Inhoud
- De verliezen zijn enorm
- De kwestie van aandelenprestaties op lange termijn
- Reacties op een cybersecurity-incident
- Geen bugs, geen stress - Uw stapsgewijze handleiding voor het creëren van levensveranderende software zonder uw leven te vernietigen
Bron: iStock
Afhaal:
Hier onderzoeken we de blijvende gevolgen van cyberaanvallen, met name de korte- en langetermijnschade aan aandelenkoersen en hoe senior management en bestuursleden nu direct betrokken zijn bij zowel preventie- als reactionaire maatregelen bij de aanpak van cyberaanvallen.
Cybersecurity is een alomtegenwoordig onderwerp voor IT, maar cyberaanvallen van vandaag hebben ook invloed op een groot aantal personen buiten IT. Datalekken kunnen van invloed zijn op het leven van mensen wier persoonlijke informatie jarenlang wordt gestolen nadat het incident is vergeten. In andere gevallen kan bedrijfseigen informatie worden gestolen waardoor concurrentievoordelen voor interne bedrijfsonderdelen en productdivisies worden geëlimineerd. Ransomware- en DDoS-aanvallen kunnen de bedrijfsactiviteiten en services dagen en weken verstoren voor klanten en leveranciers. Bovendien zijn de omvang van sommige cyberaanvallen tegenwoordig van invloed op de inkomsten en winsten, terwijl het bedrijfsimago van de getroffenen ernstig wordt aangetast. (2017 voelde als een bannerjaar voor cybercriminaliteit, maar leer wat bedrijven doen om dit tegen te gaan in Cybercrime 2018: The Enterprise Strikes Back.)
Als gevolg hiervan zijn deze incidenten, althans op de korte termijn, aan het afschrijven op aandelenkoersen, wat aandeelhouders treft en als gevolg daarvan alarmbellen rinkelen in de directiekamers. Volgens de 2016 Deloitte / Society for Corporate Governance Board Practices Survey, is cyberveiligheid gerangschikt als het nummer één risico waar besturen zich vandaag op richten. Als aanvullend bewijs, volgens het NACD's Director Handbook on Cyber-Risk Oversight, meldde minder dan 40 procent van de bedrijfsdirecteuren dat cybersecurityrisico's routinematig werden afgedekt in bestuursvergaderingen in 2014. In 2017 was dat 90 procent.
De verliezen zijn enorm
Cybersecurity-problemen binnen bestuurskamers zijn goed onderbouwd op basis van enkele van de bedreigingen die grote bedrijven in 2017 hebben ervaren.
- Nuance Communications is een belangrijke leverancier van spraak- en taalhulpmiddelen in Burlington, Massachusetts, die een reeks dicteer- en transcriptiediensten produceert die meer dan 500.000 artsen en 10.000 zorginstellingen bedienen. Met deze services kunnen artsen notities dicteren vanaf de telefoon. Het bedrijf werd getroffen door de wereldwijde Petya-aanval op 27 juni, waardoor de kernactiviteiten drie tot vijf weken werden onderbroken, waardoor het bedrijf werd gedwongen alternatieven voor dicteerservices aan te bieden aan klanten die door de storing waren getroffen. Het duurde vijf weken om alle cloudservices volledig te herstellen. Omdat bijna de helft van de inkomsten van het bedrijf uit deze producten komt, kondigde het bedrijf eind juli aan dat de aanval de kwartaalresultaten negatief zou beïnvloeden. Het aandeel daalde onmiddellijk na de aankondiging met vier procent en de handel werd die ochtend gestopt.
- Eind september waren we getuige van een van de grootste datalekken in de geschiedenis waarin de persoonlijke gegevens van 145,5 miljoen Amerikanen werden gestolen in de nu beruchte Equifax-inbreuk. Om de beproeving nog erger te maken, publiceerden topmanagers het incident traag en waren de eerste stappen om het probleem aan te pakken slecht bedacht. Equifax werd de dupe van grappen en intense kritiek in de weken na de aanval. De voorraad daalde met 30 procent binnen een week, uiteindelijk dieptepunt na een verdere 15 procent verder gedaald. Het verlies aan eigen vermogen bedroeg in die periode meer dan $ 4 miljard dollar. De schoonmaakkosten alleen bedroegen $ 87,5 miljoen en Equifax rapporteerde een daling van 27 procent in het nettoresultaat van het derde kwartaal. (De Equifax-inbreuk werd veroorzaakt door een kwetsbaarheid van derden. Meer informatie in Kwalitatief versus Kwantitatief: tijd om te veranderen hoe we de ernst van kwetsbaarheden van derden beoordelen?)
De gigantische verliezen van cyberaanvallen verschenen niet alleen plotseling in 2017. In 2011 bedroegen de cybercriminaliteitskosten voor bedrijven in de VS $ 9 miljard. Tegen 2015 liepen deze kosten op tot meer dan $ 400 miljard en stegen ze verder tot $ 600 miljard in 2016. Cyberaanvallen zullen bedrijven naar verwachting bijna $ 2 triljoen kosten in 2019. De bedragen in verband met cyberaanvallen zijn schokkend en het publiek begint er kennis van te nemen. Bovendien worden investeerders meer opgeleid over de verstoring en de gigantische kosten van een cyberaanval.
De kwestie van aandelenprestaties op lange termijn
Hoewel er weinig twijfel bestaat dat aandelenmarkten een beursgenoteerd bedrijf kunnen hameren in de dagen na een datalek, zijn er gemengde aanwijzingen dat incidenten met cybersecurity op lange termijn een negatief effect hebben. Een studie van IT-consultant CGI en Oxford Economics toonde aan dat inbreuken op cybersecurity de aandelenkoersen van bedrijven op permanente basis ongeveer 1,8 procent uithollen. Bij het onderzoek waren 65 bedrijven betrokken die sinds 2013 honderdduizenden records of meer hadden overtreden. De totale kosten voor de aandeelhouders van de 65 bedrijven in het onderzoek bedroegen meer dan $ 52 miljard. De conclusie van het rapport was dat beleggers van een typisch FTSE 100-bedrijf na een langetermijnbreuk absoluut slechter af zijn.
Een ander onderzoek dat vorig jaar door Compairtech is uitgevoerd, heeft vergelijkbare bevindingen opgeleverd. Bij het onderzoek waren 24 beursgenoteerde bedrijven als Target en Yahoo betrokken die het slachtoffer waren van een datalek met minstens 1 miljoen records. Resultaten van het onderzoek toonden het volgende:
- Aandelen leden gemiddeld een onmiddellijke daling van de aandelenkoers na een schending van 0,43 procent, ongeveer gelijk aan hun gemiddelde dagelijkse volatiliteit.
- Op de lange termijn blijven de aandelenkoersen gemiddeld stijgen, maar in een veel langzamer tempo. Er was een stijging van 45,6 procent van de aandelen gedurende drie jaar voorafgaand aan de inbreuk, en slechts 14,8 procent groei in de drie jaar daarna. De dagelijkse volatiliteit was voor beide periodes ongeveer hetzelfde.
- Onderbroken bedrijven hebben de neiging om onder de NASDAQ te presteren. Ze herstellen zich gemiddeld na 38 dagen naar het prestatieniveau van de index, maar na drie jaar overtreft de NASDAQ ze uiteindelijk met een marge van meer dan 40 procent.
Een recent onderzoek van de universiteit van Georgetown toont echter weinig correlatie tussen beveiligingsinbreuken en langetermijnprestaties van aandelen. Het onderzoek betrof een dataset van 235 bedrijven met geregistreerde datalekken die teruggingen tot 2005. De bedrijven vertegenwoordigden alle sectoren, waaronder consumentengoederen, financiële instellingen, gezondheidszorg en technologie. De studie rapporteerde geen betekenisvolle ongelijkheid tussen pre- en post-performance na 90 dagen na de inbreuk. De auteurs van de studie concludeerden dat verliezen die te maken hebben met de impact van datalekken op bedrijfsvoorraden sterk afhankelijk lijken te zijn van veel variabelen die uniek zijn voor het bedrijf. Een ander onderzoek dat in 2015 in de Harvard Business Review werd gepubliceerd, concludeerde dat hoewel aandelenkoersen aanzienlijk dalen in de dagen na een aanval zoals die op Home Depot, aandelenkoersen na gemiddeld twee weken beginnen te herstellen en zich normaal gedragen op basis van marktomstandigheden. De studie stelde wel dat financiële diensten, gezondheidszorg en wereldwijde telecombedrijven de meeste schade ondervinden.
Reacties op een cybersecurity-incident
In de politiek is er het oude gezegde dat de cover-up veel erger is dan de misdaad. Dit kan ook het geval zijn met betrekking tot cyberaanvallen. Een voorbeeld hiervan was de Britse telefoon- en breedbandprovider TalkTalk, die in 2015 een gegevensinbreuk had opgelopen bij 4 miljoen klanten. De voorraad daalde binnen de eerste twee dagen met meer dan 10 procent. Het management werd de volgende maanden zwaar bekritiseerd vanwege de slechte afhandeling van de situatie, die heeft bijgedragen tot het verlies van meer dan 90.000 klanten. Het aandeel kon zich niet herstellen op de manier zoals die in de studies van Georgetown en Harvard University.
Geen bugs, geen stress - Uw stapsgewijze handleiding voor het creëren van levensveranderende software zonder uw leven te vernietigen
U kunt uw programmeervaardigheden niet verbeteren als niemand om softwarekwaliteit geeft.
Dit is precies de reden waarom het gewicht van de verantwoordelijkheid om een organisatie te beschermen tegen cyberdreigingen, evenals de reactie daarop, wordt gelegd op de CEO, CIO / CTO / CSO en het executive team. Cybersecurity is niet langer een 'IT-probleem'. Het is een kwestie waarbij zowel het senior management als de raad van bestuur betrokken moeten zijn. Twee dingen lijken zeker - aanvallen zullen de komende jaren alleen maar toenemen en de kosten van die aanvallen zullen zeker met hen mee stijgen.