Elke discussie over beveiligingsbudget loopt vast op hetzelfde punt: niemand weet wat er op het spel staat. Rondslingerende cijfers uit rapporten helpen niet, want die gaan over andere bedrijven. Hieronder een rekenwijze met uw eigen getallen.
Stap 1: de loonkost die doorloopt
Neem het aantal medewerkers dat niet kan werken zonder systemen, en vermenigvuldig met hun gemiddelde loonkost per dag. Dat bedrag loopt door, of er nu gewerkt wordt of niet.
Wees eerlijk over wie er echt stilvalt. In een productiebedrijf werkt de lijn misschien door; in een kantoor valt vrijwel iedereen stil.
Stap 2: de omzet die niet doorschuift
Wat kan er die dag niet gefactureerd, geleverd of afgewerkt worden? Een deel daarvan haalt u later in, een deel is definitief weg. Reken alleen het definitieve deel, dan blijft uw cijfer verdedigbaar.
Stap 3: de herstelkost
Externe hulp, overuren, en de tijd van uw eigen mensen om alles weer op te bouwen. Een herstel na een ernstig incident is zelden één dag; reken met het aantal dagen dat u realistisch nodig heeft om weer normaal te draaien.
Stap 4: wat erna komt
Klanten die uitleg willen. Een leverancier die vraagt wat er gebeurd is. Mogelijk een meldplicht als er persoonsgegevens betrokken zijn. Dat is moeilijk in euro’s te vatten, maar het bestaat, en het valt niet op de dag zelf.
Wat u met dat cijfer doet
Zet het naast de kost van de maatregelen die dat scenario minder waarschijnlijk of korter maken. Meestal blijkt dan dat de discussie niet gaat over of het de moeite waard is, maar over welke maatregel eerst.
Die volgorde staat in waar begint u. En het scenario zelf, uur per uur, staat in ransomware bij een kmo.
Het cijfer dat er nog naast hoort
Hoe lang duurt het voor u weer draait? Dat is geen inschatting maar een meting, en ze komt uit een hersteltest. Zie hoe vaak u een hersteltest doet.