NotPetya üzerinden 3 yıl geçti; sigorta sektörü ne öğrendi?

Dünyadaki en büyük siber saldırı olan NotPetya saldırılarının üzerinden 3 yıl geçti. Uzmanlar siber güvenlik ve saldırı engelleme teknolojilerinin her zamankinden daha güçlü olduğu kabul etse de, büyük çaplı başka bir saldırı ihtimalini aklımızdan çıkarmamız için henüz çok erken.

Ukrayna’da 2017 yılının Temmuz ayında başlayan NotPetya zararlı yazılımı saldırısı nakliyat devi Maersk ve ilaç devi Merck gibi şirketlerin sırasıyla 300 milyon dolar ve 870 milyon dolar kaybetmelerine yol açmış, küresel boyutta ise 10 milyar dolara yakın hasar oluşmasına neden olmuştu. Günümüzde teknoloji ve güvenlik çözümleri ne kadar ilerlemiş olsa da risk devam ediyor. Uluslararası sigorta ve siber güvenlik çözümleri sunan QOMPLX şirketinin Başkanı Conan Ward “Küresel sigorta pazarını etkileyebilecek hadiseden sadece bir saldırı uzaktayız” diyor. Başka bir siber güvenlik şirketi olan CyberCube’un müşteri hizmetleri başkanı Oliver Bew ise NotPetya saldırılarının sektördeki potansiyel sistemik açıkları ortaya çıkardığını ifade ediyor.

EK TEMİNAT DEĞİL BAŞLI BAŞINA POLİÇE

Diğer taraftan, NotPetya saldırıları sadece şirketlerin siber açıklarını değil, aynı zamanda poliçelerdeki belirsizlikleri de göz önüne getirdi. Saldırıdan sonra düzenleyicilerin de konuya eğilmesiyle beraber siber teminatların düzenlenmesi (sessiz siber) ya da tek başına bir ürün oluşturulması konusunda tartışmalar alevlendi.

Sessiz siber terimi, geleneksel yangın ve sorumluluk sigortalarında eklenen (ya da eklenmeyen) potansiyel siber saldırılara karşı teminatları içeriyor. Bu tarz bir teminat ise saldırının türüne göre belirli siber riskleri kapsam dışında bırakabiliyor. Böylesi bir durum da, siber olaylarda hasarın ne kadarının teminat altında olduğunun bilinmemesine yol açabiliyor ve siber riskler konusunda bir belirsizlik ortaya çıkarıyor.

Tek başına bir siber sigorta ise, bahsettiğimiz poliçeler dışında, başlı başına bir ürün olan ve sigortacıdan alınabilen siber sigorta ürünleri anlamına geliyor. Bu ürünler siber risklere kapsamlı bir teminat sunmak için özel olarak hazırlanıyor. NotPetya saldırısında da görüldüğü gibi, bazı halleri teminat dışında bırakan ve ancak limitli bir koruma sağlayan siber teminatlara sahip olmanın riski son derece büyük. Siber risklere karşı kurumlarının risklerini sigortalatmak isteyenlerin siber sigorta ihtiyaçlarını iyi anlaması ve ihtiyaçlarıyla tamamen örtüşen ürünleri satın alması gerekiyor.

PANDEMİ SİBER SALDIRI RİSKİNİ ARTIRIYOR

NotPetya üzerinden henüz kısa bir süre geçmiş olsa da yeni riskler ufukta görünüyor. Siber teminatların da bu yeni risklerle beraber evrilmesi büyük önem taşıyor. COVID-19’un getirdiği yeni riskler bu konuda iyi bir örnek.

Pandemi nedeniyle pek çok şirket uzaktan çalışma modeline geçmiş durumda. Bu durum ise siber bir saldırı ihtimalini oldukça artırıyor. Kurum içindeki cihazlar yerine evdeki cihazların kullanılması, yeterince iyi kontrol edilemeyen ve senkronize bir güvenlik ağına sahip olmayan sistemlerde saldırıların etkilerinin daha büyük olmasına neden oluyor. Şirketlerin evden çalışmanın getirdiği artan risklerle başarılı bir şekilde mücadele edebilmesi için bu konuyla ilgilenen tecrübeli bir IT ekibine sahip olması, teknolojik altyapılarını uygun olarak düzenlemesi ve çalışanlarını bir saldırı durumunda yapılacaklarla ilgili bilgilendirmesi gerekiyor.

SEKTÖR DE TEKNOLOJİYLE GELİŞİYOR

Sigorta şirketlerinin siber risklerle mücadelede kullanmaya başladıkları en etkin yöntemler; müşterilerin artan siber risklere karşı proaktif hasar azaltma stratejileri konusunda eğitilmeleri, daha gerçekçi felaket senaryolarının ve buna uygun modellerin geliştirilmesi, saldırıların sermayaye ve iş süreçlerine etkilerinin derinlemesine incelenmesi ve sürdürülebilir pazar koşullarının devamı için gerekli önlemlerin alınması olarak görülüyor.

Gelecekteki siber sigorta ürünlerinin ve bu ürünlerin teminat kapsamlarının veriler dikkate alınarak; yani yapay zeka kullanılarak önceki hasarların genel bir haritası oluşturularak belirlenmesi ve underwriting sürecinin tek seferlik değil, risklerle beraber değişen ve kendini güncelleyen bir yapıya bürünmesi önem taşıyor. Günümüzde sürekli değişen risklere uygun bir çözüm sağlamak için bu tarz bir cevap verilmesi şart. Olgunlaşmakta olan siber sigorta pazarında açık bir iletişim kurulması, şeffaflığa önem verilmesi ve bir sonraki siber saldırının gerçekleşmesi sonrasında pazarın sağlıklı bir şekilde büyümesinin garanti altına alınması için paydaşların beraber çalışması gerekiyor.