Overskrifterne fra 2026-udgaven af Cost of a Data Breach var interessant læsning, men viser det rent faktisk et bedre perspektiv på tilstanden af modstandsdygtighed blandt cyberprofessionelle?
I den 21. udgave af rapporten om omkostningerne ved et databrud var de globale gennemsnitlige omkostninger ved et databrud 4.99 millioner dollars, en betydelig stigning fra 4.44 millioner dollars i 2025. IBM, der sponsorerer rapporten, sagde, at dette svarer til omkring 1,100 dollars i timen, som hændelsen varer, inklusive alt fra krisehåndtering til driftsforstyrrelser og kundefrafald.
Rapporten viste også, at den gennemsnitlige tid, det tog organisationer at identificere og inddæmme et brud, var steget til 247 dage. Når brud blev identificeret af interne IT-teams, faldt dette tal til 209 dage i gennemsnit. Hvor organisationer forblev uvidende om et brud, indtil angriberne underrettede dem, nåede de gennemsnitlige omkostninger 5.12 millioner dollars.
Alt dette er selvfølgelig nyttigt at vide, og der findes en masse forskning, der tilbyder statistikker som disse. Men hvad lærer vi egentlig af dem? Hvordan kan du måle dit niveau af modstandsdygtighed baseret på, hvor meget et brud kan koste dig, og hvad bestemmer rent faktisk den forretningsmæssige indvirkning af en cyberhændelse?
Efter større angreb og sikkerhedsbrud i løbet af det seneste år bliver organisationer i stigende grad bedømt på, hvor effektivt de reagerer, genopretter og opretholder tillid, snarere end blot om de oplever en cyberhændelse. Da en hændelse førte til, at regeringen reddede Jaguar Land Rover på 1.5 milliarder pund, blev der lagt større vægt på virksomhedens forberedelse, ledelse og modstandsdygtighed i lyset af en cyberhændelse.
Virksomhedseffekt
Den forretningsmæssige indvirkning af et brud måles ikke altid ud fra størrelsen af en statslig redningspakke, men ud fra, hvordan en organisation reagerer, og hvor meget tillid den kan bevare gennem sine handlinger over for kunder, partnere og aktionærer.
Lisa Ventura, cybersikkerhedsspecialist og grundlægger af Cyber Security Unity, siger, at tillid i sidste ende optjenes under en hændelse, ikke bagefter, og genopbygges gennem kommunikationens kvalitet og rettidighed, især mens situationen forbliver usikker: "og ikke kun gennem den store pressemeddelelse, der udsendes, når alt er løst og kører igen."
Hun siger, at kunderne vil huske, om de fik besked tidligt, om det, de fik at vide, var korrekt, og om organisationen holdt dem opdateret, efterhånden som billedet ændrede sig.
"Jeg tror, at mange mennesker ikke vil have noget imod, at de har en ufuldstændig besked, de kan bare ikke lide, at der slet ikke kommer noget ud. Så jeg ville sætte en navngiven person i centrum, som kan håndtere [tingene] fra et eksternt perspektiv, og som er tryg ved at forklare, hvad der er kendt, og hvad der ikke er."
Derudover er det værd at overveje, hvordan anerkendte rammer som ISO 27001 kan understøtte disse fundamenter gennem hændelsesrespons, forretningskontinuitet og løbende forbedringer, og i hvor høj grad de hjælper organisationer med at opbygge disse kapaciteter.
Forebyggelse til modstandsdygtighed
Når vi ser på rapporten igen, er vi nødt til at overveje, hvad den fortæller os om forvaltning og cyberrobusthed, og hvor denne tendens er på vej hen. Beviserne tyder på, at cybersikkerhed bevæger sig fra en forebyggelsesorienteret model til en robust model, hvor organisationer antager, at nogle angreb vil komme igennem, og i stigende grad fokuserer på at begrænse eksplosionsradiusen, opretholde driften og genvinde hurtigt.
Hvis en virksomhed ikke kan garantere, at den vil stoppe ethvert indbrud, kan den stadig reducere omkostningerne ved at identificere hændelser tidligere, inddæmme dem hurtigere, opretholde kritiske operationer, teste processer for håndtering af hændelser, gendanne data og systemer og i sidste ende genoprette kundernes tillid og lære af hændelsen. Modstandsdygtighed bliver derfor en målbar økonomisk kontrol snarere end blot et koncept for katastrofeberedskab.
På dette punkt sagde 64 % af organisationerne, at de efter at have oplevet et brud ville øge deres sikkerhedsinvesteringer . Det gør modstandsdygtighed til et problem på bestyrelsesniveau, da angribere i stigende grad fokuserer på tillid, offentlighedens opfattelse og langsigtet forretningsmæssig indvirkning. Organisationer har stadig brug for forebyggelse, men de erkender i stigende grad, at forebyggelse alene ikke kan give sikkerhed. Detektion, inddæmning, genopretning og forretningskontinuitet bliver derfor lige så vigtige mål for sikkerhedseffektivitet.
Modstandsdygtighed erstatter ikke forebyggelse, fordi organisationer har opgivet at stoppe angreb. Det bliver vigtigere, fordi sandsynligheden for at forhindre alle angreb falder, mens omkostningerne ved at lade et angreb fortsætte stiger.
Quentyn Taylor, direktør for informationssikkerhed hos Canon Europe, sagde, at han var bekendt med et tilfælde, hvor to virksomheder blev ramt af den samme aktør. Den ene var offline i en længere periode, mens den anden havde udført "hændelsessimuleringer i n'te grad; alle vidste, hvad deres plads var, og alle vidste, hvad de skulle gøre."
Han sagde, at denne demonstration af modstandsdygtighed og styring handler om at acceptere, at dårlige ting vil ske, og at være forberedt på at håndtere dem, overveje, hvad det mindst værste udfald kunne være, og identificere den bedste måde at komme sig på.
"For mig handler modstandsdygtighed om, at folk forstår, hvad de skal gøre," sagde han. "Det er ikke alle, der arbejder nøje efter en plan, men alle, der arbejder i henhold til planens ånd. Det er sand modstandsdygtighed."
"Alle forstår det store billede, alle siger, hvad deres del af det store billede er, og alle ved, at jeg er bemyndiget til at træffe de rigtige beslutninger, hvis jeg har brug for det."
Hurtig opsving
I sidste ende kan den forretningsmæssige indvirkning af en cyberhændelse bestemmes længe før hændelsen indtræffer. Forskellen mellem organisationer, der oplever langvarige forstyrrelser, og dem, der hurtigt kommer sig, afhænger ofte af ledelse, beredskab og evnen til at træffe effektive beslutninger under pres.
Organisationer, der forstår resiliens og deres kritiske processer, har klart definerede ansvarsområder, regelmæssigt tester deres indsatsplaner og giver folk mulighed for at handle, når omstændighederne ændrer sig, er et godt eksempel på, hvordan man skal operere. De anerkender også, at resiliens ikke blot er en teknisk evne, men en organisatorisk evne, formet af lederskab, kommunikation og beslutningstagning.
Omkostningerne ved en hændelse afhænger derfor ikke kun af, hvad der sker, men også af, hvor forberedt en organisation er på at reagere, og hvor meget styring man har over sine aktiviteter.
Udvid din viden
Blog: NVD-tilbagetrækningen bør føre til en robust tilgang til sårbarhedsstyring
