Siber riskler büyürken koruma açığı derinleşiyor

Aon’un ‘Siber Risk Koruma Açığını Kapatmak’ başlıklı raporuna göre, siber riskler teknik bir güvenlik sorunu olmanın ötesine geçerek işletmelerin finansal yapısını doğrudan etkileyen kurumsal bir risk haline geldi. Raporda, siber güvenlik yatırımlarındaki artışa rağmen siber sigortanın toplam siber harcamalar içindeki payının sınırlı kaldığı, birçok kuruluşun ise önemli ölçüde siber riski kendi bilançosunda taşımayı sürdürdüğü vurgulandı.

Siber risklerin kapsamı, yalnızca veri ihlalleriyle sınırlı kalmayıp operasyonel kesintiler, tedarik zinciri bağımlılıkları ve uzun süreli gelir kayıplarını da içine alacak şekilde genişlemeye devam ediyor. Değerlendirmede, teknoloji altyapılarındaki bağımlılığın artmasıyla birlikte tek bir siber olayın üretimden hizmet sunumuna ve nakit akışına kadar birçok alanda zincirleme etkilere neden olabildiği ifade edildi.

Günümüzde yaşanan büyük ölçekli siber olayların önemli bölümünün veri hırsızlığından ziyade birbirine bağlı sistemlerde yaşanan uzun süreli kesintiler, operasyonel kapasite kaybı ve geciken kurtarma süreçlerinden kaynaklandığı belirtilirken, bu değişimin işletmeler açısından finansal etkileri de artırdığı kaydedildi.

Yapay zekânın da siber risk ortamını önemli ölçüde değiştirdiği aktarılan değerlendirmede, yapay zekânın tehdit aktörlerinin hızını, ölçeğini ve yetkinliğini artırırken, aynı zamanda kuruluşlara tespit, müdahale ve dayanıklılığı güçlendirecek yeni imkanlar sunduğu ifade edildi. Bu nedenle kuruluşların güvenlik stratejilerini yapay zekânın getirdiği yeni riskleri de dikkate alarak güncellemesinin önem taşıdığı vurgulandı.

SİBER RİSK KURUMSAL RİSK HALİNE GELDİ

Değerlendirmede, siber riskin artık yalnızca bilgi teknolojileri veya bilgi güvenliği ekiplerinin sorumluluğunda değerlendirilemeyeceği belirtilirken, risk yönetimi ile finans yönetiminin birlikte hareket etmesi gerektiğine dikkat çekildi.

Siber riskin finansal performans, likidite dayanıklılığı ve sermaye tahsis kararlarıyla doğrudan bağlantılı olduğu ifade edilirken, bu nedenle işletme genelinde ele alınması gereken stratejik bir konu haline geldiği kaydedildi.

SİGORTASIZ KAYIPLAR DİKKAT ÇEKİYOR

Son yıllarda yaşanan siber olayların, risk transferi kararlarının değişen tehdit ortamına uyum sağlayamadığı durumlarda kuruluşların önemli operasyonel ve finansal kayıplarla karşı karşıya kalabildiğini ortaya koyduğu belirtildi.

Ciddi siber kayıpların önemli bölümünün sigorta programlarının dışında kaldığı ifade edilirken, bunun temel nedeninin sigorta ürünlerinin bulunmaması değil, risk transferi kararlarının kuruluşların gerçek risk maruziyeti ve finansal dalgalanma toleransıyla örtüşmemesi olduğu vurgulandı.

SİBER GÜVENLİK HARCAMALARI ARTTI SİGORTANIN PAYI SINIRLI KALDI

Son on yılda bilgi güvenliğine yönelik küresel harcamaların üç katın üzerinde artış gösterdiği belirtilirken, bu artışın dijital altyapının büyümesi, karmaşıklaşması ve işletmeler açısından kritik hale gelmesiyle bağlantılı olduğu ifade edildi.

Aynı dönemde siber sigorta pazarının da büyüdüğü ancak daha sınırlı bir hızla geliştiği kaydedildi. Siber sigortanın bugün yaklaşık 300 milyar dolarlık küresel bilgi güvenliği pazarında 15-16 milyar dolarlık büyüklüğe ulaştığı, bunun da toplam harcamaların yaklaşık yüzde 4-5’ine karşılık geldiği belirtildi.

Harcamaların büyük bölümünün ise güvenlik kontrolleri, sistem yatırımları ve operasyonel dayanıklılığı artırmaya yönelik çalışmalara ayrıldığı ifade edildi.

BÜYÜK İŞLETMELER ÖNDE KOBİ’LER GERİDE

Şirket ölçeğine göre siber sigorta kullanım oranlarının önemli farklılık gösterdiği belirtildi.

Buna göre, yıllık cirosu 1 milyar doların üzerindeki büyük işletmelerde siber sigorta kullanım oranı yüzde 70-94 seviyesinde bulunurken, 100 milyon ile 1 milyar dolar arasındaki orta ölçekli şirketlerde bu oran yüzde 40-66 olarak kaydedildi.

10 milyon ile 100 milyon dolar arasındaki KOBİ’lerde kullanım oranının yüzde 10-20 seviyesinde kaldığı, 10 milyon doların altındaki mikro işletmelerde ise bu oranın yüzde 5-17 arasında değiştiği ifade edildi.

BÖLGELER ARASINDA ÖNEMLİ FARKLILIKLAR BULUNUYOR

Siber sigorta kullanımının coğrafi olarak da farklılık gösterdiği belirtilirken, Avrupa’da kullanım oranının yüzde 50-55, Kuzey Amerika’da yüzde 45-50 seviyesinde olduğu aktarıldı.

Asya Pasifik bölgesinde kullanım oranının yüzde 15-20 düzeyinde kaldığı belirtilirken, Orta Doğu ve Afrika’da yaklaşık yüzde 10, Latin Amerika’da ise yüzde 10’un altında olduğu ifade edildi.

Bu tablonun yalnızca sigorta koruma açığını değil, kuruluşların siber risk yönetimine ilişkin önceliklerini de ortaya koyduğu vurgulandı. Sermayenin büyük bölümünün önleme ve risk azaltma çalışmalarına ayrıldığı, finansal dalgalanmaların sigorta yoluyla yönetilmesine ise daha sınırlı kaynak tahsis edildiği belirtildi.

TEMİNAT KAPSAMI GENİŞLEDİ

Siber sigortanın zaman içerisinde yaşanan hasar deneyimlerine bağlı olarak önemli ölçüde geliştiği ifade edildi.

İlk dönem poliçelerinin daha çok veri ihlali ve bildirim maliyetlerine odaklandığı belirtilirken, zaman içinde teminat kapsamının iş durması, bağımlı sistem arızaları, fidye yazılımı saldırıları, gizlilik sorumluluğu ve düzenleyici süreçleri de kapsayacak şekilde genişlediği kaydedildi.

Ayrıca daha büyük ölçekli hasar senaryolarını karşılayabilmek amacıyla kapasitenin de artırıldığı ifade edildi.

KARAR SÜREÇLERİ DEĞİŞİYOR

Siber sigorta satın alma süreçlerinin geçmişe kıyasla daha kapsamlı değerlendirmelerle yürütüldüğü belirtilirken, kararların artık yalnızca emsal uygulamalara veya sözleşme zorunluluklarına göre verilmediği ifade edildi.

Risk yönetimi, bilgi teknolojileri, finans birimleri ve üst yönetimin bu süreçlere daha fazla dahil olduğu, kuruluşların limit, muafiyet ve program yapısını belirlerken geçmiş hasar deneyimlerinden, kıyaslama çalışmalarından ve risk ölçüm yöntemlerinden daha fazla yararlandığı aktarıldı.

RİSK TRANSFERİ HÂLÂ YETERİNCE KULLANILMIYOR

Değerlendirmede, karar alma süreçlerindeki gelişmelere rağmen sigortasız siber kayıpların yaygınlığını koruduğu belirtildi.

Bunun bir yandan siber sigortanın finansal dalgalanmaları yönetme aracı olarak yeterince kullanılmamasından, diğer yandan ise bazı kuruluşların mevcut teminatların kendi risklerini tam olarak karşılamadığı yönündeki değerlendirmelerinden kaynaklandığı ifade edildi.

Kuruluşların önemli bölümünde kararların hâlâ bütçe kısıtları, geçmiş piyasa algıları ve kapasite beklentileri doğrultusunda şekillendiği belirtilirken, siber risklere ilişkin kararların çoğu zaman açık bir risk toleransı ve sermaye stratejisi yerine örtülü tercihlerle alındığı vurgulandı.