Sigorta ve Reasürans Brokerleri Dereneği ve Sigorta Ekranı işbirliğiyle gerçekleştirilen yayında Siber Riskler konusu enine boyuna tartışıldı. Programa Howden Sigorta Brokerliği’nden Cemal Uludağ; Howden Brokerlik Türkiye Finansal Sigortalar Direktörü Sevil Ertürk ve Invictus Siber Güvenlik Şirketi’nin kurucu ortağı Mehmet İnce katıldı.
Son dönemde popülerliği iyice artan siber riskler, tehditler ve bunlara karşı sigorta çözümlerinin konuşulduğu programda ilk söz alan Mehmet İnce oldu. İnce, siber güvenlik tehditleri dendiğinde nelerle karşılaşıldığı konusunda bildi verdi. İnce, “Özellikle globalleşen ve internetin bu kadar hızlandığı, onlarca farklı ülkenin eş zamanlı bir şekilde birleştiği bir dijital dünya içerisinde yaşıyoruz. Dijitalleşme ve bu dünyanın getirdiği şeylerde aslında dünyanın bambaşka bir noktasındaki bir saldırının Türkiye’de 4 Levent’teki bir firmayı hedefleyebilmesine artık imkân tanıyor. Bunun için tek ihtiyacı olan şey 500 dolarlık bir laptop ve internet bağlantısının yeterli olması. Bu bakış açısıyla baktığımızda da hacker gruplarının yapıları ve şekillerinin değişkenlik gösterdiğini gözlemledik yıllar içinde” dedi.
İnce, “Yani 90’larda bu hikaye daha çok hack for fan adında ad ediliyordu. İnsanların gerçekten biraz eğlence ve hobi amaclı yaptığı şeyler bugün çok bir ekonomiye dönüşmüş durumda. Pandemi döneminde neler ile karşılaşabiliriz diye kafa yorduğumuzda dedik ki; ‘Mahallenizdeki covid hastalarını bulun uygulaması çıkarır hackerlar ve içerisine zararlı yazılımlar olur’ diye düşünmemizden 10 gün sonra aynı şeyi gördük Android markette. Yılın ilk 3 ayında karşılaştığımız sahte siteler 67 bin iken, 3. ay 6. ay arasında 220 bin. Hackerların da evlerine kapanmaları bizim gibi böye bir artışı beraberinde getiriyor” diye konuştu.
Pandemi döneminn siber saldırılara kılıf imkanı hazırladığının altını çizen İnce; “Şöyle ki herkes firmasında covid ile ilgili duyuru bekliyor yanı e-posta… O yüzden size gelen e-postanın başlığında çalıştığınız firma atıyorum Invictus firması, ‘Invictus covid hakkıında duyuru’ isimli bir başlıklı gördüğünüz zaman onu tıklıyorsunuz. Çünkü ana gündeminiz ve konunuz o. Hani artışın en büyük etmenlerinden bir tanesi özellikle bu bahsettiğimiz sahne maalesef” vurgusu yaptı.
Siber saldırıdan kaçma imkânı yok
“Siber saldırılar karşısında 1-0 geriden başladığımızın kabuliyle siber güvenlik alanında çalışıyoruz” diyen İnce sözlerini şöyle sürdürdü; “Siber gübenlik anlamında aslında herkesin başarmaya çalıştığı şey hackerların bulunduğu noktaya en yakın noktaya varabilmek. Zaten siber istihbarat kelimesinin de bu kadar önemli olması, siber saldırı yaşandığında değil de planlanırken tespitinde bulunalım diye. O yüzden ben her zaman söylüyorum; yüzde 100 güvenli bir firma mümkün değil. Siber saldırıdan kaçma imkanı yok. Tüm adımları doğru yapmak için eforu sarfetseniz bile o siber saldırı yaşanacak, buradaki en önemli konu, siber saldırı yaşandıktan ne kadar sonra tespit edebiriliz? Ya da yaşandığı anda tespit edebiliyor muyuz? Oradaki açığı kapatmak gerekiyor.”
Hackerların filmlerde görünenden aksine sosyal, aile sahibi insanlar da olabildiği belirten İnce, “Hani çok farklı profilde insanlar ve durumlar var. Yani gerçekten bir ailesi olan, çocukları olan sabah çocuklarını okula bırakan ondan sonra siber dolandırıcılık ve suç işleyen buradan gerilini sağlayan akşam evine giden insanlardan tutun da 12-13 yaşlarında ‘ben bu işe çok hevesli başladım napılıyor burada’ diyene kadar birçok profilli insan görüyorsun aslında. Kimi hacker grublarının ana motivasyonu sadece hacktevizm oluyor. Hacktevizmden kastımız ne oluyor; x bir nedenden mütevellit bir firmaya ya da bir devlete, ülkeye karşı bir siber operasyon gerçekleştirmek istiyor ve buradaki ana motivasyon para değil. Tamamıyla sistemlerin çalışmasını engeller hale getirmek ve kendi derdini dışavurumunu yaşayabilme çabası olarak anlatabilirim. Diğer bir dünya gerçekten para için bir motivasyonel yaklaşımının para olduğu bir grup insan var” diye anlattı.
Para için yapılıyor
İnce, “Bu grup insan hani sabah kalkınca ben buraya saldıracağımdan daha ziyade aslında hangi firmalarda ne tür veriler değerli ve ben bu verileri nasıl elegeçirebilirim ve satabilirim şeklinde bir hikayeyle ilerliyor. Zaten son dönemde yaşanan bu özellikle ransomware hikayelerini biliyorsunuzdur, fidye zararlı yazılımı konusu, hackerlar bu konuda geç aydınlandılar. Çünkü birçok kurum ve sisteme erişim sağlayıp ‘biz burada bir şey yapmayız’ diyip çıkan adamlar bir an ‘durun bir dakika buradaki veriyi biz şifreleyip para isteyelim” dediler birazcık geç aydınlanlanma yaşandı bu konuda. Ama özellikle 2013 ila 2018 yılları arasında 5 yıllık süreçte dünya bunla sallanıyordu. Bizim ofisin telefonu susmuyordu ve Türkiye’den her gün bir kurum arayıp ‘verilerimiz şifrelenmiş, karşılığında para istiyorlar. Ne yapalım ne edelim’ diye bir hikaye… O yüzden dediğim gibi farklı motivasyonel gruplar var işin içerisinde ama bunların içerisinde benim en çok korktuğum, çekindiğim bu işi gerçekten para motivasyonuyla yapan, motivasyonu maddi çıkar olan hacker grupları. Çünkü elde ettikerli erişim sağladıkları verileri birden fazla kere de satabilecekleri bir yeraltı dünyası modeli var” şeklinde konuştu.
Etkileri bertaraf etmek için sigorta güvencesi şart
Mehmet İnce’den sonra söz alan Sevil Ertürk de işin sigorta kısmı ile ilgili bilgi verdi. Ertürk, “Virüsle karşılaştığınızda ne kadar hazırlıklı olursanız olun mutlaka açık verebiliyorsunuz, mutlaka etkileniyorsunuz. Bu gibi durumları bertaraf edebilmek adına her zaman sigorta güvencesinin de bir risk yönetim tamamlayıcı metodu olarak şirketlerin ve bireylerin yanında olması gerektiğini biz savunuyoruz” dedi.
Ertürk konuşmasını şöyle sürdürdü; “Çünkü olası bir durumda karşılaştığınızda siber güvenlik kurumları devreye giriyor olacak sizin krizden en kısa süreden kurtarmaya çalışıyor olacak ama yönetilemeyen durumlar için ya da bu yönetilebildiği çerçevede geçen sürede etkilerini bertaraf edebilmek adına sigorta güvencesi mutlaka yürürlükte olması gerekiyor.”
Siber risk sigortaları hakkında da bilgi veren Ertürk, “Siber sigorta türünün diğer sigorta türünden oldukça farklılaştığını görüyoruz. Aslında biz burada sigorta teminatı sunduğumuzda sigortalılara bu doğrudan bir sigorta poliçesi vermek değil. Aslında bir butik hizmet sağlamış oluyoruz. Bir süreç yönetimi hizmeti sağlamış oluyoruz sigortalılara. Genelde ne oluyor; şirketin ya da bireysel şahsın sigortalı kişinin kendi zararını karşılayan sigorta türleri vardır. Bir de 3. şahsın yanı hizmet verdiği taraf olabilir, bağlantılı olduğu taraflar olabilir, sorumluluklarına binaen oluşan zararın tazmini usulunca çalışan sorumluluk sigortaları vardır. Siber sigortalarda, siber risk sigortalarında bu iki teminat birleşmiş oluyor. Yani siz hem şahsın kendi zararını hem 3. şahsa verebilecek zararları teminat altına alıyorsunuz. Bununla da kalmıyor 3. adımı belki de en önemli adımı aslında asistansı çok daha ileri boyuta ulaşan 7/24 hizmeet veren ve çeşitli uzmanlık dallarıyla sizi bu kritik durumdan kurtarmaya çalışan çözüm ortaklarıyla bir kriz yönetim hizmeti de sağlanıyor” dedi.
Fidye ödüyormuşsunuz!
Ertürk, “Belki de en önemli kısmı da bu siber risk sigortalarının. Aslında şimdi bakarsak neyi teminat kapsamına alıyoruz, nasıl bir koruma sağlıyoruz sigortalılara dersek, 1.’si zaten siber dünyanın gerçeyi ‘veri, veri, veri…’ diyoruz, bu verinin zarar görmesi, blocklanması, ortadan kalkması, yerine geri getirilmesi veya bunun kullanımından dolayı tarafların uğrayabileceği zararların tazmini zaten ana esası. Yine Ağ güvenliğiniz, medya sorumluluğunuz, demin Mehmet Bey bahsetti fidye şantaj ki en önemli unsurlarından bir tanesi aslında birçok kişi bilmiyor bunu duyunca da şaşırıyorlar ‘aa fidye ödüyormuşsunuz’ diye ki bunun da çok çok doğru yönetilmesi gerekiyor. Yine Mehmet Beyin belirttiği gibi kimi zaman karşımızda bulunan hackerla iş bitmiyor. Siz durumdan kurtulduğunuzu zannediyorsunuz fidye ödemesi yapıp çıktığınızı zannediyorsunuz ama o veri çok daha farklı alanlara yayılmış oluyor ve günün sonunda bunun yönetilmesi de çok önemli bir hal alıyor. Bu yüzden sigortalıların kendi başına değil de bu alanda uzman olan kurumlarla krizi yönetmesi en doğrusu” vurgusu yaptı.
İş durmasını tazmin ediyor
İş durması konusunda ya siber sigortanın önemine vurgu yapan Ertürk şunları söyledi; “Bir diğer kısım iş durması. Bu aslında şirketin kendi zararıyla alakalı kısım iş durmasına bağlı gelir kaybını tazmin eden bir sigorta poliçesinden bahsediyoruz ve çoğu zaman bizim uygulattığımız muafiyet türü de -bunlarda normalde bekleme süreleri olur- biz integral muafiyet uygulatıyoruz yani belli bir süreyi aştığı zaman ilk dakikadan itibaren temninat altına alan bir sigorta ürünü.”
Ertürk, Türkiye’de siber risk sigortalarının 2012 yılında çıktığını aktararak, “O yıldan bu yıla oldukça arttığını söyleyebiliriz sigortalanma alanında ama ağırlıklı olarak deminde bahsettiğimiz gibi finansal kuruluşlar; teknoloji firmaları ve sağlık kuruluşlarının yaptırdığını görüyoruz. Ama riskin bundan çok daha öte olduğunu aslında sadece biz değil diğer broker arkadaşlarımız da farkındalığı arttırarak ulaştırmaya çalışıyoruz” diye konuştu.
Hasar bilgisi
Cemal Uludağ’ın, “Bir hasar meydana geldiğinde ne yapmak gerekir” sorusuna Ertürk şöyle cevapladı: “Herhangi bir durumdan şüphelendiğiniz anda dahi bunu ispatlamanız gerekmiyor şüphelenmeniz halinde 7/24 çalışan callcenter numaralar var. Direkt buradan ihbar yapıyorsunuz. Normal klasik sigorta ürünü gibi sigorta şirketine ihbar yükümlülüğünüz de yok ilk anda. Yapacağınız en önemli şey zaten bu durumu yöneten firmaya öncelikle haber vermek. Onlar sizden talebi aldığı zaman bir 5 dakika içerisinde yetkili bir kişiye sizi atıyorlar zaten. O esnada sizin dönüp brokerinize sigorta şirketine de hasarla ilgili bilgi vermeniz gerekiyor.”
“Bu 5 dakikalık süre içerisinde atanan kişi tekrar kurumla iletişime geçiyor ve durumu anlamaya çalışıyor. Durum zaten ilk 1 saat içerisinde anlaşılıyor. Bu durum gerçekten bir hackleme olayı mı yoksa sistemden kaynaklı bir sıkıntı mı karşınızda bir tehdit var mı yok mu? Bu kolayca bertaraf edilebilecek bir durum mu değil mi? Eğer zorlu bir durumsa ne yapılması gerekiyor buna bakılıyor. Öyle durumlar yaşıyoruz ki biz özellikle iş durmasıyla alakalı hasarlar.”
Ne yapacağımızı bilmeliyiz
“Belki sizin bütün sisteminizin yeniden oluşturması gerekiyor. Ardından hemen halkla ilişkiler firması ve hukuk firması devreye gidiyor ve kurumu, tarafı herhangi bir sorumlulukla karşı karşıya bırakacak bir durumun olup olmadığına bakıyor. Bunun nasıl yönetileceğine bakıyorlar. Gerekirse bu alanda yetkili firmalara atanıyor, süreçle ilgili sizin nasıl ilerleyeceğinizi, neler yapmanız gerektiğini belirtiyor. Yanı tamamen omuz omuza ilerlenen ve ilk andan son ana kadar sizi süreçten kurtarmaya çalışan hem repitasyonunuzu bir şekilde düzeltmeye çalışan hem 3. şahsınıza zararlarını tazmin etmeye çalışan bir sistemden bahsediyoruz. Ve buradaki asıl önemli olan nokta; hız. Bu hız için de ne yapacağınızı bilmeniz gerekiyor, nasıl ilerleyeceğimizi bilmeniz gerekiyor, deneyimli tecrübeli olmanız gerekiyor. Ne kadar kolay sigortalıyı süreçten kurtarırsak zarar da hem kendi adına hem 3. şahıslar adına o kadar düşük seviyede oluyor.”
