Hva koster manglende cybersikkerhet?

Manglende cybersikkerhet koster selskaper gjennom driftsstopp, produksjonsbortfall, gjenoppretting, juridiske kostnader og tapt tillit. Enkelthendelser kan koste millioner, spesielt ved ransomware og leverandørintrusjoner. Forebyggende tiltak som SOC/SIEM, opplæring og leverandørkontroller reduserer risiko og totale eierskapskostnader.

Hva innebærer manglende cybersikkerhet for bedrifter?

Bør jeg styrke bedriftens cybersikkerhetsarbeid? Et godt og viktig spørsmål. For å forstå hvordan din bedrift bør handle i denne raskt skiftende og risikofylte omverdenen, skal vi se på hvordan investeringene i cybersikkerhet utvikler seg – og hvilke konsekvenser et etterslep i sikkerhetsarbeidet kan ha.

Les mer om:

Hva koster en hendelse din bedrift?
Hvordan investerer norske bedrifter i cybersikkerhet?

Kontinuitets- og hendelseshåndtering: Slik forbereder du organisasjonen på et cyberangrep

Vanlige angrep som driver kostnader

Angrepene mot bedrifter blir mer sofistikerte og målrettede. Ransomware, datatyveri og phishing-angrep mot nøkkelpersoner i leverandørkjeden fortsetter å øke. Målet er å stjele innloggingsopplysninger eller få tilgang til interne systemer, ofte gjennom skreddersydde angrep mot spesifikke personer som er vanskelige å oppdage i tide.

Angrep via tredjeparter

Angrep via tredjepartsleverandører har rammet flere bedrifter, for eksempel i SolarWinds-angrepet i Sverige der flere svenske myndigheter og bedrifter ble indirekte påvirket når programvaren til deres IT-leverandør ble brukt som inngangssport.

Nasjonal sikker-hetsmyndighet (NSM) understreker også at mange virksomheter bruker leverandører uten tilstrekkelig sikkerhetsoppfølging — og advarer om at det uten god oversikt i leverandørkjeden går på bekostning av sikkerheten. Skadelig kode i programoppdateringer eller maskinvare fra leverandører er et voksende problem, der angripere legger inn skadelig kode i oppdateringer eller komponenter, noe som kan føre til at bedrifter uvitende åpner for inntrengning i systemene.

Social engineering og phishing

Social engineering er en annen metode der angripere som utgir seg for å være leverandører eller partnere kontakter medarbeidere for å få tilgang til sensitiv informasjon eller systemer. Manglende kontroll og sikkerhet hos leverandøren gjør det vanskelig for bedriftene å oppdage og håndtere risikoer i leverandørkjeden. Dette har ført til flere hendelser der norske bedrifter har blitt utsatt for datainnbrudd via mindre nøyaktige underleverandører.

AI som trussel og forsvar

Truslene er mange og i stadig endring. AI brukes i økende grad for å forsterke skadelig kode og utforme mer avanserte angrep. Samtidig satser over 75 % av bedriftene på AI og maskinlæring i sine IT-investeringer, noe som er positivt ettersom teknologien også kan brukes for å oppdage trusler og ta mer datadrevne beslutninger. Gjennom å prioritere AI kan bedrifter styrke sin motstandskraft mot avanserte angrep og menneskelige feil.

At hele 67 % av selskapene øker sine cybersikkerhetsbudsjetter i år viser at selskapene innser hva svak cybersikkerhet kan koste både på kort og lang sikt.

Hva koster en hendelse? Direkte og indirekte kostnader

At hele 67% av selskapene øker sitt cybersikkerhetsbudsjett i år viser at selskapene innser hva mangelfull cybersikkerhet kan koste både på kort og lang sikt.

Det kan dreie seg om direkte kostnader knyttet til driftsstans, produksjonstap og gjenoppretting av systemer. Hvis det er et ransomware-angrep dere har blitt utsatt for, kan det også være kostnader i form av løsepenger. Et eksempel på dette er Coop Sveriges driftsstans i 2021 som følge av et leverandørinnbrudd, noe som førte til at hundrevis av butikker måtte stenge i flere dager. Driftsstansen kostet Coop ca 250 millioner SEK.

Men en sikkerhetshendelse medfører også indirekte økonomiske konsekvenser for selskapet. Her handler det snarere om tapt tillit hos kunder og samarbeidspartnere, et skadet varemerke og juridiske kostnader. Det er disse typene av indirekte følger som kan påvirke lenge etter at systemene er gjenopprettet og virksomheten er i gang igjen.

Forebyggende strategier som gir størst effekt

For å unngå disse risikoene og deres konsekvenser kreves et tydelig fokus på forebyggende strategier og langsiktige sikkerhetsinvesteringer.

Dermed er det gledelig å se at sikkerhet i form av strategi og overholdelse prioriteres høyt av selskapene. De mer sikkerhetsmodne selskapene jobber kontinuerlig med sårbarhetsanalyser, SOC, samsvar og sanntidsovervåkning (SIEM). Imidlertid ser vi at bare 33% av selskapene satser på opplæring for å øke sikkerhetsbevissthet og sikker atferd blant medarbeiderne.

Kostnadene av en neglisjert cybersikkerhetsinnsats er betydelige – både økonomisk og i form av tapt tillit. Til tross for at 67% av norske virksomheter øker sine investeringer innen cybersikkerhet, mener fortsatt en stor del av IT-beslutningstakerne, 53%, at deres organisasjon er underinvesterte på området.

Som bedriftsleder er det derfor helt avgjørende å kombinere tekniske løsninger med bevisste investeringer i strategi, opplæring og samarbeid i leverandørkjeden, slik at dere er bedre rustet mot fremtidige trusler.

5 vanlige spørsmål og svar

Hva koster et datainnbrudd for et middels stort selskap?
Typisk fra hundretusen til flere millioner NOK per hendelse, avhengig av driftsstans, gjenoppretting/IR, juridisk/PR, eventuell løsepenger og merkevarepåvirkning.
Hvilke angrep øker vanligvis kostnadene?
De dyreste angrepene er ofte ransomware, leverandørinnbrudd og målrettede angrep mot kjernevirksomheten. De lammer driften, koster millioner i gjenoppretting – og kan skade tilliten til selskapet i lang tid.
Hvilke tiltak gir raskest risikoreduksjon?
Aktiver MFA overalt, fiks prioriterte sårbarheter raskt, implementer EDR og basic logging, samt ha offline-kopier av sikkerhetskopi og teste gjenoppretting regelmessig.
Hvordan reduserer vi risikoen for leverandørinnbrudd?
Sett sikkerhetskrav i avtaler og følg opp sertifiseringer/revisjoner, gi minstekrav til tilgang og segmenter tilgang, samt overvåk integrasjoner og varsle om avvik.
Hvor mye bør vi budsjettere for cybersikkerhet?
En vanlig retningslinje er 5–15 % av IT-budsjettet, men riktig nivå bør være risikobasert ut fra virksomheten, regulatoriske krav og deres faktiske angrepsflate.