Le incident cybernétique de Amgen vient de se produire : des données de patients ont été volées. Mais le cours de l’action peut être sous-estimé.

La communication d’Amgen déplace l’attention du marché de la lutte contre les risques à celle des risques propres.

C’est un choc réglementaire et de réputation, mais il n’y a pas encore eu de impact concret sur les profits et les pertes. Cette distinction est importante. Amgen a informé le marché de cette violation.Dans une déclaration réglementaire vendrediAprès avoir décidé deux jours plus tôt que l’incident était…matérielPour les investisseurs, la première question est toujours le moment et le processus, et non les dommages finaux.

Pourquoi la divulgation du 31 juillet a changé les conditions

Les nouvelles informations concernent l’escalade de la situation, et non les détails complets concernant la perte des données. Amgen a indiqué que les fuites concernaient les informations relatives à la santé des patients. L’entreprise a donc jugé que cette situation était importante en fonction du nombre de fichiers affectés et de la possibilité que les données soient sensibles. L’entreprise a également activé son plan de réponse à la cybersécurité, mis en place des mesures de contrôle et engagé des experts forensiques indépendants. C’est ainsi qu’on tente d’empêcher qu’une situation opérationnelle ne devienne une problème juridique plus grave.

Pourquoi le marché pourrait encore sous-payer le risque

Le marché doit maintenant fixer les prix pour plusieurs choses en même temps : – Les risques réglementaires liés au stockage en nuage par des tiers ; – Les dommages à la réputation due à la divulgation des informations de santé des patients ; – L’incertitude concernant le coût total, car la signification de ces coûts n’a été confirmée que le 29 juillet.

Les Bulls peuvent argumenter que la maîtrise de la situation est déjà en cours. Les Bears, quant à eux, peuvent dire que la divulgation des informations a ouvert la voie aux notifications, aux actions juridiques et aux coûts de correction. Une perspective plus équilibrée serait de considérer cela comme une réévaluation de la liste de surveillance, et non comme un réévaluation de la valeur des actifs, à moins que les mises à jour ultérieures ne montrent que le groupe d’actifs concernés est bien plus large que prévu.

Cela ressemble davantage à un problème lié aux données fournies par un tiers qu’à une panne du système de base.

Le problème de marché probable est une erreur de catégorie.

La violation concerne le stockage en nuage d’une tierce partie, et non l’infrastructure opérationnelle principale d’Amgen.

La violation impliquée était…Les systèmes de stockage en nuages sont gérés par des fournisseurs tiers.Amgen a également déclaré qu’elle avait découvertAucun impact matériel sur sa situation financière ou ses activités.Cela ne rend pas l’incident insignifiant ; il modifie les prix que les investisseurs devraient fixer pour ces actifs. L’exposition principale semble être liée aux problèmes juridiques, réglementaires et de réputation liés à l’accès aux données de l’entreprise et aux informations relatives à la santé des patients en dehors des systèmes directs d’Amgen.

Lorsque les attaquants atteignent un environnement de fournisseur, les dommages immédiats sont généralement liés aux coûts de notification, aux contrôles réglementaires, aux conflits contractuels et à la dégradation de la réputation. Les dommages secondaires ne deviennent un problème réel que si cela affecte les processus opérationnels d’Amgen : les contrôles de fabrication, la logistique des approvisionnements, l’exécution des ventes ou les processus liés à l’accès aux patients. Pour l’instant, les preuves indiquent que c’est bien la première catégorie de problèmes qui se posent.

Pourquoi les investisseurs devraient éviter les mauvaises analogies

Les événements numériques provoquent des analogies immédiates, surtout dans le secteur pharmaceutique. Le pire modèle mental est celui où il y a des dommages causés aux patients ou des interruptions dans la distribution des médicaments. Les preuves actuelles ne montrent pas encore ce point.

Les investisseurs devraient faire attention à ne pas se précipiter sur le modèle de Change Healthcare, oùTraitement des demandes d’assurance et traitement des cartes de co-payeLes processus de pharmacie sont perturbés, et il faut trouver des solutions alternatives, comme l’utilisation d’un nouveau système de traitement des cartes de remboursement ou le remboursement manuel direct. Ce problème n’est pas encore grave. Si Amgen doit faire face à des solutions similaires pour accéder aux patients, l’enjeu passera du domaine de la réputation au domaine des coûts commerciaux.

Cas favorables et défavorables basés sur les informations publiées actuellement.

Cas de masseAmgen a déclaré qu’il y avait euAucun impact matériel sur sa situation financière ou ses activités.L’incident était lié à des fournisseurs tiers ; cela peut signifier une panne plus limitée que celle causée par une attaque directe sur les systèmes critiques de l’entreprise. La direction affirme avoir activé son plan de réponse à la cybersécurité, mettre en place des mesures de maîtrise de l’incident, et engager des experts forensiques indépendants.

Cas de bélierLe ensemble de données comprendrait des informations sur la santé des patients, ce qui peut augmenter les coûts liés aux obligations réglementaires. Amgen a conclu que l’incident était significatif seulement le 29 juillet ; donc la carte complète des risques n’est pas encore complétée. Les risques juridiques peuvent se manifester avant même que les résultats ne soient disponibles, surtout lorsque des données sanitaires sensibles sont impliquées.

Un cadre plus sûr : risque de problèmes liés aux déchets, et non une entreprise en difficulté.

Le marché est plus susceptible de réagir en过度 à cette histoire de faillite systémique, plutôt que de tarifer correctement l’incident lié aux données provenant de tiers. La distinction utile n’est pas entre un problème lié au cyberespace et un problème non lié au cyberespace. Il s’agit plutôt de savoir si cela reste simplement une violation de la sécurité des données ou si cela entraîne des perturbations réelles dans les activités commerciales. Tant que les preuves ne montrent aucun impact sur les opérations, le soutien client ou les revenus, il est préférable de considérer cela comme une simple conséquence juridique et réglementaire, sans qu’il y ait de problèmes majeurs dans l’entreprise.

Ce que les investisseurs devraient surveiller avant de considérer cela comme une perte réelle dans le résultat financier

Ce titre ne devient un véritable problème pour l’entreprise que lorsque la divulgation des informations cesse d’être une question administrative et commence à refléter des conflits commerciaux. Jusqu’à then, cela peut se manifester principalement comme un problème lié aux sentiments des investisseurs. Amgen affirme avoir découvert…Aucun impact matériel sur sa situation financière ou ses activités.Et l’événement impliquait…Les systèmes de stockage en nuages sont gérés par des fournisseurs tiers.Ce n’est pas une preuve que la pile de fonctionnement du noyau est défectueuse.

Les prochaines semaines sont importantes.

• Fréquence d’actualisation :Vérifiez si la direction et les enquêteurs forensiques se concentrent sur l’étude de l’incident et sa maîtrise, plutôt que sur les problèmes liés aux interruptions opérationnelles.
• Largeur des données :Une carte d’exposition plus étroite permet une réaction temporaire liée aux sentiments des patients ; une information plus complète sur la santé des patients augmente les chances de conséquences réelles.
• Escalade légale :Vérifier si les intérêts de l’avocat se transforment en actions formelles liées aux personnes concernées, comme rapporté dans…Enquête en action de classe.
• Signaux d’accès pour le patient :Le changement de régime essentiel n’est pas lié au simple bruit de la réputation, mais plutôt à toute nécessité de trouver des solutions alternatives, comme celles que Amgen a mises en place pendant…Problème de sécurité informatique de Change Healthcare.

Qu’est-ce qui pourrait remettre en question la thèse actuelle ?

Cela fait de ce récit une histoire de violation limitée si : – Amgen passe d’un impact matériel nul à des preuves de dommages financiers ou opérationnels réels. – L’entreprise est contrainte de prendre des mesures en faveur des patients, similaires à celles liées à…Traitement des demandes d’assurance et traitement des cartes de co-payeY compris un nouveau processus de traitement de cartes de co-paye et un remboursement manuel direct. La divulgation des informations est suffisamment importante pour que les coûts juridiques et de réputation commencent à être considérés comme relevant des charges opérationnelles, plutôt que comme des coûts faciles à gérer.

Pour l’instant, l’interprétation plus appropriée est que la réaction du marché pourrait être due à des effets temporaires liés aux sentiments des investisseurs, si les informations sont divulguées de manière ordonnée et s’il n’y a pas de fuites commerciales. Cette théorie est remise en question si Amgen indique un impact réel sur sa situation financière ou ses activités, ou s’il est contraint à adopter les mêmes mesures de soutien pour les patients, comme cela s’est produit pendant la crise liée à Change Healthcare.