Rozhodnutí o kontrole aplikace se skoro vždy zúží na jednu otázku: vyplatí se to? Odpověď se dá spočítat. Ne přesně, ale dostatečně přesně na to, abyste se mohli rozhodnout jinak než jen podle pocitu.
Tento text ukazuje, z čeho se skládají obě strany rovnice. Čísla v příkladu jsou modelová, dosaďte si vlastní.
Levá strana: co stojí kontrola
Tady je to jednoduché, protože částky jsou dané předem.
| Varianta | Cena | Doba |
|---|---|---|
| Security Scan | 5 999 Kč | 3 až 5 pracovních dní |
| Full Audit | 29 999 Kč | 5 až 8 pracovních dní |
K tomu připočtěte čas na samotné opravy nálezů. U aplikace, která je jinak v pořádku, jde zpravidla o jednotky dní práce. Pokud oprava připadne na autora aplikace, jsou to jeho hodiny. Pokud na externího vývojáře, je to jeho sazba.
Podstatnou vlastností této strany rovnice je, že ji znáte dopředu a má horní hranici, která vás nepřekvapí.
Pravá strana: co stojí incident
Tady se výpočet komplikuje, protože položek je víc a většina z nich není vidět, dokud nenastanou.
1. Zastavení provozu
Aplikace je mimo provoz, dokud se problém nevyřeší. Pokud přes ni chodí objednávky nebo rezervace, počítejte ušlé tržby za dobu výpadku. Pokud je to interní nástroj, počítejte hodiny lidí, kteří mezitím dělají tuto práci ručně.
Modelový příklad: Rezervační systém s obratem 200 000 Kč měsíčně a výpadkem na tři dny. Ušlé tržby jsou zhruba 20 000 Kč. Část z nich se vrátí, část odejde ke konkurenci.
2. Nápravné práce v režimu havárie
Oprava pod tlakem je dražší než plánovaná oprava. Potřebujete někoho okamžitě, ne za dva týdny. Kdo je volný okamžitě, ten si za to účtuje. Zároveň nikdo přesně neví, co se stalo, takže první den nebo dva padnou na zjišťování příčiny.
Modelový příklad: Externí vývojář, čtyři dny práce včetně zjišťování příčiny, expresní režim. Řádově 60 000 až 100 000 Kč.
3. Zjišťování rozsahu
Musíte zjistit, kdo se ke kterým datům dostal a kdy. Pokud aplikace nezaznamenává přístupy, což je u aplikací postavených pomocí AI běžné, tuto informaci nemáte a zpětně ji nezískáte.
Bez ní nedokážete incident dostatečně konkrétně ohlásit ani uklidnit zákazníky. Musíte vycházet z nejhoršího scénáře, což zvyšuje všechny následující položky.
4. Právní náklady a náklady na compliance
Pokud unikly osobní údaje, čeká vás posouzení, jestli a komu se incident ohlašuje, příprava ohlášení a případně informování dotčených lidí. To se zpravidla neobejde bez právníka.
Modelový příklad: Posouzení, ohlášení a komunikace v řádu desítek tisíc korun.
5. Informování zákazníků
Když je potřeba informovat dotčené lidi, náklady tvoří nejen samotné rozeslání, ale také nápor na zákaznickou podporu. Navíc vznikne dokument, který se může objevit na internetu a zůstat tam.
6. Sankce
Za porušení povinností při ochraně osobních údajů může dozorový úřad uložit pokutu. Horní hranice v evropské úpravě dosahuje desítek milionů eur nebo určitého procenta z ročního obratu. Reálné pokuty u malých českých firem se pohybují řádově níž, ale nejsou nulové a rozhodnutí jsou veřejná.
Tuto položku záměrně nevyčíslujeme, protože závisí na okolnostech. Do rozvahy ale patří, protože její konečnou výši předem neznáte.
7. Ztráta klienta a reputace
Nejhůř měřitelná a často největší položka. B2B klient, který zjistí, že jste měli únik, nemusí odejít hned. Odejde při nejbližší obnově smlouvy a neřekne proč.
Modelový příklad: Jeden klient s ročním objemem 300 000 Kč, který smlouvu neobnoví.
Sečteno
V modelovém příkladu, který používá spíše opatrná čísla, se incident u malé firmy pohybuje v rozmezí zhruba 100 000 až 500 000 Kč, a to bez sankce a bez horní hranice nákladů na ztracené klienty.
Kontrola stojí od 5 999 do 29 999 Kč a její cenu znáte dopředu.
Rozhodovat se můžete i podle jednodušší otázky: Jakou finanční ztrátu naše firma ustojí bez problémů? Pokud je odpověď nižší než odhad nákladů na incident, kontrola není jen náklad, ale také prevence.
Kdy se kontrola nevyplatí
Aby bylo srovnání poctivé, existují situace, kdy kontrola smysl nedává.
- Aplikaci používáte jen vy a dva kolegové, nejsou v ní data zákazníků a její výpadek nikoho nezastaví.
- Aplikace je pokus, který za měsíc buď zrušíte, nebo přepíšete od nuly.
- Aplikaci už plánujete nahradit a jde jen o to, aby do té doby dosloužila.
Ve všech třech případech je rozumnější kontrolu odložit nebo vynechat.
Kdy se vyplatí skoro vždy
- Aplikaci používají lidé mimo vaši firmu.
- Jsou v ní osobní údaje jiných lidí než vašich zaměstnanců.
- Procházejí přes ni peníze.
- Firma se bez ní neobejde déle než den.
- Chystáte se ji nabídnout klientům nebo s ní růst.