Zawartość
- Straty są oszałamiające
- Pytanie o wyniki kapitałowe w długim okresie
- Reakcje na incydent cyberbezpieczeństwa
- Bez błędów, bez stresu - Twój przewodnik krok po kroku do tworzenia oprogramowania zmieniającego życie bez niszczenia życia
Źródło: iStock
Na wynos:
W tym miejscu badamy trwałe skutki cyberataków, w szczególności krótko- i długoterminowe szkody wyrządzone cenom akcji oraz to, w jaki sposób kierownictwo wyższego szczebla i członkowie zarządu są bezpośrednio zaangażowani zarówno w działania zapobiegawcze, jak i reakcyjne w radzeniu sobie z cyberatakami.
Cyberbezpieczeństwo jest wszechobecnym tematem dla IT, ale dzisiejsze cyberataki wpływają również na dużą rzeszę osób spoza IT. Naruszenie danych może mieć wpływ na życie osób, których dane osobowe są kradzione przez wiele lat po zapomnieniu o incydencie. W innych przypadkach informacje zastrzeżone mogą zostać skradzione, co eliminuje przewagę konkurencyjną wewnętrznych jednostek biznesowych i działów produktów. Ataki Ransomware i DDoS mogą zakłócać operacje biznesowe i usługi dla klientów i dostawców przez wiele dni i tygodni. Co więcej, skala niektórych cyberataków wpływa dziś na zyski i zyski, jednocześnie poważnie niszcząc wizerunek korporacyjny osób poszkodowanych. (2017 r. Wydawał się rokiem transparentnym dla cyberprzestępczości, ale dowiedz się, co firmy robią, aby temu przeciwdziałać w Cyberprzestępczości 2018: The Enterprise Strikes Back.)
W rezultacie incydenty te, przynajmniej w krótkim okresie, osłabiają ceny akcji, co ma wpływ na akcjonariuszy, aw rezultacie wywołuje alarm w salach zarządu spółek. Według badania Deloitte / Society for Corporate Governance Survey 2016 r. Cyberbezpieczeństwo znalazło się na pierwszym miejscu, na którym koncentrują się rady. Jako kolejny dowód, według NACDs Directors Handbook on Cyber-Risk Overversight, mniej niż 40 procent dyrektorów korporacyjnych zgłosiło, że ryzyko cyberbezpieczeństwa było rutynowo omawiane na posiedzeniach zarządu w 2014 roku. W 2017 roku liczba ta wynosiła 90 procent.
Straty są oszałamiające
Obawy związane z cyberbezpieczeństwem w zarządach korporacji są dobrze uzasadnione w oparciu o niektóre zagrożenia w 2017 r., Na które napotykają duże korporacje.
- Nuance Communications jest głównym dostawcą narzędzi głosowych i językowych z siedzibą w Burlington w stanie Massachusetts, który oferuje pakiet usług dyktowania i transkrypcji, który obsługuje ponad 500 000 lekarzy i 10 000 placówek opieki zdrowotnej. Usługi te pozwalają lekarzom dyktować notatki z telefonu. Firma została dotknięta globalnym atakiem Petya 27 czerwca, zakłócając jej podstawową działalność na okres od trzech do pięciu tygodni, zmuszając ją do oferowania alternatywnych usług dyktowania klientom dotkniętym awarią. Pełne przywrócenie wszystkich usług w chmurze zajęło pełne pięć tygodni. Ponieważ prawie połowa przychodów firmy pochodzi z tych produktów, pod koniec lipca firma ogłosiła, że atak negatywnie wpłynie na kwartalne zarobki. Akcje spadły o cztery procent natychmiast po ogłoszeniu, a handel został wstrzymany rano.
- Pod koniec września byliśmy świadkami jednego z największych naruszeń danych w historii, w którym dane osobowe 145,5 miliona Amerykanów zostały skradzione w obecnie znanym naruszeniu Equifax. Aby spotęgować tę trudną sytuację, kierownictwo powolnie upubliczniało incydent, a początkowe kroki w celu rozwiązania problemu były źle pomyślane. W ciągu kilku tygodni po ataku Equifax stał się żartem i ostrą krytyką. Zapasy spadły o 30 procent w ciągu tygodnia, ostatecznie spadając po dalszych 15 procentach spadku. Straty kapitałowe w tym okresie wyniosły ponad 4 miliardy dolarów. Same koszty sprzątania wyniosły 87,5 mln USD, a Equifax odnotował 27-procentowy spadek dochodu netto w trzecim kwartale. (Naruszenie zasad Equifax było spowodowane przez podatność innej firmy. Dowiedz się więcej w części Jakościowa vs Ilościowa: czas na zmianę, jak oceniamy stopień podatności osób trzecich?)
Ogromne straty z cyberataków nie pojawiły się nagle w 2017 r. W 2011 r. Koszty cyberprzestępczości dla przedsiębiorstw w USA wyniosły 9 mld USD. Do 2015 r. Koszty te wzrosły do ponad 400 mld USD, a w 2016 r. Wzrosły do 600 mld USD. Prognozuje się, że do 2019 r. Cyberataki będą kosztować firmy prawie 2 bln USD. Kwoty związane z cyberatakami są szokujące, a opinia publiczna zaczyna zauważać. Co więcej, inwestorzy stają się coraz bardziej wykształceni na temat zakłóceń i ogromnych kosztów związanych z dzisiejszym cyberatakiem.
Pytanie o wyniki kapitałowe w długim okresie
Chociaż nie ma wątpliwości, że rynki akcji mogą uderzyć w spółkę giełdową w dniach następujących po naruszeniu danych, istnieją mieszane dowody na to, czy incydenty związane z cyberbezpieczeństwem mają długoterminowy negatywny wpływ. Badanie wydane przez firmę konsultingową CGI i Oxford Economics wykazało, że naruszenia bezpieczeństwa cybernetycznego trwale obniżają ceny akcji spółki o około 1,8 procent. W badaniu wzięło udział 65 firm, które doświadczyły naruszenia obejmującego setki tysięcy rekordów lub więcej od 2013 r. Całkowity koszt dla akcjonariuszy 65 firm objętych badaniem wyniósł ponad 52 mld USD. Konkluzja raportu była taka, że inwestorzy typowej firmy FTSE 100 są zdecydowanie gorzej po naruszeniu przez dłuższy okres.
Inne badanie przeprowadzone przez Compairtech w ubiegłym roku przyniosło podobne wyniki. W badaniu wzięły udział 24 spółki giełdowe, takie jak Target i Yahoo, które padły ofiarą naruszenia danych obejmującego co najmniej 1 milion rekordów. Wyniki badania wykazały, co następuje:
- Średnio akcje zanotowały natychmiastowy spadek ceny akcji w wyniku naruszenia o 0,43 procent, mniej więcej równego ich średniej dziennej zmienności.
- W dłuższej perspektywie ceny akcji nadal rosną średnio, ale w znacznie wolniejszym tempie. Cena akcji wzrosła o 45,6 procent w ciągu trzech lat przed naruszeniem, a jedynie o 14,8 procent w ciągu trzech lat później. Dzienna zmienność była prawie taka sama dla obu okresów.
- Naruszone firmy zwykle osiągają gorsze wyniki niż NASDAQ. Wracają do poziomu wydajności indeksu średnio po 38 dniach, ale po trzech latach NASDAQ ostatecznie przewyższa je o ponad 40 procent.
Ostatnie badanie przeprowadzone przez Georgetown University pokazuje jednak niewielką korelację między naruszeniami bezpieczeństwa a długoterminowymi wynikami kapitałowymi. Badanie obejmowało zbiór danych 235 firm, w których odnotowano przypadki naruszenia danych z 2005 r. Firmy reprezentowały wszystkie branże, w tym uznaniowość konsumentów, finanse, opiekę zdrowotną i technologię. W badaniu nie stwierdzono znaczącej rozbieżności między wynikami przed i po występie po 90 dniach od naruszenia. Autorzy badania doszli do wniosku, że straty związane z wpływem naruszenia danych na akcje spółki wydają się być wysoce zależne od wielu zmiennych charakterystycznych dla firmy. W innym badaniu opublikowanym w Harvard Business Review w 2015 r. Stwierdzono, że chociaż ceny akcji znacznie spadają w dniach następujących po ataku takim jak Home Depot, ceny akcji zaczynają odreagowywać średnio po dwóch tygodniach i zachowują się normalnie w zależności od warunków rynkowych. Badanie wykazało, że państwowe usługi finansowe, opieka zdrowotna i globalne firmy telekomunikacyjne poniosły najbardziej trwałe szkody.
Reakcje na incydent cyberbezpieczeństwa
W polityce istnieje stare powiedzenie, że zatuszowanie jest znacznie gorsze niż przestępstwo. Może tak być również w przypadku cyberataków. Jednym z przykładów był brytyjski operator telefoniczny i szerokopasmowy TalkTalk, który doznał naruszenia danych z udziałem 4 milionów swoich klientów w 2015 roku. Zapasy spadły o ponad 10 procent w ciągu pierwszych dwóch dni. Kierownictwo było bardzo skrytykowane w następnych miesiącach za złe podejście do sytuacji, co przyczyniło się do utraty ponad 90 000 klientów. Stada nie udało się odzyskać w sposób podobny do tych z badań Georgetown i Harvard University.
Bez błędów, bez stresu - Twój przewodnik krok po kroku do tworzenia oprogramowania zmieniającego życie bez niszczenia życia
Nie możesz poprawić swoich umiejętności programistycznych, gdy nikt nie dba o jakość oprogramowania.
To jest właśnie powód, dla którego ciężar odpowiedzialności za ochronę organizacji przed zagrożeniami cybernetycznymi, a także reakcja na nią, spoczywa na CEO, CIO / CTO / CSO i zespole wykonawczym. Cyberbezpieczeństwo nie jest już „problemem informatycznym”. Jest to kwestia, która powinna obejmować zarówno kierownictwo wyższego szczebla, jak i zarząd, któremu podlegają. Dwie rzeczy wydają się pewne - ataki wzrosną tylko w nadchodzących latach, a koszty tych ataków z pewnością wzrosną wraz z nimi.