkurs, advarer han.

I dag resulterer moderne ransomware, kompromittering af virksomheds-e-mails, angreb på forkert konfiguration i skyen og datatyverikampagner i "længere genoprettelsestider og højere afhjælpningsomkostninger", fortæller Dominic Carroll, porteføljedirektør hos e2e Assure. IO"Angribere ødelægger også i stigende grad sikkerhedskopier eller ligger inaktive, indtil logopbevaringsvinduerne er udløbet, hvilket betyder, at organisationer ikke nemt kan rekonstruere, hvad der skete, eller gendanne filer på en ren måde, hvilket yderligere forlænger driftsforstyrrelser."

De højprofilerede angreb mod Storbritannien i år har afsløret, hvor afgørende disse organisationer er for økonomien, siger Carroll. "Vi har simpelthen ikke råd til at miste den slags produktivitet, og vi har heller ikke råd til at stole på statslige redningspakker," advarer han.

En af de største dominoeffekter på den bredere økonomi er relateret til investeringer. I et allerede risikoavers marked vil det være endnu vanskeligere at tiltrække investorer, hvis der er en trussel om at blive stoppet af et cyberangreb eller anden IT-relateret nedetid, siger Mason. "For individuelle virksomheder betyder det, at de skal være 100 % fokuserede på at sikre, at de har en sikkerhedsstrategi på plads for at tiltrække kunder og investorer – og bevare eksisterende."

Rammer for cybermodstandsdygtighed og compliance

I dette udfordrende økonomiske miljø er cyberrobusthed og compliance-rammer, som f.eks. ISO 27001, Netværks- og informationssystemer 2 (2 NIS) og Cyber ​​Essentials er vigtigere end nogensinde for alle virksomheder.

Rammer som disse giver strukturerede retningslinjer og bedste praksis, der hjælper organisationer med at identificere, håndtere og reducere virkningen af ​​cyberrisici, siger Emma Hastings-Bray, juridisk direktør hos Blacks Solicitors.

Implementering kan også demonstrere en virksomheds engagement i compliance og ansvarlighed over for deres kunder, partnere, bestyrelser og tilsynsmyndigheder. "Rammerne kan hjælpe med at sikre, at cyberrobusthed er integreret på bestyrelsesniveau, samt give målbare metrikker til at vurdere præstationer og opfylde britiske databeskyttelseskrav," tilføjer Hastings-Bray.

Disse regler er især vigtige, fordi de fokuserer på forsyningskæden – en vigtig faktor i at styrke den nationale sikkerhed, siger Carroll.

Han påpeger, at NIS2 nu kræver, at enheder, der er omfattet af aftalen, risikovurderer kritiske forsyningskæder. I mellemtiden har USA set introduktionen af Cybersikkerhedsmodenhedsmodelcertificering (CMMC 3.0), som vil kræve sikkerhed i forsyningskæden for alle kontrakter under Forsvarsministeriet fra oktober 2026.

Tættere på hjemmet, den Lovforslaget om cybersikkerhed og resiliens formaliserer forsyningskædesikkerhed for organisationer inden for området, siger Carroll.

Struktureret modstandsdygtighedsplanlægning

I takt med at cyberangreb truer med at påvirke BNP yderligere, vil struktureret planlægning af modstandsdygtighed bidrage til at reducere den kumulative effekt.

Blandt fordelene er, at struktureret planlægning af modstandsdygtighed sikrer, at organisationer kan "bryde den økonomiske belastningscirkel" forårsaget af cyberangreb, siger Carroll. "Når virksomheder rutinemæssigt validerer deres detektionsdækning, kører angrebssimuleringer og integrerer hurtig inddæmning i deres drift, holder hændelser op med at blive ugelange afbrydelser og udvikler sig til kortvarige forstyrrelser. Alene dette skift fjerner en enorm mængde tabt produktion fra økonomien."

Struktureret planlægning af modstandsdygtighed kan hjælpe med at "afbøde det økonomiske slag" fra cyberangreb ved at forhindre hændelser i at udvikle sig til langvarige afbrydelser, er enig i Kerry Parkin, grundlægger af The Remarkables. "Når organisationer planlægger både den tekniske og den kommunikationsmæssige respons, kommer de sig hurtigere."

Som en del af dette hjælper en klar kommunikationsstrategi "ledelsen med at handle hurtigt, holder folk informeret og forhindrer den forvirring, der skader tilliden på tværs af forsyningskæder", siger hun.

Billedet af den nationale modstandsdygtighed

Med cybersikkerhed og compliance på den nationale dagsorden er enhver virksomheds indsats vigtig i det bredere billede af modstandsdygtighed.

Virksomheder antager ofte, at de er for små til at have betydning, men "ét svagt led kan afsløre et helt netværk", påpeger Parkin.

Med dette i tankerne styrker det organisationen – såvel som den bredere økonomi – at opbygge grundlæggende cyberhygiejne, have en indøvet kommunikationsplan og være ærlig om sårbarheder, siger hun.

Lovgivningen kræver allerede, at virksomheder skal genkende truslerne fra cyberangreb og være forberedte. For eksempel er alle organisationer i henhold til britisk databeskyttelseslovgivning lovpligtige til at implementere passende foranstaltninger, der beskytter personoplysninger, siger Hastings-Bray. "Modstandsdygtighed bør være en prioritet for alle virksomheder, lige fra vurdering af forsyningskæder og udførelse af due diligence til uddannelse af interne sikkerhedsforkæmpere og regelmæssig medarbejderuddannelse."

Den økonomiske ulempe forbundet med cyberangreb er bestemt en motiverende faktor for virksomheder. Men som et kollektiv er der stadig "et stort arbejde at gøre" for at sikre, at alle tager sikkerhed alvorligt, siger Mason. "Dette er især vigtigt for dem i en lederposition, da de har evnen til at foretage ændringer og også sikre, at opbakningen spreder sig ned i hele virksomheden."