Data Breach หนึ่งครั้ง มีต้นทุนมากกว่าที่คิด

บริษัทกลางขนาดหนึ่งเคยคิดว่าถ้าวันหนึ่งข้อมูลรั่ว ต้นทุนคงเป็นค่าจ้างผู้เชี่ยวชาญมาแก้ระบบสักก้อน จ่ายแล้วก็จบ จนกระทั่งมันเกิดขึ้นจริง ค่าจ้างทีมกู้ระบบเป็นเพียงรายการแรกในใบแจ้งหนี้ที่ยาวขึ้นเรื่อยๆ ตามมาด้วยค่าทนายที่ปรึกษากฎหมาย ค่าแจ้งลูกค้าทุกราย ค่าตรวจสอบเชิงนิติวิทยาเพื่อหาว่ารั่วตรงไหน และเดือนถัดมา ดีลใหญ่ที่กำลังจะปิดก็เงียบหายไป เพราะลูกค้าองค์กรอ่านข่าวแล้วเลือกที่จะรอดูก่อน

เรื่องนี้ไม่ใช่เพื่อขู่ แต่เพื่อชวนมองความจริงที่หลายคนมองข้าม ต้นทุนของ data breach แทบไม่เคยเป็นก้อนเดียวจบ มันเป็นชุดของต้นทุนที่ทยอยมาเป็นเดือนหรือเป็นปี

ต้นทุนตรง ที่มองเห็นและจ่ายทันที

ต้นทุนตรงคือสิ่งที่ปรากฏบนใบแจ้งหนี้ได้ชัดเจน และมักเป็นส่วนที่คนนึกถึงก่อน ได้แก่ ค่าจ้างทีมเทคนิคมากู้ระบบและอุดช่องโหว่ ค่าตรวจสอบเชิงนิติวิทยาดิจิทัล ค่าที่ปรึกษากฎหมาย ค่าปรับจากหน่วยงานกำกับดูแลหากพบว่าละเลยการคุ้มครองข้อมูลส่วนบุคคล และค่าใช้จ่ายในการแจ้งเตือนผู้ที่ได้รับผลกระทบตามที่กฎหมายกำหนด สำหรับธุรกิจที่ถือข้อมูลจำนวนมาก ลำพังค่าปรับและค่าแจ้งเตือนก็อาจเป็นตัวเลขที่ทำให้สะดุ้งได้แล้ว

แต่ถึงต้นทุนตรงจะเจ็บ มันก็ยังเป็นส่วนที่ประเมินและตั้งงบไว้ล่วงหน้าได้ง่ายที่สุด ปัญหาที่แท้จริงอยู่ที่ต้นทุนอีกฝั่งหนึ่งที่ไม่ยอมแสดงตัวบนกระดาษ

ลูกค้าที่ทยอยหายไปคือต้นทุนที่หนักที่สุดและประเมินยากที่สุด ลูกค้าบางคนยกเลิกทันที บางคนค่อยๆ ลดการใช้งานลงเงียบๆ จนวันหนึ่งก็ไม่กลับมาอีก ดีลที่กำลังเจรจาอาจหยุดชะงักเพราะอีกฝ่ายขอเลื่อนหรือไปหาคู่ค้าที่ดูปลอดภัยกว่า ต้นทุนการหาลูกค้าใหม่มาทดแทนก็สูงกว่าการรักษาลูกค้าเดิมหลายเท่า และเมื่อชื่อเสียงสะดุด ค่าใช้จ่ายด้านการตลาดเพื่อกู้ภาพลักษณ์ก็เพิ่มขึ้นตามไปด้วย

มีต้นทุนอีกอย่างที่แทบไม่มีใครคิดถึง นั่นคือเวลาและสมาธิของคน ในช่วงหลายสัปดาห์หลังเกิดเรื่อง ทีมที่ควรกำลังพัฒนาผลิตภัณฑ์หรือดูแลลูกค้า กลับต้องมานั่งประชุมวิกฤต ตอบคำถามหน่วยงานกำกับ และไล่สืบสวนภายใน งานที่ควรเดินหน้าก็หยุดนิ่ง โอกาสทางธุรกิจที่ควรคว้าก็หลุดลอย ต้นทุนค่าเสียโอกาสนี้ไม่เคยปรากฏในรายงานบัญชี แต่มันกินกำไรของทั้งปีได้จริง

คำถามที่ช่วยให้เห็นต้นทุนทั้งก้อน

• ถ้าลูกค้ารายใหญ่ที่สุดสามรายของเราเลิกใช้พร้อมกัน รายได้จะหายไปเท่าไร
• ทีมหลักของเราจะต้องหยุดงานปกติไปกี่สัปดาห์เพื่อจัดการวิกฤต
• ดีลที่อยู่ในมือตอนนี้ มีกี่ดีลที่จะหายไปถ้าข่าวข้อมูลรั่วออกสู่สาธารณะ
• เราเคยเทียบตัวเลขความเสียหายที่อาจเกิดขึ้น กับงบป้องกันที่จ่ายอยู่หรือไม่

คำถามที่ดีกว่าไม่ใช่ การป้องกันข้อมูลแพงไปไหม แต่คือ เมื่อเทียบกับต้นทุนทั้งก้อนของวันที่เกิดเรื่องจริง การป้องกันที่เราจ่ายอยู่นั้นถูกหรือแพงกันแน่ เมื่อมองภาพเต็มแล้ว งบป้องกันที่เคยรู้สึกว่าสูง มักกลายเป็นเศษเสี้ยวของความเสียหายที่อาจเกิดขึ้น การลงทุนป้องกันไม่ใช่การซื้อความมั่นใจว่าจะไม่มีวันเกิดเรื่อง แต่คือการลดทั้งโอกาสและขนาดของความเสียหายให้อยู่ในระดับที่ธุรกิจรับไหว