Hızlı cevap: Siber sigorta, bir siber güvenlik olayının (veri ihlali, fidye yazılımı, dolandırıcılık, hizmet kesintisi) kuruma vereceği mali zararı karşılamak için yapılan bir sigortadır. Tipik olarak şunları kapsar: olay müdahale ve adli bilişim maliyetleri, veri kurtarma ve iş kesintisi kaybı, yasal masraflar ve düzenleyici cezalar, müşteri bildirim maliyetleri ve bazı durumlarda fidye ödemeleri. Ancak siber sigorta bir güvenlik önlemi değil, bir finansal güvenlik ağıdır; olayı önlemez, sadece maliyetini paylaşır. Üstelik sigortacılar artık poliçe için asgari güvenlik kontrolleri (iki adımlı doğrulama, yedekleme, olay müdahale planı) şart koşuyor ve bir olayda bu kontrollerin eksikliği tazminatı reddettirebiliyor. Yani siber sigorta, iyi güvenliğin yerine değil, üstüne gelir.

Bir siber olayın maliyeti, çoğu kurumun tahmininden çok daha yüksektir: sadece kesinti değil, adli bilişim, yasal masraflar, müşteri bildirimleri, itibar kaybı ve olası cezalar. İşte siber sigorta, bu mali darbeyi yumuşatmak için var. Ama etrafında pek çok yanlış anlama dönüyor; kimi onu bir güvenlik çözümü sanıyor, kimi de gereksiz bir masraf. Bu yazı, siber sigortanın ne olduğunu, neyi kapsadığını ve bir kurumun ona nasıl bakması gerektiğini anlatıyor.

Siber sigorta ne işe yarar

Siber sigorta, bir siber olayın mali sonuçlarını karşılayan bir poliçedir. Mantığı, diğer sigortalar gibidir: düşük olasılıklı ama yüksek maliyetli bir riski, düzenli bir prim karşılığında sigortacıya devredersiniz. Bir fidye yazılımı ya da veri ihlali yaşandığında, cebinizden çıkacak büyük maliyetin bir kısmını sigorta karşılar. Ama kritik bir ayrım var: siber sigorta olayı önlemez, sadece maliyetini paylaşır. Bir yangın sigortası yangını söndürmez; siber sigorta da saldırıyı durdurmaz.

Tipik olarak neyi kapsar

Kapsam Ne içerir
Olay müdahale Adli bilişim, uzman desteği, kurtarma
İş kesintisi Kesinti süresince gelir kaybı
Yasal ve düzenleyici Avukat masrafı, olası cezalar
Bildirim maliyetleri Etkilenen müşterilere bildirim
Üçüncü taraf talepleri Zarar gören müşteri/iş ortağı davaları
Fidye (bazı poliçeler) Fidye yazılımı ödemesi (koşullu)

Kapsamlar poliçeye göre değişir; önemli olan, kendi kurumunuzun en büyük risklerinin poliçede olup olmadığını kontrol etmektir.

En kritik nokta: sigorta güvenliğin yerine geçmez

Siber sigorta hakkındaki en tehlikeli yanılgı, onu bir güvenlik önlemi sanmaktır. Sigorta bir finansal güvenlik ağıdır, bir savunma değil. Bir kurum, "nasılsa sigortam var" diyerek güvenliğini ihmal ederse, hem sık sık olay yaşar hem de tazminat alamayabilir. Çünkü modern sigortacılar, poliçe vermeden önce asgari güvenlik kontrolleri şart koşar: iki adımlı doğrulama, düzenli ve test edilmiş yedekleme, olay müdahale planı, güncel sistemler. Bu kontroller eksikse ya poliçe hiç verilmez ya da bir olayda tazminat reddedilir. Yani iyi güvenlik, sigortanın önkoşuludur.

Poliçe öncesi hazırlık

Bir siber sigorta almadan önce, sigortacının soracağı soruların cevabına hazır olmak gerekir; bunlar aslında iyi güvenliğin temel sorularıdır. İki adımlı doğrulama her yerde açık mı? Yedekleriniz düzenli ve test edilmiş mi (bunu 3-2-1 yedekleme yazısında ele aldık)? Bir olay müdahale planınız var mı? En az yetki ilkesi uygulanıyor mu? Bu kontrolleri hayata geçirmek, hem daha düşük prim hem de bir olayda geçerli bir poliçe anlamına gelir. KOBİ'ler için bu temel kontrolleri KOBİ 10 adım siber güvenlik yazısında topladık.

Bir olay yaşandığında

Siber sigortanın gerçek değeri, bir olay anında ortaya çıkar. İyi bir poliçe, sadece parayı değil, hızlı erişilebilen bir olay müdahale ekibini de sağlar. Bir olay yaşandığında, sigortacınızı zamanında bilgilendirmek ve poliçenin gerektirdiği adımları izlemek kritiktir; aksi halde tazminat riske girer. Olay müdahalesini bir siber olay müdahale planı çerçevesinde yürütmek, hem teknik hem sigorta gerekliliklerini karşılar.

KAOS ve DSET yaklaşımı

DSET, kurumların hem siber sigorta için gereken güvenlik olgunluğuna ulaşmasına hem de bir olay anında müdahaleye yardım eder. Yerel yapay zekâ motorumuz KAOS, bir kurumun güvenlik durumunu değerlendirerek sigortacıların aradığı kontrollerin eksiklerini tespit eder ve her bulguyu çalışan bir kanıtla raporlar. Amaç, hem primi düşürecek hem de bir olayda poliçenizi geçerli kılacak güvenlik temelini kurmaktır.

Sık sorulan sorular

Siber sigorta beni saldırılardan korur mu? Hayır. Siber sigorta bir güvenlik önlemi değil, bir finansal güvenlik ağıdır. Bir saldırıyı önlemez ya da durdurmaz; sadece yaşanan bir olayın mali maliyetinin bir kısmını karşılar. Güvenliğinizi ihmal edip sadece sigortaya güvenmek, hem sık olay yaşamanıza hem de tazminat alamamanıza yol açar. Sigorta, iyi güvenliğin yerine değil, üstüne gelir.

Güvenliğim zayıfsa siber sigorta alabilir miyim? Giderek zorlaşıyor. Modern sigortacılar, poliçe vermeden önce asgari güvenlik kontrolleri şart koşar: iki adımlı doğrulama, test edilmiş yedekleme, olay müdahale planı, güncel sistemler. Bu kontroller eksikse ya poliçe verilmez ya da yüksek prim istenir. Dahası, bir olayda bu kontrollerin olmadığı ortaya çıkarsa tazminat reddedilebilir. Yani güvenlik, sigortanın önkoşuludur.

Küçük bir kurumum, siber sigortaya ihtiyacım var mı? Değerlendirmeye değer. Küçük kurumlar da fidye yazılımı ve dolandırıcılığın hedefidir ve bir olayın maliyeti onları orantısız etkiler. Ancak sigortadan önce temel güvenlik kontrollerini kurmak gelir; bunlar hem olay olasılığını düşürür hem de sigortanın önkoşuludur. Doğru sıra, önce temel güvenliği kurmak, sonra kalan riski sigortaya devretmektir.

Kaynaklar

Siber sigorta için gereken güvenlik olgunluğuna ulaşmak ve riskinizi değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik ve risk danışmanlığı sağlıyoruz.