Innehåll
- Förlusterna är häpnadsväckande
- Frågan om kapitalutveckling på lång sikt
- Reaktioner på en cybersecurity-incident
- Inga buggar, ingen stress - din steg-för-steg-guide för att skapa livsförändrad programvara utan att förstöra ditt liv
Källa: iStock
Hämtmat:
Här undersöker vi de långvariga följderna av cyberattacker, i synnerhet kort- och långsiktiga skador på aktiekurser och hur ledningen och styrelseledamöterna nu är direkt involverade i både förebyggande och reaktionära åtgärder för att hantera cyberattacker.
Cybersäkerhet är ett genomgripande ämne för IT, men cyberattacker i dag påverkar också ett stort antal personer utanför IT. Dataöverträdelser kan påverka livet för personer vars personliga information blir stulen i flera år efter att händelsen har glömts bort. I andra fall kan proprietär information stulas som eliminerar konkurrensfördelar för interna affärsenheter och produktdivisioner. Ransomware- och DDoS-attacker kan störa affärsverksamheten och tjänsterna för kunder och leverantörer under flera dagar och veckor. Dessutom påverkar omfattningen av vissa cyberattacker idag inkomster och vinster samtidigt som de hårt drabbas av företagens image. (2017 kändes som ett bannerår för cyberbrott, men lära dig vad företag gör för att motverka det i Cybercrime 2018: Enterprise Strikes Back.)
Som ett resultat är dessa incidenter, åtminstone på kort sikt, deprecierande av aktiekurserna, vilket påverkar aktieägarna och som en följd av det ringer larmklockor i företagets styrelserum. Enligt undersökningen om Deloitte / Society for Corporate Governance Board Practices Survey 2016 rankades cybersecurity som den största risken som styrelserna fokuserar på idag. Som ytterligare bevis, enligt NACDs styrarhandbok om cyber-riskövervakning, rapporterade mindre än 40 procent av företagets styrelseledamöter att cybersäkerhetsriskerna rutinmässigt täcktes i styrelsemöten 2014. Under 2017 var siffran 90 procent.
Förlusterna är häpnadsväckande
Farhågor om cybersäkerhet inom företagets styrelserum är välgrundade baserat på några av hoten 2017 som stora företag har upplevt.
- Nuance Communications är en viktig leverantör av röst- och språkverktyg baserade i Burlington, Massachusetts som producerar en svit med dikterings- och transkriptionstjänster som tjänar mer än 500 000 kliniker och 10 000 sjukvårdsanläggningar. Dessa tjänster tillåter läkare att diktera anteckningar från telefon. Företaget drabbades av den globala Petya-attacken den 27 juni, vilket störde sin kärnverksamhet under tre till fem veckor och tvingade företaget att erbjuda alternativ för diktatjänster till kunder som drabbats av avbrottet. Det tog hela fem veckor för att helt återställa alla sina molntjänster. Eftersom nästan hälften av företagets intäkter kommer från dessa produkter meddelade företaget i slutet av juli att attacken skulle påverka kvartalsresultatet negativt. Aktien föll fyra procent omedelbart efter tillkännagivandet och handeln stoppades samma morgon.
- I slutet av september bevittnade vi ett av de största dataöverträdelserna i historien där personuppgifterna på 145,5 miljoner amerikaner stulits i det nu ökända Equifax-brottet. För att förvärra prövningen var toppcheferna långsamma med att offentliggöra händelsen och de första stegen för att ta itu med problemet var dåligt tänkta. Equifax blev skit av skämt och intensiv kritik under veckorna efter attacken. Dess lager sjönk med 30 procent inom en vecka, så småningom bottnade efter att ha fallit ytterligare 15 procent ytterligare. Eget kapitalförluster under den perioden uppgick till över 4 miljarder dollar. Rengöringskostnaderna var endast 87,5 miljoner dollar och Equifax rapporterade en minskning med 27 procent i nettoresultatet för tredje kvartalet. (Equifax-brottet orsakades av en sårbarhet från tredje part. Lär dig mer om kvalitativt mot kvantitativt: tid att ändra hur vi bedömer svårighetsgraden av tredje parts sårbarheter?)
De häpnadsväckande förlusterna från cyberattacker dykte inte bara upp plötsligt under 2017. Under 2011 uppgick cyberkriminalitetskostnaderna för företag i USA till 9 miljarder dollar. År 2015 hade dessa kostnader ökat till över 400 miljarder dollar och ökat ytterligare till 600 miljarder dollar 2016. Cyberattacks beräknas kosta företag nästan 2 biljoner dollar år 2019. Beloppen förknippade med cyberattacks är chockerande och allmänheten börjar notera. Dessutom blir investerare mer utbildade om störningar och mammutkostnader som är involverade i ett cyberattack idag.
Frågan om kapitalutveckling på lång sikt
Det råder viss tvekan om att aktiemarknaderna kan hämma ett börsnoterat företag under dagarna efter ett dataintrång, men det finns blandade bevis om huruvida cybersäkerhetsincidenter har en långvarig negativ effekt. En studie utfärdad av IT-konsultföretaget CGI och Oxford Economics visade att överträdelser i cybersäkerhet försvårar företagets aktiekurser cirka 1,8 procent permanent. Studien involverade 65 företag som upplevt ett överträdelse som involverade hundratusentals poster eller mer sedan 2013. Den totala kostnaden för aktieägarna i de 65 företagen i studien uppgick till mer än 52 miljarder dollar. Slutsatsen av rapporten var att investerare i ett typiskt FTSE 100-företag definitivt är sämre efter ett brott under en långsträckt period.
En annan studie utförd av Compairtech förra året gav liknande resultat. Studien involverade 24 börsnoterade företag som Target och Yahoo som var offer för ett dataintrång med minst 1 miljon poster. Resultaten av studien visade följande:
- Aktier i genomsnitt drabbades av en omedelbar nedgång i aktiekursen efter ett brott på 0,43 procent, ungefär lika med deras genomsnittliga dagliga volatilitet.
- På lång sikt fortsätter aktiekurserna att stiga i genomsnitt, men i mycket långsammare takt. Det ökade aktiekursen med 45,6 procent under tre år före överträdelse och endast 14,8 procent tillväxt under de tre åren efter. Den dagliga volatiliteten var ungefär densamma för båda perioderna.
- Överträdda företag tenderar att underprestera NASDAQ. De återhämtar sig till indexets prestationsnivå efter 38 dagar i genomsnitt, men efter tre år överträffar NASDAQ i slutändan dem med en marginal på över 40 procent.
En ny studie genomförd av Georgetown University visar emellertid liten korrelation mellan säkerhetsbrott och långsiktigt kapitalutveckling. I studien ingick en uppsättning av 235 företag med registrerade dataöverträdelser från 2005. Företagen representerade alla branscher inklusive konsumentskönsmässig bedömning, ekonomi, hälsovård och teknik. Studien rapporterade inget meningsfullt skillnad mellan pre-och post-performance efter 90 dagar efter överträdelsen. Studiens författare drog slutsatsen att förluster som påverkar datainbrott på företagets lager tycks vara mycket beroende av många variabler som är unika för företaget. En annan studie som publicerades i Harvard Business Review 2015 drog slutsatsen att medan aktiekurserna faller avsevärt under dagarna efter en attack som den på Home Depot, börjar aktiekurserna återuppta efter två veckor i genomsnitt och uppträder normalt baserat på marknadsförhållanden. I studien upplevde statliga finansiella tjänster, sjukvård och globala telekomföretag den mest varaktiga skadan.
Reaktioner på en cybersecurity-incident
Inom politiken finns det den gamla ordspråket att täckningen är mycket värre än brottet. Detta kan också vara fallet med cyberattacks. Ett exempel på detta var den brittiska telefon- och bredbandsleverantören TalkTalk, som drabbades av ett dataintrång med 4 miljoner av sina kunder under 2015. Aktien föll med mer än 10 procent under de två första dagarna. Ledningen kritiserades starkt under de följande månaderna för sin dåliga hantering av situationen, vilket bidrog till förlusten av över 90 000 kunder. Beståndet lyckades inte återhämta sig på samma sätt som i Georgetown- och Harvard University-studierna.
Inga buggar, ingen stress - din steg-för-steg-guide för att skapa livsförändrad programvara utan att förstöra ditt liv
Du kan inte förbättra dina programmeringsfärdigheter när ingen bryr sig om mjukvarukvalitet.
Detta är just anledningen till att vikten av ansvaret för att hålla en organisation skyddad från cyberhot, såväl som reaktionen på ett, läggs på VD, CIO / CTO / CSO och verkställande teamet. Cybersäkerhet är inte längre ett ”IT-problem.” Det är en fråga som borde involvera både ledande befattningshavare och styrelsen som de rapporterar till. Två saker verkar säkra - attackerna kommer bara att öka under de kommande åren och kostnaderna för dessa attacker kommer säkert att öka tillsammans med dem.