Gemiddelde schade per cyberaanval fors gestegen

De bijna 6000 professionals wereldwijd, waarvan 500 uit Nederland, werden bevraagd tussen december 2019 en februari 2020. In die periode waren er minder bedrijven die ten minste een cyber event rapporteerden. Een cyber event kan een incident zijn waarbij geen informatie wordt buitgemaakt of gelekt, en kan ook een lek (breach) zijn als er wel informatie op straat komt te liggen. In het rapport wordt die splitsing niet gemaakt. 39 procent van de bedrijven wereldwijd rapporteerde ten minste één cyber event. In Nederland lag het percentage rond het gemiddelde, 37 procent van de ondervraagde bedrijven had te maken met tenminste een cyber event.

Kosten stegen fors

Vooral bedrijven in de financiële dienstverlening, fabricage en media en telecom krijgen het vaakst te maken met incidenten of lekken. Dit zijn ook de bedrijven die in het cyber readiness model van Hiscox het sterkst verbeterd zijn. “Bedrijven worden gedwongen experts te worden wanneer zij vaak doelwit zijn”, schrijven de onderzoekers.

Vorig jaar was het percentage bedrijven dat te maken kreeg met een cyber event flink meer (61 procent wereldwijd en 68 procent in Nederland), dit jaar vallen de kosten van een incident of een lek fors hoger uit. Hiscox onderzoecht bijna tweeduizend bedrijven die te maken hebben gehad met cyberincidenten en lekken. De mediane kosten zijn bij deze bedrijven bijna verzesvoudigd naar 57.000 dollar, schrijven de onderzoekers. In Nederland lagen die kosten op 74.000 dollar. Een forse stijging vergeleken bij de 12.000 dollar een jaar eerder.

Alle gerapporteerde cyber events samen kostten totaal 1,8 miljard dollar. Fors meer dan vorig jaar toen het aantal events hoger lag, maar de kosten uitkwamen op 1,2 miljard dollar. Kort gezegd, hoe groter het bedrijf, hoe hoger het bedrag dat is betaald voor een cyber event. Het grootste bedrag dat een Nederlands bedrijf, dat werd ondervraagd, betaalde voor een incident of lek was 600.000 dollar.

Logischerwijs nam daarom ook het IT-budget dat wordt besteed aan cybersecurity toe. In Nederland steeg het budget van gemiddeld 1,3 miljoen dollar naar gemiddeld 1,9 miljoen dollar. Er zit wel een flink verschil tussen de kleine bedrijven en de grote enterprises qua budget. Kleinere bedrijven geven gemiddeld zo’n 13.000 euro uit aan cybersecurity, terwijl het bedrijf dat een gemiddelde enterprise uitgeeft op zo’n 8 miljoen ligt.

Cyber readiness

Het is volgens de onderzoekers niet gezegd dat een hoger budget ook betekent dat bedrijven beter scoren in het cyberreadinessmodel. "Enerzijds hebben de bedrijven die een IT-budget van twee cijfers hebben, minder waarschijnlijk een incident of lek meegemaakt dat de bedrijven die minder dan 5 procent uitgeven. Maar, de 'big spenders', die ook vaak vaak de grotere bedrijven zijn, hebben gemiddeld hogere kosten die voortvloeien uit een lek. Hoe groter het bedrijf, hoe meer klanten worden geraakt en worden meldingskosten en losgeld hoger.

In het cyberreadinessmodel worden bedrijven gescoord op twee assen, namelijk op technologie en processen en op de as strategie en bemensing. Daarvoor krijgen ze een score tussen de 0 en 5. Bedrijven die op beide assen goed scoren (en dus rechtsboven in het model zitten) krijgen de stempel 'expert'. De verzekeraar bestempelt 18 procent van de ondervraagde bedrijven wereldwijd als expert. Van de Nederlandse bedrijven krijgt 12 procent deze status. Ons land heeft het laagst aantal expertbedrijven van de acht onderzochte landen.