Obsah
- Ztráty jsou ohromující
- Otázka výkonu vlastního kapitálu dlouhodobě
- Reakce na incident s kybernetickou bezpečností
- Žádné chyby, žádný stres - Váš průvodce krok za krokem k vytváření softwaru pro změnu života, aniž by došlo ke zničení vašeho života
Zdroj: iStock
Odnést:
Zde zkoumáme trvalé dopady kybernetických útoků, konkrétně krátkodobé a dlouhodobé škody způsobené cenám akcií a to, jak se nyní vrcholový management a členové představenstva přímo podílejí na prevenci a reakčních opatřeních při řešení kybernetických útoků.
Kybernetická bezpečnost je všudypřítomným tématem pro IT, ale dnes kybernetické útoky ovlivňují velký počet jednotlivců mimo IT. Porušení dat může mít dopad na životy lidí, jejichž osobní údaje jsou ukradeny roky poté, co byla událost zapomenuta. V jiných případech mohou být odcizeny chráněné informace, které vylučují konkurenční výhody pro interní obchodní jednotky a divize produktů. Útoky Ransomware a DDoS mohou narušit obchodní operace a služby pro zákazníky a dodavatele na několik dní a týdnů. Kromě toho rozsah některých kybernetických útoků dnes ovlivňuje výdělky a zisky a zároveň závažně poškozuje firemní image postižených. (2017 se cítil jako bannerový rok pro kyberkriminalitu, ale zjistěte, co společnosti dělají, aby proti tomu bojovaly v kybernetickém zločinu 2018: The Enterprise Strikes Back.)
Výsledkem je, že tyto incidenty přinejmenším v krátkodobém horizontu odpisují ceny akcií, což ovlivňuje akcionáře, a v důsledku toho zazvoní poplachové zvonky ve firemních zasedacích místnostech. Podle průzkumu Rady pro správu podniků Deloitte / Společnost pro správu a řízení společností z roku 2016 byla kybernetická bezpečnost zařazena mezi největší riziko, na které se dnešní rady zaměřují. Jako další důkaz lze uvést, že podle Příručky ředitelů NACD o dohledu nad rizikem kybernetického rizika uvedlo méně než 40 procent ředitelů společností, že rizika kybernetické bezpečnosti byla rutinně pokryta na zasedáních představenstva v roce 2014. V roce 2017 to bylo 90 procent.
Ztráty jsou ohromující
Obavy týkající se kybernetické bezpečnosti v korporátních zasedacích místnostech jsou opodstatněné na základě některých hrozeb, s nimiž se velké společnosti v roce 2017 setkaly.
- Nuance Communications je významným poskytovatelem hlasových a jazykových nástrojů se sídlem v Burlingtonu v Massachusetts, který produkuje sadu diktaturních a přepisových služeb, které slouží více než 500 000 klinikům a 10 000 zdravotnickým zařízením. Tyto služby umožňují lékařům diktovat poznámky z telefonu. Společnost byla zasažena globálním útokem Petya 27. června, který přerušil její hlavní operace na tři až pět týdnů, což nutilo společnost nabízet alternativy diktátových služeb zákazníkům postiženým výpadkem. Úplné obnovení všech cloudových služeb trvalo celkem pět týdnů. Protože téměř polovina příjmů společnosti pochází z těchto produktů, společnost na konci července oznámila, že útok bude mít nepříznivý dopad na čtvrtletní příjmy. Ihned po oznámení akcie klesly o čtyři procenta a obchodování se ráno zastavilo.
- Koncem září jsme byli svědky jednoho z největších porušení dat v historii, kdy byly při dnešním notoricky známém porušení Equifaxu odcizeny osobní údaje 145,5 milionu Američanů. Abychom zkomplikovali utrpení, vrcholní vedoucí pracovníci byli při zveřejňování incidentu pomalí a počáteční kroky k řešení problému byly špatně koncipovány. Během týdnů po útoku se Equifax stal náporem vtipů a intenzivní kritiky. Jeho akcie klesly o 30 procent během týdne, nakonec dna poté, co klesly o dalších 15 procent dále. Ztráty vlastního kapitálu za toto období činily více než 4 miliardy dolarů. Samotné náklady na vyčištění činily 87,5 milionu USD a společnost Equifax vykázala 27% pokles čistého příjmu ve třetím čtvrtletí. (Porušení systému Equifax bylo způsobeno zranitelností třetích stran. Další informace naleznete v části Kvalitativní vs. Kvantitativní: Čas na změnu Jak hodnotíme závažnost zranitelností třetích stran?)
Ohromující ztráty z kybernetických útoků se v roce 2017 neobjevily jen náhle. V roce 2011 činily náklady v oblasti počítačové kriminality pro podniky v USA celkem 9 miliard USD. Do roku 2015 se tyto náklady stočily na více než 400 miliard dolarů a v roce 2016 dále vzrostly na 600 miliard dolarů. Předpokládá se, že do roku 2019 budou náklady podniků činit téměř 2 biliony dolarů. Částky spojené s kybernetickými útoky jsou šokující a veřejnost si toho začíná všímat. Kromě toho se investoři stále více vzdělávají o narušení a mamutích nákladech, které dnes kybernetický útok způsobuje.
Otázka výkonu vlastního kapitálu dlouhodobě
I když není pochyb o tom, že akciové trhy mohou ve dnech po narušení údajů narušit veřejně obchodovanou společnost, existují smíšené důkazy o tom, zda incidenty s kybernetickou bezpečností mají dlouhodobě udržitelný negativní účinek. Studie vydaná poradenskou společností CGI a Oxford Economics z oblasti IT ukázala, že porušení kybernetické bezpečnosti trvale narušuje ceny akcií společnosti přibližně o 1,8 procenta. Do studie bylo zapojeno 65 společností, které od roku 2013 zaznamenaly porušení zahrnující stovky tisíc záznamů nebo více. Celkové náklady pro akcionáře 65 společností ve studii činily více než 52 miliard USD. Závěrem zprávy bylo, že investoři typické firmy FTSE 100 jsou po delším období rozhodně horší.
Další studie provedená společností Compairtech v loňském roce přinesla podobné nálezy. Do studie bylo zapojeno 24 veřejně obchodovaných společností, jako jsou Target a Yahoo, které se staly obětí narušení dat zahrnujících nejméně 1 milion záznamů. Výsledky studie ukázaly následující:
- Akcie v průměru utrpěly okamžitý pokles ceny akcií po porušení 0,43 procenta, což se přibližně rovná jejich průměrné denní volatilitě.
- V dlouhodobém horizontu ceny akcií nadále rostou v průměru, ale mnohem pomaleji. Během tří let před porušením došlo k nárůstu ceny akcií o 45,6 procenta a za tři roky poté došlo pouze k nárůstu o 14,8 procenta. Denní volatilita byla v obou obdobích zhruba stejná.
- Porušené společnosti mají sklon k nedostatečnému výkonu NASDAQ. Obnoví se na úroveň výkonnosti indexu v průměru po 38 dnech, ale po třech letech je NASDAQ nakonec překoná o více než 40 procent.
Nedávná studie provedená Georgetown University však ukazuje malou korelaci mezi narušení bezpečnosti a dlouhodobým výkonem vlastního kapitálu. Studie zahrnovala soubor údajů 235 společností, u nichž byla zaznamenána porušení dat z roku 2005. Společnosti zastupovaly všechna průmyslová odvětví, včetně spotřebitelských diskrečních, finančních, zdravotnických a technologických. Studie nezaznamenala žádný významný rozdíl mezi výkonem před a po výkonu po 90 dnech po porušení. Autoři studie dospěli k závěru, že ztráty spojené s dopadem narušení dat na akcie společnosti se zdají být vysoce závislé na mnoha proměnných, které jsou pro společnost jedinečné. Další studie zveřejněná v Harvard Business Review v roce 2015 dospěla k závěru, že zatímco ceny akcií výrazně klesají ve dnech následujících po útoku, jako je ten na Home Depot, ceny akcií začínají v průměru stoupat po dvou týdnech a chovat se normálně na základě tržních podmínek. Studie způsobila státní finanční služby, zdravotní péči a globální telekomunikační společnosti nejtrvalejší škody.
Reakce na incident s kybernetickou bezpečností
V politice je staré přísloví, že maskování je mnohem horší než zločin. To může platit i v případě kybernetických útoků. Jedním z příkladů byl poskytovatel telefonních a širokopásmových služeb ve Velké Británii, TalkTalk, který v roce 2015 utrpěl porušení dat týkající se 4 milionů jeho zákazníků. Během prvních dvou dnů došlo k poklesu akcií o více než 10 procent. Management byl v následujících měsících vysoce kritizován za špatné řešení situace, což přispělo ke ztrátě více než 90 000 zákazníků. Akcie se nepodařilo zotavit způsobem, který byl ve studiích na Georgetownu a Harvardově univerzitě.
Žádné chyby, žádný stres - Váš průvodce krok za krokem k vytváření softwaru pro změnu života, aniž by došlo ke zničení vašeho života
Nemůžete zlepšit své programovací schopnosti, když se nikdo nestará o kvalitu softwaru.
To je právě důvod, proč je váha odpovědnosti za udržování organizace v bezpečí před kybernetickými hrozbami a reakce na ně kladena na generálního ředitele, CIO / CTO / CSO a výkonný tým. Kybernetická bezpečnost již není „problémem s IT“. Je to záležitost, která by měla zahrnovat jak vrcholové vedení, tak představenstvo, kterému podléhají. Dvě věci se zdají jisté - útoky se v nadcházejících letech zvýší a náklady na tyto útoky s nimi jistě vzrostou.