Berapakah Kos Sebenar Serangan Ransomware di Malaysia?

Mengapa Kos Sebenar Sentiasa Lebih Tinggi daripada Tebusan

Apabila pengarah perniagaan membaca berita tentang ransomware, mereka cenderung menumpukan perhatian kepada jumlah tebusan. Hakikatnya, tebusan biasanya 10–20% daripada jumlah kerugian. Baki 80–90% terdiri daripada masa henti, kerja teknikal, kos undang-undang, kehilangan pendapatan dan kerosakan jangka panjang terhadap reputasi.

Bagi syarikat di Malaysia, kos juga merangkumi gangguan terhadap hubungan dengan pengawal selia. Institusi kewangan boleh menerima soalan rasmi daripada BNM. Pengendali NCII boleh dipanggil untuk audit susulan oleh NACSA. Syarikat yang menyimpan data peribadi pelanggan pula terdedah kepada aduan kepada Pesuruhjaya Perlindungan Data Peribadi.

Kos Langsung: Masa Henti, IR dan Pemulihan

Kos langsung ialah kos yang muncul dalam invois. Kos ini mudah dikira tetapi sering dipandang remeh semasa penganggaran risiko. Terdapat tiga kategori utama: masa henti operasi, kerja respons insiden dan forensik, serta pembinaan semula sistem.

Bagi syarikat e-dagang atau institusi kewangan, kos masa henti boleh mencecah puluhan ribu ringgit sejam. Bagi pengeluar, satu hari masa henti di kilang boleh menyebabkan kerugian dalam lingkungan ratusan ribu ringgit melalui pesanan yang tertangguh dan denda kontrak. Kerja DFIR biasanya melibatkan pasukan multidisiplin (ketua, pakar forensik, pemburu ancaman dan perunding) selama 2–6 minggu, dan kosnya boleh mencecah jutaan ringgit bagi insiden besar.

• Masa henti operasi: kerugian pendapatan dan denda perjanjian tahap perkhidmatan (SLA) pelanggan.
• Kos pembekal DFIR: kadar sejam premium dan pasukan multidisiplin.
• Pemulihan: lesen perisian baharu, perkakasan dan kerja lebih masa pasukan IT.
• Komunikasi krisis: agensi perhubungan awam dan penasihat undang-undang luaran.
• Insurans siber: jumlah ditanggung sendiri (deductible) dan insurans bersama (co-insurance) yang ditanggung oleh syarikat.

Kos Tidak Langsung: Reputasi, Kehilangan Pelanggan dan PDPA

Kos tidak langsung lebih sukar dikira tetapi sering lebih besar daripada kos langsung. Kerosakan reputasi menjejaskan saluran jualan selama berbulan-bulan: prospek menangguhkan keputusan pembelian, pelanggan sedia ada meminta jaminan tambahan, dan kakitangan terbaik meninggalkan syarikat.

Kehilangan pelanggan ialah kos yang berterusan. Dalam model perniagaan ke perniagaan (B2B), kehilangan satu pelanggan strategik boleh bermakna kerugian pendapatan tahunan yang besar selama bertahun-tahun. Bagi syarikat perniagaan ke pengguna (B2C) yang data peribadinya tersebar, kepercayaan terhadap jenama mungkin mengambil masa bertahun-tahun untuk dibina semula.

Penalti PDPA di Malaysia ditentukan kes demi kes oleh JPDP. Walaupun kerangka penaltinya tidak sebesar GDPR, syarikat di Malaysia yang melayan pelanggan EU atau UK secara langsung juga terdedah kepada penalti pengawal selia asing yang boleh mencecah peratusan yang ketara daripada pendapatan global.

• Kehilangan pelanggan B2B: kontrak strategik bernilai jutaan ringgit boleh hilang.
• Kos menggantikan pekerja keselamatan dan IT yang berhenti.
• Penalti PDPA dan tindakan undang-undang sivil oleh subjek data.
• Penurunan penilaian syarikat semasa usaha wajar penggabungan dan pengambilalihan (M&A) atau pelaburan.

Peranan Insurans Siber: Bukan Penyelesaian Ajaib

Insurans siber telah berkembang pesat di Malaysia, tetapi premium telah meningkat dengan ketara sejak 2023. Polisi moden lazimnya memerlukan kawalan asas: pengesahan pelbagai faktor (MFA), EDR, sandaran yang tidak boleh diubah (immutable), latihan kesedaran, ujian penembusan tahunan dan pelan respons insiden bertulis. Tanpa bukti kawalan ini, tuntutan boleh ditolak atau dikurangkan.

Selain itu, kebanyakan polisi mempunyai pengecualian penting: perang (act of war), yang digunakan untuk menafikan tuntutan NotPetya, kegagalan menyelenggara tampalan, dan dalam sesetengah kes, pembayaran tebusan kepada entiti yang disekat oleh OFAC. Nasihat broker dan peguam diperlukan sebelum polisi dimuktamadkan.

• Premium telah meningkat 30–100% sejak 2023 di pasaran Asia.
• Prasyarat kawalan: MFA, EDR, sandaran yang tidak boleh diubah dan pentest tahunan.
• Pengecualian perang atau penajaan negara sering menjadi alasan untuk menolak tuntutan.
• Kelewatan tuntutan: bayaran biasanya dilepaskan selepas siasatan forensik.

Pulangan Pelaburan (ROI) Pencegahan: Cara Mengira Nilai Sebenar

Belanjawan keselamatan siber sering dilihat sebagai kos, bukan pelaburan. Pandang dari sudut yang berbeza: setiap ringgit yang dilaburkan dalam EDR, SOC/MDR, ujian penembusan dan pelan hala tuju keselamatan mengurangkan kebarangkalian dan magnitud insiden.

Sebagai panduan kasar, pelaburan tahunan dalam program keselamatan yang matang biasanya 3–8% daripada belanjawan IT. Kos pemulihan akibat insiden ransomware besar boleh melebihi 50–200% daripada belanjawan IT tahunan. Dari segi matematik, nisbah pulangan condong ke arah pencegahan, dan soalannya hanyalah bagaimana melaburkannya dengan bijak.

• Peruntukan tahunan untuk keselamatan: 3–8% daripada belanjawan IT.
• Pelan hala tuju 12–18 bulan dengan keutamaan berasaskan risiko.
• Gabungan kawalan teknikal (EDR/SOC), proses (IR, latihan simulasi meja) dan manusia (latihan).
• Audit semula tahunan dan pengukuran petunjuk prestasi utama (KPI): MTTD, MTTR dan SLA tampalan.

Senario Lazim bagi PKS dan Perusahaan di Malaysia

Bagi PKS di Malaysia (50–500 pekerja), insiden ransomware yang lazim melibatkan tebusan dalam julat puluhan ribu hingga ratusan ribu dolar AS (USD), masa henti 5–10 hari, dan kos DFIR serta pemulihan dalam lingkungan ratusan ribu ringgit. Jumlah keseluruhan kerap mencecah satu hingga beberapa juta ringgit.

Bagi perusahaan (500+ pekerja) atau institusi kewangan, jumlah boleh mencecah berpuluh juta ringgit apabila kos pengawal selia, undang-undang, kehilangan pelanggan korporat dan pembinaan semula infrastruktur dijumlahkan. Pelaburan dalam khidmat siap sedia IR, SOC 24/7 dan latihan simulasi meja boleh mengurangkan kos sebenar sebanyak 60–80% kerana MTTR yang lebih pendek.