“सुरक्षा मत करो, यह फ़ायदे का सौदा है” – जोखिम कैलकुलेटर क्या कहता है और हमले के बाद के बिल क्या कहते हैं

एक फ़ॉर्मूला है जो आप CISSP परीक्षा के लिए सीखते हैं और फिर कोई भी उसे शब्दशः लागू करने की हिम्मत नहीं करता: सुरक्षा उपाय की लागत उस नुकसान से ज़्यादा नहीं होनी चाहिए जिसे वह रोकता है। सुनने में तर्कसंगत लगता है। दिक्कत यह है कि अगर आप इसमें पोलैंड के असली आँकड़े डालें, तो बहुत बार जवाब यही आता है: सुरक्षा करना फ़ायदे का सौदा नहीं है। 💥

और इससे पहले कि कोई मुझ पर चप्पल फेंके: यह फ़ॉर्मूला मैंने नहीं बनाया। इसे उन लोगों ने बनाया जो चाहते थे कि सुरक्षा धर्म नहीं, तर्क पर आधारित हो। आज मैं इसे गंभीरता से लेना चाहता हूँ, ईमानदारी से हिसाब लगाना चाहता हूँ और देखना चाहता हूँ कि यह कहाँ टूटता है।

एक विधर्मी बात से शुरू करें: सुरक्षा मूल्य नहीं, लागत है

ग़ैर-तकनीकी पाठकों के लिए छोटा संस्करण। जोखिम प्रबंधन में गिनती ऐसे होती है:

• SLE (Single Loss Expectancy) – कुछ एक बार हो जाए तो आप कितना खोते हैं। सीधे शब्दों में: एक चूक की क़ीमत।
• ARO (Annualized Rate of Occurrence) – वह साल में कितनी बार होता है। सीधे शब्दों में: संभावना।
• ALE (Annualized Loss Expectancy) = SLE × ARO। सीधे शब्दों में: अगर आप कुछ न करें तो यह जोखिम औसतन साल में आपको कितना पड़ता है।

और अब वह नियम जो हर CISSP को ज़ुबानी याद है: सुरक्षा उपाय की वार्षिक लागत उस ALE से ज़्यादा नहीं होनी चाहिए जिसे वह घटाता है। अगर तिजोरी उसमें रखे सामान से महँगी है – तिजोरी मत ख़रीदो।

एक उदाहरण से गिनते हैं (आँकड़े काल्पनिक, तंत्र असली)। 2 लाख ग्राहकों वाली ऑनलाइन दुकान। मालिक का अनुमान: लीक मतलब जुर्माना, वकील, कुछ ग्राहकों का जाना – मान लीजिए 15 लाख ज़्लोटी। संभावना? “हम्म, दस साल में शायद एक बार” – यानी ARO = 0.1।

नतीजा: फ़ॉर्मूले के मुताबिक़ फ़ायदे का सौदा नहीं। चूक हो जाए तब चुकाना सस्ता है।

सबक़ नंबर 1: फ़ॉर्मूला बेवकूफ़ नहीं है। बेवकूफ़ अक्सर वे आँकड़े होते हैं जो हम इसमें डालते हैं। और अभी आप देखेंगे कि कितने।

हक़ीक़त की जाँच: हमले के बाद के बिल

“अंदाज़े” के बजाय असली बिल देखते हैं।

2026 में एक डेटा लीक की क़ीमत क्या है?

IBM Cost of a Data Breach 2026 रिपोर्ट (602 संगठन, मार्च 2025 से फ़रवरी 2026 की घटनाएँ) के अनुसार एक लीक की औसत लागत 49.9 लाख डॉलर है – रिकॉर्ड, और पिछले साल से 12% ज़्यादा। अमेरिका में – 1.15 करोड़ डॉलर। घुसपैठ से नियंत्रण तक औसत समय: 247 दिन। और हमारे फ़ॉर्मूले के लिए सबसे अहम बात: इस लागत का लगभग दो-तिहाई न फिरौती है न जुर्माना, बल्कि पहचान, एस्केलेशन और खोया हुआ कारोबार – ठप पड़ा काम, और वे ग्राहक जिन्होंने इस बीच कहीं और से ख़रीद लिया।

सर्वे की गई 39% कंपनियों पर पिछले साल कम से कम एक रैंसमवेयर हमला हुआ। “10 साल में एक बार” की जगह इसे ARO के तौर पर डालिए और आपका ALE अभी-अभी चौगुना हो गया।

Equifax: एक पैच के लिए 1.4 अरब

2017 में अमेरिकी क्रेडिट ब्यूरो Equifax से लगभग 14.8 करोड़ लोगों का डेटा लीक हुआ। रास्ता: Apache Struts की एक ज्ञात कमज़ोरी (CVE-2017-5638), जिसका पैच दो महीने से उपलब्ध था। कंपनी की अपनी रिपोर्टों के अनुसार लागत: 1.4 अरब डॉलर से ज़्यादा – समझौते, नियामक, वकील, पीड़ितों के लिए क्रेडिट मॉनिटरिंग, और ऊपर से सुरक्षा पर कम से कम 1 अरब डॉलर खर्च करने की बाध्यता। बीमा ने 12.5 करोड़ दिए। समुद्र में एक बूँद।

Change Healthcare: 2.2 करोड़ की फिरौती, लगभग 3 अरब का बिल

फ़रवरी 2024, अमेरिका का सबसे बड़ा मेडिकल बिलिंग ऑपरेटर। हमलावर एक Citrix रिमोट एक्सेस से घुसे जिस पर MFA चालू नहीं था (मल्टी-फ़ैक्टर ऑथेंटिकेशन – ऐप वाला वह दूसरा कोड)। मूल कंपनी UnitedHealth ने ALPHV/BlackCat को 2.2 करोड़ डॉलर फिरौती दी, जो फिर पैसे लेकर गायब हो गए। 2024 में घटना की कुल लागत: लगभग 2.9 अरब डॉलर – ठप काम, पुनर्निर्माण, उन अस्पतालों को ब्याज-मुक्त क़र्ज़ जिन्हें पैसा मिलना बंद हो गया था। फिरौती बिल के 1% से भी कम थी।

सबक़ नंबर 2: SLE गिनते समय उसमें क़ानूनी जुर्माना मत डालिए। ठप काम, लोग, वकील, खोए हुए कॉन्ट्रैक्ट और 247 दिन की सफ़ाई डालिए। तब जाकर वह एक घटना की क़ीमत बनती है।

शेयर बाज़ार की याददाश्त सुनहरी मछली जितनी है 🐟

यहाँ मामला दिलचस्प हो जाता है, क्योंकि “फ़ायदे का सौदा नहीं” वाले तर्क को डेटा का मज़बूत समर्थन है। Comparitech सालों से लीक के खुलासे के बाद शेयर भावों का विश्लेषण करता है। 2024 संस्करण (NYSE की 118 कंपनियाँ, 2007-2023 की घटनाएँ) में निकला:

• शेयर औसतन सिर्फ़ 1.4% गिरता है और 41 कारोबारी दिनों बाद तल छूता है;
• 53 दिन बाद लीक से पहले के स्तर पर लौट आता है;
• छह महीने में प्रभावित कंपनियाँ औसतन NASDAQ से 3.2% पीछे रहती हैं – महसूस होने लायक, पर त्रासदी नहीं।

Equifax: दहशत से रिकॉर्ड ऊँचाई तक

औसत एक बात है, ठोस कंपनी दूसरी। वित्तीय मीडिया के आँकड़ों से Equifax को क़दम-दर-क़दम देखते हैं। 7 सितंबर 2017 को शेयर 142.72 डॉलर का था। खुलासे के अगले दिन: -13.7%, 1999 के बाद एक दिन की सबसे बड़ी गिरावट। एक हफ़्ते बाद भाव 100 डॉलर से नीचे चला गया, और तल पर लगभग 93 डॉलर था – एक-तिहाई से ज़्यादा नीचे।

लीक के एक साल बाद, 7 सितंबर 2018 को शेयर 135.91 डॉलर का था – लगभग पहले जितना। The Daily Swig द्वारा उद्धृत एक विश्लेषक ने इसे बेरहमी से कहा: निवेशक बस भूल गए। दिसंबर 2020 में शेयर सर्वकालिक ऊँचाई पर था, और अप्रैल 2021 में तिमाही नतीजों के बाद 14.9% उछलकर 221.41 डॉलर हो गया। जिस कंपनी ने अमेरिका के लगभग आधे वयस्कों का डेटा खोया और 1.4 अरब डॉलर चुकाए, वह पहले से कहीं ज़्यादा क़ीमती थी। 🤷

अगला दिन: दहशत से कंधे उचकाने तक

ताकि कोई न कहे कि मैं सुविधाजनक उदाहरण चुन रहा हूँ – यहाँ कई कंपनियों में घटना के खुलासे के बाद पहला कारोबारी सत्र है, जिनमें तीन वारसॉ स्टॉक एक्सचेंज (GPW) की हैं:

इस सूची से कुछ अवलोकन:

• SolarWinds और Okta को सबसे ज़्यादा चोट लगी, क्योंकि सुरक्षा उनका उत्पाद है। SolarWinds नेटवर्क प्रबंधन सॉफ़्टवेयर बेचता है, जिसके ज़रिए 2020 में हमलावर अमेरिकी मंत्रालयों में घुसे; शेयर सोमवार को 17%, हफ़्ते में 23% और कुल मिलाकर एक-तिहाई से ज़्यादा गिरा। कंपनी ने बाद में शेयरधारकों से समझौते में 2.6 करोड़ डॉलर दिए। लॉगिन और MFA बेचने वाली Okta ने अक्टूबर 2023 के लीक के बाद एक दिन में लगभग 20% खोया। अगर आप भरोसा बेचते हैं, तो बाज़ार आपके लीक का हिसाब अलग तरह से लगाता है।
• CD Projekt SLE घटाने का पाठ्यपुस्तकी उदाहरण है। फ़रवरी 2021 में एक रैंसमवेयर समूह ने सिस्टम का हिस्सा एन्क्रिप्ट किया और गेम्स का सोर्स कोड चुराया। कंपनी के पास अछूते बैकअप थे, उसने बातचीत और भुगतान से इनकार किया, और शेयर भारी वॉल्यूम के साथ 5-6% गिरा। हाशिये की बात: निवेशकों को यह पसंद नहीं आया कि जानकारी आधिकारिक एक्सचेंज फ़ाइलिंग के बजाय Twitter से आई – संवाद भी बिल का हिस्सा है।
• Żabka ने कुछ और भी दिलचस्प दिखाया। उस पर नीचे, क्योंकि यह ताज़ा, पोलिश और बेहद शिक्षाप्रद मामला है।

सबक़ नंबर 3: अगर आप ठोस कारोबार वाली बड़ी कंपनी हैं, तो बाज़ार आपका लीक उससे पहले माफ़ कर देगा जितनी देर में आप नियामक की कार्यवाही बंद कर पाएँगे। यही असली वजह है कि बोर्ड घबराते नहीं। दो शर्तें: जब सुरक्षा आपका उत्पाद हो, बाज़ार अलग गिनता है (SolarWinds, Okta), और जब आपके पास बैकअप हों और आप “नहीं” कह सकें (CD Projekt), तो आपको किसी की माफ़ी नहीं चाहिए। और एक चेतावनी: अगर आप सूचीबद्ध नहीं हैं, तो आपके पास यह गद्दी भी नहीं – सिर्फ़ बिल है।

वे जो फिर कभी नहीं उठे ⚰️

ऊपर की सारी बातें बची हुई कंपनियों की हैं। अब उनकी बारी जो Comparitech के आँकड़ों में नहीं हैं, क्योंकि उनका शेयर भाव अब है ही नहीं। सूची लंबी नहीं है – और यह अहम है, वजह अभी बताता हूँ – पर उसकी हर प्रविष्टि एक ही पैटर्न पर चलती है।

KNP: 158 साल, 500 ट्रक, एक पासवर्ड

यह कहानी BBC Panorama ने 2025 में दिखाई थी, और इसे हर बोर्ड बैठक में सुनाया जाना चाहिए। KNP Logistics Group (ब्रांड Knights of Old, 1865 से) के पास साइबर बीमा, बैकअप और प्रक्रियाएँ थीं। जून 2023 में Akira गिरोह ने एक कर्मचारी का पासवर्ड अनुमान से पकड़ लिया – MFA नहीं था। जब सुबह बीमा कंपनी की संकट टीम पहुँची, तो सब कुछ एन्क्रिप्टेड था: सर्वर, बैकअप, डिज़ास्टर रिकवरी, एंडपॉइंट। माँग लगभग 50 लाख पाउंड आँकी गई, कंपनी के पास इतना नहीं था। वित्तीय डेटा के बिना न ब्रिज लोन मिल सकता था, न कारोबार बिक सकता था। सितंबर 2023 में प्रशासन, 730 छँटनियाँ। पूर्व सह-मालिक आज मीडिया में बताता है कि एक पासवर्ड ने 158 साल का इतिहास ख़त्म कर दिया।

Travelex, Vastaamo, Lincoln College: तीन उद्योग, एक ही अंत

Travelex पर नए साल 2019 की पूर्व संध्या पर रैंसमवेयर हमला हुआ, उसने 30 देशों में सिस्टम बंद किए और रिपोर्टों के अनुसार REvil से बातचीत की, अंततः लगभग 23 लाख डॉलर चुकाए। आठ महीने बाद कंपनी प्रशासन में चली गई; महामारी ने आख़िरी वार किया, पर भंडार हमले ने ख़ाली किया था। फ़िनलैंड की मनोचिकित्सा चेन Vastaamo ने लगभग 33,000 मरीज़ों के थेरेपी नोट्स खोए; हमलावर ने मरीज़ों को सीधे ब्लैकमेल किया। कंपनी 2021 में दिवालिया हो गई और उसके पूर्व CEO को डेटा सुरक्षा में लापरवाही के लिए दोषी ठहराया गया – शायद यूरोप में निजी ज़िम्मेदारी की सबसे अच्छी मिसाल। इलिनॉय का Lincoln College स्पैनिश फ़्लू, महामंदी और दो विश्वयुद्ध झेल गया, पर दिसंबर 2021 के रैंसमवेयर के बाद बिना दाख़िला सिस्टम के तीन महीने नहीं झेल पाया। मई 2022 में, 157 साल बाद, बंद हो गया।

पोलैंड: 7Anna और लंबी होती सूची

हमारा मामला “रैंसमवेयर” नहीं, उससे भी ज़्यादा मामूली चीज़ है। ग्दान्स्क की प्रीमियम साइकिल निर्माता 7Anna (ब्रांड Rondo, NS Bikes, Creme) ने अगस्त 2025 में दिवालियापन की अर्ज़ी दी। प्रबंधन ने साफ़ कहा: निर्णायक चोट वह हमला था जिसमें हैकरों ने ग्राहक का भुगतान पुर्तगाल के फ़र्ज़ी खाते में मोड़ दिया। क्लासिक BEC (बिज़नेस ईमेल कॉम्प्रोमाइज़) – मेलबॉक्स हाईजैक के बाद इनवॉइस पर खाता नंबर बदल देना। कंपनी को पहले से ग्राहकों और वित्तपोषण की दिक्कतें थीं, और “उन्होंने बहुत बड़ी रक़म चुरा ली” आख़िरी तिनका साबित हुआ। शून्य एन्क्रिप्शन, शून्य फिरौती, शून्य डेटा लीक – और दिवालियापन।

Rzeczpospolita अख़बार उसी लेख में आगे गिनाता है: Herbapol Lublin से 9 लाख डॉलर फिरौती की माँग (कंपनी ने भुगतान नहीं किया और अपने दम पर सिस्टम बहाल किए – सबूत कि बचना मुमकिन है), फ़र्नीचर निर्माता Kler को लगभग 8 लाख ज़्लोटी की लागत, Polada का 250 GB डेटा चोरी। और नीचे कंपनियों की एक पूरी परत, जिनके बारे में कोई पोर्टल कभी नहीं लिखेगा, क्योंकि उनके पास प्रेस ऑफ़िस नहीं है। CERT Polska ने 2025 में रिकॉर्ड 2,60,783 घटनाएँ दर्ज कीं; Sophos के “पोलैंड में रैंसमवेयर 2024” अध्ययन में हमले की शिकार 6% कंपनियों ने सारा डेटा खो दिया, और सिर्फ़ 14% ने पूरा वापस पाया। हमारी पश्चिमी सीमा के ठीक पार: Aschaffenburg की जर्मन कपड़ा प्रसंस्करण कंपनी ZEGO, 60 लोग, 35 साल पुरानी – मार्च 2026 में रैंसमवेयर, स्थिर ख़र्च चलते हुए छह हफ़्ते उत्पादन बंद, और जुलाई में दिवालियापन की अर्ज़ी।

क्योंकि देखिए, इस सूची की सभी कंपनियों में क्या साझा है। हमले की परिष्कृतता नहीं। बैकअप जहाँ तक हमलावर पहुँच सकता था (Code Spaces, KNP)। बिना MFA का एक पासवर्ड (KNP, DigiNotar)। वित्तीय गद्दी से लंबा ठहराव (ZEGO, Lincoln College, Travelex)। एक हाईजैक किया मेलबॉक्स (7Anna)। इनमें से किसी को ठीक करने में साल के 3 लाख ज़्लोटी नहीं लगते। और इनमें से कोई स्प्रेडशीट की “ALE” पंक्ति में नहीं समाता, क्योंकि स्प्रेडशीट मानती है कि घटना के बाद कंपनी अब भी मौजूद है और बिल चुका सकती है।

सबक़ नंबर 4: CISSP के फ़ॉर्मूले में एक छिपी धारणा है: कि आप नुकसान उठाने के लिए ज़िंदा बचेंगे। Equifax के लिए यह सच है। दो हफ़्ते की नक़दी और उत्पादन वाले नेटवर्क पर ही बैकअप रखने वाली कंपनी के लिए ALE वार्षिक लागत नहीं – एक्सपायरी डेट है।

पोलैंड: जुर्माने जो (अभी तक) चुभते नहीं

अब हमारा अपना आँगन। क्योंकि पोलैंड में “फ़ायदे का सौदा नहीं” वाला तर्क सालों तक ख़ास तौर पर विश्वसनीय लगता रहा।

• GDPR के आठ सालों में पोलिश कंपनियों पर 106 जुर्माने, कुल लगभग 2.49 करोड़ यूरो। शब्दों में: पूरा देश, सारी कंपनियाँ, आठ साल – IBM के अनुसार अमेरिका के एक औसत लीक से भी कम।
• 2025 में कुछ हिला: पोलिश डेटा संरक्षण प्राधिकरण UODO ने 32 जुर्माने, कुल लगभग 6.45 करोड़ ज़्लोटी लगाए, पिछले साल के 1.39 करोड़ के मुक़ाबले। रिकॉर्ड है Poczta Polska (राष्ट्रीय डाक) पर 2.7 करोड़ ज़्लोटी, निजी कंपनी पर सबसे बड़ा ING Bank Śląski पर 1.84 करोड़, और McDonald’s Poland पर लगभग 1.7 करोड़ – एक ऐसे उप-ठेकेदार के यहाँ कर्मचारी डेटा लीक के लिए जिसकी किसी ने जाँच नहीं की थी।

पर मेरा पसंदीदा पोलिश मामला ऑनलाइन इलेक्ट्रॉनिक्स स्टोर Morele.net है। नवंबर 2018: 22 लाख ग्राहकों का डेटा लीक। सितंबर 2019: UODO ने 28 लाख ज़्लोटी जुर्माना लगाया (कुछ डेटा बिना एन्क्रिप्शन, दो-कारक लॉगिन नहीं, जोखिम विश्लेषण नहीं)। फ़रवरी 2023: सर्वोच्च प्रशासनिक न्यायालय ने प्रक्रियागत आधार पर फ़ैसला रद्द किया। फ़रवरी 2024: UODO ने फिर जुर्माना लगाया, इस बार 38 लाख ज़्लोटी। कंपनी ने फिर अपील की घोषणा की। अब 2026 है, दुकान चल रही है, ग्राहक ख़रीद रहे हैं, और मामला आठवें साल में है।

स्प्रेडशीट के नज़रिए से: आठ साल में बँटा जुर्माना, कभी न चुकाने के विकल्प के साथ। “कुछ न करने” के पक्ष में इससे बेहतर तर्क मिलना मुश्किल है।

ALAB Laboratoria भी वैसा ही – 2026 तक पोलैंड का सबसे बड़ा मेडिकल डेटा लीक (नवंबर 2023, जाँच रिपोर्टें, राष्ट्रीय पहचान संख्याएँ)। कंपनी ने फिरौती नहीं दी, UODO ने दिसंबर 2023 में निरीक्षण शुरू किया, उसे पूरा किया और ताज़ा रिपोर्टों के अनुसार अब भी सामग्री का विश्लेषण कर रहा है – जुर्माने का फ़ैसला नहीं आया। देश के सबसे बड़े मेडिकल डेटा लीक के बाद तीसरा साल।

अगस्त 2026: Żabka और MyDr, एक जीवंत सबक़

हाल ही में पोलैंड को दो ताज़ा मामले मिले जो समीकरण के दोनों पक्षों को बख़ूबी दिखाते हैं।

Żabka। 31 जुलाई 2026 को कनाडाई Couche-Tard ने पोलैंड की सबसे बड़ी कन्वीनियंस स्टोर चेन Żabka Group को 7.56 अरब यूरो में ख़रीदने का प्रस्ताव घोषित किया। 2 अगस्त को एक हैकर फ़ोरम पर विज्ञापन दिखा: 89 GitLab रिपॉज़िटरी का सोर्स कोड, 5.41 लाख Jira टिकट, 2.29 लाख IT सर्विस डेस्क टिकट, दस्तावेज़ और प्रोडक्शन क्रेडेंशियल – सब कुछ 5,000 यूरो में। नमूनों में हर रिपॉज़िटरी डंप में एक ही एक्सेस टोकन दोहराया जाता है। कंपनी ने फ़्रैंचाइज़ी सूचना-विनिमय सिस्टम तक अनधिकृत पहुँच की पुष्टि की। और शेयर? बाज़ार रिपोर्टों के अनुसार निवेशकों ने ख़बर शांति से ली – मूल्यांकन को अधिग्रहण प्रस्ताव ने थामे रखा। 32.6 अरब ज़्लोटी की कंपनी की पूरी IT संपदा 5,000 यूरो में बिकाऊ, और स्प्रेडशीट कहती है: कुछ नहीं हुआ। व्यवहार में हमारा समीकरण ठीक ऐसे ही काम करता है।

MyDr। दो हफ़्ते बाद: 12,000 से ज़्यादा चिकित्सा केंद्रों के लिए सॉफ़्टवेयर प्रदाता (ZnanyLekarz / DocPlanner समूह)। हमलावरों का दावा है कि उनके पास लगभग 1.9 करोड़ पोलिश लोगों का डेटा है – पहचान संख्याएँ, विज़िट, नुस्ख़े; सरकार ने पैमाने की पुष्टि की और bezpiecznedane.gov.pl पर जाँच सेवा शुरू की। मज़ेदार बात: हैकरों ने ख़ुद मीडिया को लिखा, क्योंकि MyDr के कर्मचारी उनके ईमेल और SMS का जवाब नहीं दे रहे थे, और उन्होंने अपने प्रस्ताव को “सुरक्षा ऑडिट के नतीजे ख़रीदने की पेशकश” कहा। MyDr सूचीबद्ध नहीं है, तो कोई शेयर नहीं गिरा। UODO का निरीक्षण महीनों चलेगा। और पीड़ित? UODO प्रमुख मुआवज़े की याद दिलाते हैं, पर अदालतों ने अब तक प्रति व्यक्ति लगभग 1,500 ज़्लोटी दिलाए हैं। अब कल्पना कीजिए कि 1.9 करोड़ में से सिर्फ़ 1% मुक़दमा करे। यह पूर्वानुमान नहीं, अंकगणित है – और इस लेख की एकमात्र संख्या जिस पर बोर्ड को पढ़ना बंद करके गिनना शुरू कर देना चाहिए।

पर एक “लेकिन” है, जिस पर मैंने हाल ही में लिखा: NIS2 और पोलैंड का नया KSC क़ानून 1 करोड़ यूरो या टर्नओवर के 2% तक के जुर्माने लाते हैं, और संगठन का प्रमुख निजी तौर पर ज़िम्मेदार है – वेतन के 300% तक। यह पहला नियमन है जो फ़ॉर्मूले में सिर्फ़ कंपनी का टैक्स नंबर नहीं, CEO का नाम लिखता है।

सबक़ नंबर 5: नियामक धीरे-धीरे पीछे आ रहा है, पर आ रहा है। UODO के जुर्माने एक साल में चार गुना से ज़्यादा बढ़े, NIS2 निजी ज़िम्मेदारी जोड़ता है, और MyDr के बाद दीवानी दावे सिद्धांत नहीं रहे। जिन कंपनियों ने सालों तक “तर्कसंगत रूप से” यह विषय टाला, वे 2019 के ARO से गिन रही थीं। अब वह साल नहीं है।

ग्राहक: 78% जाने की बात करते हैं, 11% जाते हैं

और हम मूल बात पर पहुँचते हैं। अगर न बाज़ार, न नियामक पर्याप्त सज़ा देते हैं, तो आख़िरी कारक बचता है: ग्राहक।

Ping Identity के सर्वे (2018, अमेरिका, यूके, फ़्रांस और जर्मनी के 3,000 से ज़्यादा लोग) में 78% उत्तरदाताओं ने कहा कि लीक के बाद वे ब्रांड का ऑनलाइन इस्तेमाल बंद कर देंगे। किसी भी कंपनी के लिए दुनिया के अंत जैसा लगता है।

बस RAND Corporation ने लोगों से “क्या करेंगे” नहीं, “क्या किया” पूछा। नतीजा: जिन लोगों को सचमुच लीक की सूचना मिली, उनमें से सिर्फ़ 11% ने कंपनी से रिश्ता तोड़ा, 65% ने कुछ नहीं बदला, और 77% कंपनी की प्रतिक्रिया से संतुष्ट थे। उन्हें मुफ़्त क्रेडिट मॉनिटरिंग मिली और वे आगे बढ़ गए।

मैं यह अपने आस-पास भी देखता हूँ। लीक के बाद कितने लोगों ने Morele से ख़रीदना बंद किया? ALAB के बाद कितनों ने लैब बदली? अगस्त में Żabka के कितने ग्राहक प्रतिस्पर्धी के पास गए? मेरे पास ठोस डेटा नहीं, पर आँखें हैं – और मुझे वही कंपनियाँ, वही ग्राहक दिखते हैं।

सबक़ नंबर 6: जब तक ग्राहक बटुए से वोट नहीं देते, कंपनी की स्प्रेडशीट में ARO × SLE कम आता है और फ़ॉर्मूला सुरक्षा के ख़िलाफ़ काम करता है। यह तकनीक की समस्या नहीं है। यह माँग की समस्या है: सुरक्षा ठीक तब फ़ायदे का सौदा बनेगी जब ग्राहक उसकी माँग करने लगेंगे। नियमन उस माँग की महज़ नक़ली टाँग है।

तो… सुरक्षा मत करो? तीन चीज़ें जो फ़ॉर्मूला नहीं देखता 😈

अगर मैं यहीं रुक जाऊँ, तो यह लेख बजट कटौती के औचित्य में नत्थी किया जा सकता है। तो ईमानदारी से: फ़ॉर्मूला यहाँ टूटता है।

1. औसत मरता नहीं। आप मर सकते हैं।

ALE औसत गिनता है। पर नुकसान के वितरण की पूँछ मोटी है – ज़्यादातर घटनाएँ कुछ लाख की होती हैं, पर कभी-कभार 2.9 अरब वाली आ जाती है। Equifax और UnitedHealth बचे, क्योंकि उनके पास था। KNP, ZEGO और 7Anna के पास नहीं था। 50 लोगों की कंपनी के लिए तीन हफ़्ते का एक ठहराव और एक जुर्माना “औसत से ऊपर का नुकसान” नहीं – कारोबार का अंत है। Chainalysis अपनी 2025 की रिपोर्ट में दिखाता है कि हमलावर ठीक छोटी और मझोली कंपनियों की ओर मुड़ गए हैं।

आपका ARO “दशक में एक बार” नहीं है। किसी ने अभी-अभी एक टंकी पेट्रोल की क़ीमत में आपके यहाँ का रास्ता ख़रीदा है। और जैसा Żabka ने दिखाया, वह आपके पूरे तकनीकी दस्तावेज़ एक पुराने लैपटॉप की क़ीमत में बेच देगा।

2. सुरक्षा उपायों की लागत घटना की लागत से तेज़ गिर रही है

कारणों को फिर देखिए: Equifax – एक पैच। Change Healthcare – एक सर्वर पर MFA। Morele – न 2FA, न एन्क्रिप्शन। KNP – एक अनुमान से पकड़ा पासवर्ड और हमलावर की पहुँच में बैकअप। 7Anna – एक हाईजैक किया मेलबॉक्स। Żabka – हर रिपॉज़िटरी डंप में दोहराया एक एक्सेस टोकन। ये परिष्कृत ऑपरेशन नहीं थे। यह स्वच्छता थी। आज MFA, ऑफ़लाइन बैकअप, अपडेट और साल में एक टेस्ट दस साल पहले की लागत के एक अंश में मिलते हैं, और ज़्यादातर यथार्थवादी परिदृश्यों को काट देते हैं। CD Projekt ने फिरौती नहीं दी क्योंकि उसके पास बैकअप थे – और “एक सत्र में -5%” और KNP के बीच यही पूरा फ़र्क़ है। शुरुआत के समीकरण में मैंने “ठीक-ठाक कार्यक्रम” के लिए 3 लाख ज़्लोटी लिखे। सच यह है कि 80% असर उस रक़म के पहले 20% से आता है। CISSP का फ़ॉर्मूला सब कुछ ख़रीदने को नहीं कहता – वह कहता है वह ख़रीदो जो ALE को सबसे सस्ते में घटाए।

3. फ़ॉर्मूला कंपनी को गिनता है। क़ानून आपको।

शेयर लौट आता है, जुर्माने की मियाद बीत जाती है, ग्राहक भूल जाते हैं। पर KSC क़ानून के तहत प्रबंधन की निजी ज़िम्मेदारी कंपनी की बैलेंस शीट की पंक्ति नहीं – आपके घरेलू बजट की पंक्ति है। फ़िनलैंड में Vastaamo के पूर्व CEO को मरीज़ों के डेटा की सुरक्षा में लापरवाही के लिए दोषी ठहराया गया। अक्टूबर 2023 में अमेरिकी SEC ने SolarWinds और निजी तौर पर उसके CISO पर सुरक्षा की स्थिति को लेकर निवेशकों को गुमराह करने का आरोप लगाया। अदालत ने बाद में ज़्यादातर आरोप ख़ारिज कर दिए, पर संकेत दुनिया तक पहुँच गया: अभियोग पत्र में सुरक्षा प्रमुख का नाम। अपनी जेब से चुकाने वाला पहला पोलिश CEO IBM की दस रिपोर्टों से तेज़ हज़ार कंपनियों की स्प्रेडशीट बदल देगा।

सारांश: ईमानदारी से कैसे गिनें ✔️

1. फ़ॉर्मूला रखो, डेटा सुधारो। SLE क़ानूनी जुर्माना नहीं, बल्कि ठहराव + लोग + वकील + खोया कारोबार + 247 दिन की सफ़ाई है। ARO “10 साल में एक बार” नहीं, बल्कि साल में 39% कंपनियों पर रैंसमवेयर है। और एक पंक्ति जोड़ो: “अगर यह इसी तिमाही में हो जाए तो क्या हम झेल पाएँगे”।
2. सस्ते पर बड़े असर वाले नियंत्रण ख़रीदो। हर जगह MFA, ऐसा बैकअप जहाँ हमलावर प्रोडक्शन नेटवर्क से न पहुँच सके, महीनों में नहीं हफ़्तों में पैच, समय-सीमा वाले एक्सेस टोकन, इनवॉइस पर खाता बदलने की फ़ोन से पुष्टि। यही वे सुधार हैं जो इस लेख की हर कहानी में गायब थे।
3. जाँचो कि यह सचमुच काम करता है। काग़ज़ सब कुछ मान लेता है। KNP के पास बीमा, बैकअप और प्रक्रियाएँ थीं। पेनेट्रेशन टेस्ट, यानी अपने ही सिस्टम पर नियंत्रित हमला, यह जानने का सबसे सस्ता तरीक़ा है कि आपका ALE असल में कितना है – और “ऑडिट के नतीजे” क़ीमत-सूची वाले हैकरों से नहीं, ख़ुद से पाने का।
4. और ग्राहक के तौर पर – पूछो। क्या आपके पास MFA है? क्या आप सुरक्षा टेस्ट करते हैं? पिछले लीक के बाद क्या हुआ? हर ऐसा सवाल किसी और की स्प्रेडशीट में SLE की बढ़ोतरी है। सुरक्षा तब फ़ायदे का सौदा बनेगी जब हम उसकी माँग करने लगेंगे।

इस लेख का शीर्षक मेरी राय नहीं है। यह वह नतीजा है जो कैलकुलेटर पाँच साल पुराने आँकड़े डालने पर देता है। आज के आँकड़ों से दोबारा गिनिए।

अक्सर पूछे जाने वाले सवाल (FAQ)

क्या साइबर सुरक्षा में निवेश फ़ायदे का सौदा है?

इस पर निर्भर करता है कि आप नुकसान कैसे गिनते हैं। IBM के अनुसार 2026 में एक लीक की औसत लागत 49.9 लाख डॉलर है, जिसका लगभग दो-तिहाई ठहराव, पहचान और खोया कारोबार है, जुर्माने नहीं। अगर आप ALE = SLE × ARO में घटना की पूरी लागत और यथार्थवादी संभावना (39% कंपनियों ने एक साल में रैंसमवेयर झेला) डालें, तो MFA, बैकअप और नियमित टेस्ट जैसे बुनियादी उपाय कई गुना वसूल होते हैं।

ALE, SLE और ARO क्या हैं?

ये जोखिम प्रबंधन की अवधारणाएँ हैं (CISSP पाठ्यक्रम सहित)। SLE एक घटना की लागत है, ARO साल में घटनाओं की अपेक्षित संख्या, और ALE (= SLE × ARO) वार्षिक अपेक्षित हानि। नियम कहता है कि उपाय की वार्षिक लागत उस ALE से ज़्यादा नहीं होनी चाहिए जिसे वह घटाता है।

क्या डेटा लीक के बाद कंपनी का शेयर गिरता है?

हाँ, पर आमतौर पर थोड़ा और थोड़े समय के लिए। Comparitech के विश्लेषण (NYSE की 118 कंपनियाँ, 2007-2023) के अनुसार शेयर औसतन 1.4% गिरता है, 41 दिन बाद तल छूता है और 53 दिन बाद पहले के स्तर पर लौटता है। Equifax 2017 के लीक के बाद एक-तिहाई से ज़्यादा गिरा, पर एक साल बाद लगभग पहले के स्तर पर था और 2021 में रिकॉर्ड बनाए। जिन कंपनियों का उत्पाद सुरक्षा है, वे ज़्यादा खोती हैं (SolarWinds एक दिन में -17%, Okta -20%)। वारसॉ एक्सचेंज पर CD Projekt 2021 के रैंसमवेयर हमले के बाद लगभग 5% गिरा, और Żabka ने 2026 में लगभग कोई प्रतिक्रिया नहीं दी।

क्या साइबर हमले से कंपनी दिवालिया हो सकती है?

हाँ, हालाँकि यह दुर्लभ है – Sophos के अनुसार एन्क्रिप्टेड डेटा वाले संगठनों में से सिर्फ़ लगभग 2% को कुछ भी वापस नहीं मिलता। हमलों के बाद दर्ज दिवालियापन: DigiNotar (2011), Code Spaces (2014), Travelex (2020), Vastaamo (2021), Lincoln College (2022), KNP Logistics (2023, एक अनुमान से पकड़े पासवर्ड पर 730 नौकरियाँ), National Public Data (2024), जर्मनी की ZEGO (2026), और पोलैंड में साइकिल निर्माता 7Anna (2025, भुगतान मोड़े जाने के बाद)। साझा कारक: हमलावर की पहुँच में बैकअप, MFA नहीं, और नक़दी से लंबा ठहराव।

पोलैंड में डेटा लीक पर क्या सज़ा है?

GDPR के तहत: 2 करोड़ यूरो या वैश्विक टर्नओवर के 4% तक। व्यवहार में 2025 में UODO ने 32 जुर्माने, कुल लगभग 6.45 करोड़ ज़्लोटी लगाए; रिकॉर्ड 2.7 करोड़ (Poczta Polska) और निजी कंपनी के लिए 1.84 करोड़ (ING Bank Śląski)। इसके अलावा अप्रैल 2026 से संशोधित KSC क़ानून (पोलैंड में NIS2 का क्रियान्वयन) लागू है: 1 करोड़ यूरो या टर्नओवर के 2% तक जुर्माना और संगठन प्रमुख की वेतन के 300% तक निजी ज़िम्मेदारी। पीड़ित दीवानी दावे भी कर सकते हैं – अब तक के फ़ैसले आमतौर पर प्रति व्यक्ति लगभग 1,500 ज़्लोटी के रहे हैं।

डेटा लीक के बाद कितने ग्राहक जाते हैं?

कहने वालों से कम। सर्वे में 78% तक लोग कहते हैं कि लीक के बाद वे ब्रांड का इस्तेमाल बंद कर देंगे (Ping Identity, 2018), पर सचमुच लीक की सूचना पाने वालों पर RAND के अध्ययन ने दिखाया कि सिर्फ़ 11% ने रिश्ता तोड़ा और 65% ने कुछ नहीं बदला।

स्रोत 📚

• IBM Cost of a Data Breach Report 2026 (49.9 लाख USD, 247 दिन, 39% रैंसमवेयर के साथ); 2020-2025 के ऐतिहासिक आँकड़े पिछले संस्करणों से
• Chainalysis – Crypto Ransomware, 2026 Crypto Crime Report (82 करोड़ USD फिरौती, +50% हमले, माध्यिका ~60,000 USD, 28% चुकाने वाले, पहुँच की क़ीमतें Darkweb IQ से)
• Comparitech – How data breaches affect stock market share prices (2024)
• Equifax – शेयर: CNBC 8 सित 2017, Fortune 13 सित 2017, The Daily Swig 2018, MarketBeat दिस 2020; लागत: Security Boulevard
• BankInfoSecurity – Change Healthcare attack cost estimate reaches nearly $2.9B और The Register – 2024 की पहली तिमाही के बाद हमले की लागत
• SolarWinds: CNBC दिस 2020, SEC – SolarWinds और CISO पर आरोप (अक्टू 2023); Okta: MarketBeat
• CD Projekt: Stockwatch, money.pl; Monnari: Interia
• हमलों के बाद दिवालियापन: KNP – Tom’s Hardware (BBC Panorama), Infosecurity Magazine; Travelex – TechRadar; DigiNotar, Vastaamo, Travelex – Assured; Lincoln College – Malwarebytes; Code Spaces, National Public Data, Sophos 2026 – N2WS; ZEGO – GDPR.pl
• पोलैंड: 7Anna, Herbapol, Kler, Polada – Rzeczpospolita; Herbapol – TVN24 Biznes; CERT Polska 2025 और Sophos “पोलैंड में रैंसमवेयर 2024” – rp.pl, rp.pl
• Żabka: Niebezpiecznik, Sekurak, CRN, TVN24 Biznes, FXMAG (शेयर प्रतिक्रिया)
• MyDr: money.pl, OKO.press, Antyweb (मुआवज़ा)
• UODO के जुर्माने – 2025 का सारांश और LexDigital – पोलैंड के सबसे बड़े GDPR जुर्माने
• Resilia – पोलिश कंपनियों पर GDPR जुर्मानों का रजिस्टर (मई 2026 तक)
• Forsal – Morele.net पर 38 लाख PLN जुर्माना
• RAND – Consumer Attitudes Toward Data Breach Notifications (2016) और Ping Identity 2018 Consumer Survey
• NIS2 पहले से लागू है – पोलिश KSC क़ानून पर मेरा लेख (पोलिश में)

जानना चाहते हैं कि आपका ALE असल में कितना है, न कि 2019 की स्प्रेडशीट क्या कहती है? पेनेट्रेशन टेस्ट आपके सिस्टम पर एक नियंत्रित हमला है, जिसके बाद आपको ठोस सूची मिलती है: क्या खुला है, कितना गंभीर है और पहले क्या बंद करना है – अक्सर एक दिन के ठहराव की लागत के एक अंश में। कैलकुलेटर से 2 मिनट में कोटेशन लें या मुझे लिखें, इससे पहले कि कोई और आपको “ऑडिट के नतीजे” पेश करे – 5,000 यूरो में। 🔓