Overskriftene fra 2026-utgaven av Cost of a Data Breach var interessant lesning, men viser det faktisk et bedre perspektiv på tilstanden til robusthet blant cyberprofesjonelle?
I den 21. utgaven av rapporten om kostnaden for et datainnbrudd var den globale gjennomsnittlige kostnaden for et datainnbrudd 4.99 millioner dollar, en betydelig økning fra 4.44 millioner dollar i 2025. IBM, som sponser rapporten, sa at dette tilsvarer rundt 1,100 dollar per time hendelsen pågår, inkludert alt fra krisehåndtering til driftsavbrudd og kundefrafall.
Rapporten fant også at den gjennomsnittlige tiden organisasjoner brukte på å identifisere og begrense et brudd hadde steget til 247 dager. Når brudd ble identifisert av interne IT-team, falt dette tallet til 209 dager i gjennomsnitt. Der organisasjoner forble uvitende om et brudd inntil angriperne varslet dem, nådde den gjennomsnittlige kostnaden 5.12 millioner dollar.
Selvfølgelig er alt dette nyttig å vite, og det finnes en haug med forskning tilgjengelig som tilbyr statistikk som dette. Men hva lærer vi egentlig av dette? Hvordan kan du måle nivået av robusthet basert på hvor mye et brudd kan koste deg, og hva som faktisk bestemmer forretningskonsekvensene av en cyberhendelse?
Etter store angrep og sikkerhetsbrudd det siste året blir organisasjoner i økende grad bedømt ut fra hvor effektivt de reagerer, gjenoppretter og opprettholder tillit, snarere enn bare om de opplever en cyberhendelse. Da én hendelse førte til at myndighetene reddet Jaguar Land Rover på 1.5 milliarder pund, ble det lagt større vekt på selskapets forberedelser, styring og robusthet i møte med en cyberhendelse.
Forretningsmessig påvirkning
Den forretningsmessige konsekvensen av et sikkerhetsbrudd måles ikke alltid etter størrelsen på en statlig redningspakke, men etter hvordan en organisasjon reagerer og hvor mye tillit den kan beholde gjennom sine handlinger overfor kunder, partnere og aksjonærer.
Lisa Ventura, spesialist på cybersikkerhet og grunnlegger av Cyber Security Unity, sier at tillit til syvende og sist opparbeides under en hendelse, ikke etter den, og gjenoppbygges gjennom kvaliteten og punktligheten på kommunikasjonen, spesielt mens situasjonen fortsatt er usikker: «og ikke bare gjennom pressemeldingen som sendes ut når alt er løst og oppe og går igjen.»
Hun sier at kundene vil huske om de ble informert tidlig, om det de ble fortalt var nøyaktig, og om organisasjonen holdt dem oppdatert etter hvert som bildet endret seg.
«Jeg tror mange ikke har noe imot at de har et ufullstendig budskap, de liker bare ikke at ingenting kommer ut. Så jeg ville satt en navngitt person i sentrum som kan håndtere [ting] fra et eksternt perspektiv og noen som er komfortabel med å forklare hva som er kjent og hva som ikke er det.»
I tillegg til dette er det verdt å vurdere hvordan anerkjente rammeverk som ISO 27001 kan støtte disse grunnlagene gjennom hendelsesrespons, forretningskontinuitet og kontinuerlig forbedring, og hvor mye de hjelper organisasjoner med å bygge disse evnene.
Forebygging til motstandskraft
Når vi ser på rapporten igjen, må vi vurdere hva den forteller oss om styring og cyberrobusthet, og hvor denne trenden er på vei. Bevisene tyder på at cybersikkerhet beveger seg fra en forebyggingsmodell til en robust modell, der organisasjoner antar at noen angrep vil komme gjennom og i økende grad fokuserer på å begrense eksplosjonsradiusen, opprettholde driften og gjenopprette raskt.
Selv om et selskap ikke kan garantere at det vil stoppe alle innbrudd, kan det fortsatt redusere kostnadene ved å identifisere hendelser tidligere, begrense dem raskere, opprettholde kritisk drift, teste hendelsesresponsprosesser, gjenopprette data og systemer, og til slutt gjenopprette kundenes tillit og lære av hendelsen. Motstandskraft blir derfor en målbar økonomisk kontroll snarere enn bare et konsept for katastrofegjenoppretting.
På dette punktet sa 64 % av organisasjonene at de ville øke sikkerhetsinvesteringene etter å ha opplevd et sikkerhetsbrudd . Dette gjør robusthet til et problem på styrenivå, ettersom angripere i økende grad retter seg mot tillit, offentlig oppfatning og langsiktig forretningspåvirkning. Organisasjoner trenger fortsatt forebygging, men de erkjenner i økende grad at forebygging alene ikke kan gi sikkerhet. Deteksjon, inneslutning, gjenoppretting og forretningskontinuitet blir derfor like viktige mål på sikkerhetseffektivitet.
Motstandskraft erstatter ikke forebygging fordi organisasjoner har gitt opp å stoppe angrep. Det blir viktigere fordi sannsynligheten for å forhindre hvert angrep synker, mens kostnaden ved å la et angrep fortsette øker.
Quentyn Taylor, direktør for informasjonssikkerhet hos Canon Europe, sa at han var klar over ett tilfelle der to selskaper ble rammet av samme aktør. Det ene var frakoblet i lang tid, mens det andre hadde utført «hendelsessimuleringer til n-te grad; alle visste hvor de var, og alle visste hva de burde gjøre».
Han sa at denne demonstrasjonen av motstandskraft og styring handler om å akseptere at vonde ting kommer til å skje og være forberedt på å håndtere dem, vurdere hva det minst verste utfallet kan være og identifisere den beste måten å komme seg på.
«For meg handler motstandskraft om at folk forstår hva de burde gjøre», sa han. «Det er ikke alle som jobber strengt etter en plan, men alle som jobber i henhold til planens ånd. Det er ekte motstandskraft.»
«Alle forstår hva det store bildet er, alle sier hva deres del av det store bildet er, og alle vet at jeg er bemyndiget til å ta de riktige avgjørelsene hvis jeg trenger det.»
Rask gjenoppretting
Til syvende og sist kan den forretningsmessige konsekvensen av en cyberhendelse avgjøres lenge før hendelsen inntreffer. Forskjellen mellom organisasjoner som opplever langvarige forstyrrelser og de som raskt gjenoppretter seg, kommer ofte ned til styring, beredskap og evnen til å ta effektive beslutninger under press.
Organisasjoner som forstår motstandskraft og sine kritiske prosesser, har klart definerte ansvarsområder, regelmessig tester sine responsplaner og gir folk mulighet til å handle når omstendighetene endrer seg, er et godt eksempel på hvordan de skal operere. De erkjenner også at motstandskraft ikke bare er en teknisk evne, men en organisatorisk evne, formet av lederskap, kommunikasjon og beslutningstaking.
Kostnaden ved en hendelse avhenger derfor ikke bare av hva som skjer, men også av hvor forberedt en organisasjon er på å reagere og hvor mye styring man har over driften.
Utvid din kunnskap
Blogg: NVD-tilbaketrekningen bør føre til en robust tilnærming til sårbarhetshåndtering
