ENISA: ‘Schattingen van kosten cyberincidenten lopen ver uiteen’
De kosten van cyberincidenten zijn het hoogst in de financiële-, ICT- en energiesector. Hoe hoog de kosten exact zijn is echter moeilijk te zeggen. Doordat kostenberekningen niet op een uniforme manier worden uitgevoerd lopen de schattingen sterk uiteen. De ene schatting kan zo maar vijf miljoen euro hoger uitpakken dan een andere schatting.
Dit blijkt uit onderzoek van ENISA, het EU-agentschap voor Netwerk- en Informatieveiligheid. In het onderzoek bekijkt ENISA de kosten van aanvallen op kritieke infrastructuur. Maar daarbij komt het tot een interessante conclusie over het berekenen van die kosten: "Het meten van de echte impact van incidenten in termen van kosten voor een volledig herstel blijken een uitdagende taak", stelt ENISA.
Geen uniforme aanpak
Het agentschap wijst er op dat er geen consistente uniforme aanpak is om het kostenplaatje van een cyberaanval te berekenen. Rapporten hanteren anderen invalshoeken, ze focussen enkel op bepaalde sectoren, hanteren verschillende basiscijfers en tellen uitsluitend bepaalde incidenten mee. Rapporten en onderzoeken zijn hierdoor doorgaans uitsluitend in een bepaalde context relevant en kunnen niet worden vergeleken met gelijkaardige rapporten.
Als voorbeeld wijst ENISA op het aantal incidenten per bedrijf per jaar in Duitsland, waar een studie spreekt van 425.000 euro tot 20 miljoen euro. Een andere studie spreekt echter over 2,3 miljoen tot 15 miljoen euro. In wereldwijde onderzoeken vond de organisaties al even vage cijfers terug, die uiteenlopen van 330 tot 506 miljoen euro.
Financiële-, ICT- en energiesector is het duurste uit
Los van de kritiek kon de organisatie wel vaststellen dat incidenten het duurst zijn in de financiële-, ICT- en energiesector. In die eerste twee zijn Denial-of-service-aanvallen en aanvallen van binnenuit door eigen werknemers (insider threats) goed voor de helft van de berekende kosten.
Het volledige rapport van ENISA is hier te downloaden.
In samenwerking met Datanews
