Şirketlerin siber riskleri gün geçtikçe artıyor. Çünkü, artan tehdit seviyeleri, genişleyen saldırı yüzeyleri ve güvenlik becerilerindeki zafiyet birleştiğinde şirketler dezavantajlı hale geliyor. Potansiyel güvenlik ihlali olasılığının artmasına karşı çoğu firma, sorumluluklarının bazılarını üçüncü parti yüklenicilere devretmenin yollarını arıyor. Ayrıca, en iyi siber güvenlik uygulamalarına yatırım yapmadan kolayca siber sigortadan faydalanacağına inanan firmalar yanılıyor olabilir. Aslında bu tür yatırımlar yapmanın, zararın sigorta kapsamında karşılanmasının bir ön koşulu olması yaygınlaştı.
O zaman, işletmelerin siber güvenlik sigortası yaptırması “hiçbir zarar görmeden” kurtulmalarına yaramıyorsa, ne işe yarıyor?
Siber sigorta nedir?
Genel anlamda siber sigorta, her büyüklükteki şirketin veri ihlali ve sızıntılar sonucu ortaya çıkan finansal zararlardan korunmasına yardımcı olur. Poliçeye bağlı olarak siber sigorta şunları karşılayabilir:
- Potansiyel bir olay öncesi, söz konusu saldırılara dayanıklılığı artırmak için yapılacak değerlendirmelere, dikkatlice incelenerek belirlenen satıcılara ve bilgilere erişim
- İhlal sonrası bildirim, adli soruşturma, yasal hizmetler ve kriz yönetimi uzmanlığı konusunda yardım
- Şirketinize karşı yasal giderler ve tazminat talepleri için mali destek
- İşletmenin çalışmaya devam etmesi, verilerin geri yüklenmesi ve gelir kaybının giderilmesi için yapılan harcamaların karşılanması
Poliçeler çok değişiklik göstermekle birlikte temelde iki tür teminat vardır:
- Birinci taraf teminat kapsamı: Bir siber olayın işletmenize doğrudan etkisiyle ilgilidir. Kayıp veya hasarlı yazılım, yasal faturalar, adli tıp, müşterilere bildirim yapılması, para hırsızlığı vb. maliyetleri içerir.
- Üçüncü taraf teminat kapsamı: Diğer kişilerin bir siber olay sonucu yaşadıkları kayıplar nedeniyle firmanıza karşı açtıkları davalarla ilgilidir. Müşterilerle yasal anlaşmalar, avukat ve muhasebe ücretleri vb. dahildir.
Şirketinizin varlıklarına yönelik olarak “savaş nedeni” sayılabilecek siber saldırıların sigorta poliçenizde kapsam dışı olma ihtimalini düşünmelisiniz. Lloyd’s of London tartışmaya neden olacak şekilde, devlet destekli saldırılarda yüklenici sorumluluğunu azaltmak amacıyla, sigortacılarını sözleşmelere siber savaşla ilgili bir istisna madde eklemeye zorladı. Ancak, tehdit edici unsurun bir savaş eylemi gerçekleştirdiğinin kanıtlanması oldukça zor olabilir.
Neden siber sigortaya ihtiyacım var?
Çoğu şirket için, siber sigorta sektörünün 2029 yılına kadar 64 milyar ABD Doları hacmine ulaşacak bir sektör olacağını tahmin etmek şaşırtıcı değildir. Artan siber tehditler ve bunlarla ilişkili maliyetlerin yanı sıra düzenleyici kuruluşların konuya daha ciddiyetle yaklaşımı, şirketleri riskle karşılaşma ihtimalini en aza indirmek için denenmiş ve test edilmiş yöntemler aramaya itmektedir.
Pandemi sırasında bulut ve dijital yatırımlarla birleşen hibrit çalışmaya geçiş, verimlilik ve iş süreçlerinin etkinliğinin artmasına yardımcı olurken aynı zamanda siber saldırı yüzeyini de artırdı. Yama uygulanmamış evden çalışma uç noktaları, yanlış yapılandırılmış bulut sistemleri ve mobil kaynaklı tehditler buz dağının sadece görünen kısmıdır. 2022 yılında hazırlanan bir raporda kuruluşların %79’unun, çalışma uygulamalarında yapılan son değişikliklerin kuruluşlarının siber güvenliğini olumsuz etkilediğini düşündüğünü iddia ediyor. Bir başka çalışmada ise küresel kuruluşların %43’ünün saldırı yüzeylerinin “kontrolden çıkmaya başladığı” konusunda hemfikir. Saldırı yüzeyi aynı zamanda karmaşık tedarik zincirleri ve potansiyel olarak dikkatsiz çalışanlara kadar uzanıyor. Örneğin, küresel şirketlerin tahminen %98’i, 2021 yılında tedarikçileri nedeniyle bir ihlal yaşamıştır.
Sonuç olarak:
- ABD’de 2022 yılında neredeyse rekor rakamlara ulaşan kamuya bildirilen veri ihlalleri yaşandı
- 2022 yılında Birleşik Krallık’ta araştırmaya katılan kuruluşlarının beşte ikisi, geçmiş 12 ayda bir güvenlik ihlali yaşadığını bildirdi
- Yine Birleşik Krallık’taki teknoloji ve iş dünyası liderlerinin çeyreğinden fazlası (%27) iş e-posta güvenliği (BEC) ve “hackleme ve sızdırma” saldırılarının, %24’ü ise fidye yazılımların 2023 yılında artmasını beklediğini söyledi
Günümüzde ciddi güvenlik vakalarının sayısı artmakla kalmıyor, bunların mağdurlara olan maliyeti de gün geçtikçe artıyor. 2021 yılında siber suç vakalarının FBI’ya maliyetinin 9,6 milyar ABD dolarına ulaştığı bildirilmişti. Bir yıl sonra ise bu rakam, %49 artışla, 10,3 milyar ABD dolarına ulaştı. Bu tabloda toplam, 2022’ye kadar olan beş yıl için 27,6 milyar ABD dolarına çıkıyor.
Sigorta teminat kapsamı için ne yapmam gerekiyor?
Siber sigorta sektörü, son birkaç yılda belirgin bir değişim geçirdi. Pandemi sırasında fidye yazılımı ihlallerindeki artışın ardından bazı iddialar yayıldı. Bazı kişilerin dolaylı olarak tehdit aktörlerini saldırı başlatmaya teşvik etmek konusunda sektörü suçlamasına yol açtı. Birçok yüklenicinin maruz kaldığı kayıplar, poliçelerde bazı değişikliklerin yapılmasına yol açınca prim oranlarında önemli bir artış ve kapsama alanında önemli oranda azalmaya neden oldu. Neyse ki fiyatlar artık dengeleniyor, bu nedenle poliçeler yeniden karşılanabilir hale geliyor.
Bunun bir kısmı, daha fazla potansiyel müşteri talep eden daha ayrıntılı poliçelere bağlıdır. Bu durum, siber sigortanın, son çare olmaktan önlem almayı teşvik eden bir güvenlik ortağı olmaya doğru evrilen rolünü görmemizi sağlamıştır. Kısacası, şirketlerin güvenlik kontrolleri alanında en iyi uygulamalar ve siber hijyen önlemlerini uygulamalarını zorunlu kılan sigortacılar, siber risk yönetiminde temelden iyileşme ihtiyacını tetikleyebilir.
Poliçeye bağlı olarak bu önlemler şunlardır:
- Düzenli (ve saha dışı) veri yedekleme
- Güçlü, benzersiz parolalar ve iki faktörlü kimlik doğrulama kullanımı
- Güvenlik açığı taraması ve otomatik risk tabanlı yama yönetimi
- Siber güvenlik farkındalığı ile ilgili düzenli eğitim programları yapma
- Uç nokta güvenlik yazılımı
- Düzenli olarak test edilen olay müdahale planları
- Saldırıların “etki alanını” en aza indirmek için kullanılan ağ segmentasyonu
Sıradaki adım ne?
KOBİ’ler ve büyük ölçekli işletmeler halen siber olayları karşılaştıkları bir numaralı tehdit olarak görüyor. Maliyetler arttıkça, giderek daha fazla sayıda firma siber sigortaya başvuracak. Bu da daha iyi güvenlik, daha düşük risk ve daha uygun fiyatlı teminat sağlamalıdır. Ancak daha yapılacak çok şey var: Dünya Ekonomik Forumuna (DEF) göre orta ve küçük ölçekli işletmelerin yarısına yakını (%48) ve büyük işletmelerin %16’sı halen sigorta kapsamında değil. Gelecekte sigortanızdan en uygun şekilde yararlanmanız için, poliçelerde yer alan satır aralarını okumak her zamankinden daha önemli hale gelecek.
İşletmeler için siber güvenlik hakkında daha fazla bilgi için bu ESET kılavuzuna (İngilizce) bakabilirsiniz.
Siber Zorbalık: Hepimiz engellemekle sorumluyuz
CISO ‘nun siber saldırı sırasındaki rolü nedir?
