Tek açık, kaç hasar? Siberde domino etkisi

Ağustos ayında Cl0p adlı hacker gru­bu, farklı sektörlerde faaliyet gösteren 40’tan fazla kuruluştan veri çaldığını iddia etti. Bazı şirketler saldırı girişimlerini doğ­rularken bazıları veri ihlaline ilişkin kanıt bulamadıklarını açıkladı. Dikkat çekici olan, saldırganın onlarca ayrı kapıyı zorlamadan ortak yazılımlardaki güvenlik açıkları üze­rinden hepsinin kapısının anahtarını bul­masıydı. Aynı günlerde Fransa Vergi İdaresi, yaklaşık 678 bin kişi ve işletmeye ait verile­rin yasa dışı erişimle dışarı çıkarıldığını doğ­ruladı. Bu kez sisteme bir çalışan ile yetkili üçüncü tarafa ait ele geçirilen kimlik bilgileri üzerinden ulaşılmıştı. Birinde ortak yazılım, diğerinde güvenilen erişim. Türkiye’de de milyonlarca kullanıcıyı etkileyen veri ihlal­leri ile tedarikçi ve hizmet sağlayıcı kaynak­lı güvenlik sorunları KVKK kararlarına yan­sıdı. Bugün siber risk bir IT probleminden çok daha fazlası; operasyonun, finansın, hu­kukun, itibarın ve yönetimin riski. Siber olay da sadece “hacklenmek” değil. Ele geçirilen şifre, yanlış yetkilendirme, insan hatası, sos­yal mühendislik, güncellenmeyen yazılım ve­ya tedarikçi açığı da ciddi bir siber olaya dö­nüşebilir. Kişisel verilerin korunmasını yal­nızca IT’nin görevi olarak görmek de önemli bir yanılgı. Veri sorumlusunun yükümlülüğü kendi sistemleriyle sınırlı değil; erişim yet­kilerinden çalışan farkındalığına, yazılım ve bulut sistemlerinden kritik tedarikçilerin güvenliğine kadar tüm zinciri kapsıyor.

Bir siber olayın faturası sistemleri yeni­den çalıştırmakla bitmiyor. İş ve gelir kaybı, sistem restorasyonu, adli bilişim ve hukuki giderler, KVKK yükümlülükleri, üçüncü ki­şi talepleri ve müşteri kaybı aynı olayın fark­lı sonuçları. Ölçülmesi daha zor olan ise iti­bar kaybı. Birkaç günlük sistem kesintisinin maliyeti hesaplanabilir. Ancak müşterinin “Verilerimi bu şirkete emanet edebilir mi­yim?” sorusunun bilanço üzerindeki etkisi­ni ölçmek çok daha zor. Bugün siber sigorta yaptırmamak, riski bilerek bilançoda tutmak demek. Siberde risk, hasar verisinden daha hızlı değişiyor. Bir diğer sorun görünürlük eksikliği. Şirketler yaşadıkları olayları itibar, hukuki veya ticari nedenlerle kamuoyundan uzak tutabiliyor; bazı saldırılar ise aylar son­ra fark ediliyor. KVKK kapsamında veri ihlal­leri için bildirim yükümlülükleri var; ancak her siber olay kişisel veri ihlali değil. Dola­yısıyla kamuoyuna yansıyanlar yaşananların ancak bir bölümü. Ne olduğunu yeterince bil­miyorsanız, bir sonraki hasarın nereden ge­leceğini öngörmek de zorlaşıyor. Risk mo­dellerini geliştirmek, teminat ve istisnaları tasarlamak, fiyatlamak ve kümülasyonu ölç­mek güçleşiyor. Tüm bunlar siberde koruma açığını da büyütüyor.

Aynı yerde değil, aynı sistemde olmak

Deprem kümülasyonunda aynı bölgede kaç sigortalı tesis olduğu ve büyük bir depremde portföyün ne kadarının etkilenebileceği mo­dellenir.

Siber riskte ise dijital kümülasyon var. Bir­birinden binlerce kilometre uzaktaki şir­ketler aynı bulut sağlayıcısına, yazılıma, ve­ri merkezine veya hizmet sağlayıcısına bağlı olabilir. Tek bir güvenlik açığı çok sayıda şir­keti ve poliçeyi aynı anda etkileyebilir.

Bu nedenle sigortacılar için “MFA var mı, firewall var mı, yedekleme yapılıyor mu?” so­ruları artık yeterli değil. Şirket bir siber olayı ne kadar zamanda fark ediyor? Ne kadar hız­lı müdahale ediyor ve operasyonunu ne ka­dar sürede toparlıyor? Çünkü hasarın büyük­lüğünü yalnızca korunma seviyesi değil; fark etme, müdahale etme ve toparlanma hızı da belirliyor. Şirketin kendi güvenliği kadar ki­me ve neye güvendiği de sigortalanıyor.

Dijital kümülasyon ortak yazılımlarla da sınırlı değil. Yüzlerce şirketin operasyonu­nu taşıyan veri merkezleri de adeta dijital dünyanın fay hatları. Bu da bir sonraki yazı­nın konusu. Siber risk IT odasında başlaya­bilir ama operasyona, bilançoya, hukuka ve itibara ulaşır. Siber riski geleneksel sigorta risklerinden ayıran da bu: risk tek bir şirke­tin sınırlarında başlayıp bitmiyor. Bir şirket sigortalanırken aslında kaç şirket birden si­gortalanıyor?