Yapay zekânın hızlı gelişimi, siber saldırıların gerçekleştirilme süresini kısaltırken sigortacıların ve şirketlerin risk yaklaşımında dayanıklılığı daha önemli hale getiriyor. MSIG USA Kuzey Amerika Siber Birimi Başkanı Ryan Kratz, önleyici kontrollerin önemini koruduğunu ancak kuruluşların saldırılara nasıl yanıt vereceği ve faaliyetlerini nasıl yeniden işler hale getireceğinin de öncelik kazandığını belirtti.
Kratz, yapay zekâ nedeniyle bir siber saldırıdan tamamen kaçınmanın neredeyse imkânsız olduğunu ifade ederek, kuruluşların saldırıya müdahale ve sonrasındaki toparlanma süreçlerine daha fazla odaklandığını söyledi.
Yapay zekâ saldırı süresini kısaltıyor
Kratz’a göre üç veya dört yıl önce siber sigorta değerlendirmelerinde çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri ile benzeri önleyici tedbirler ağırlıktaydı. Bu kontroller önemini sürdürürken yapay zekânın hem saldırı hem de savunma ortamlarına girmesi risk görünümünü değiştirdi.
Kratz, iki yıl önce deneyimli bir bilgisayar korsanının bir sisteme girmesinin aylar sürebildiğini, bugün ise bunun dakikalar içinde gerçekleşebileceğini söyledi. Şirketlerin rekabette geride kalmamak için yapay zekâyı hızla kullanıma aldığını, ancak bunun gerekli yönetişim, gözetim ve envanter yönetimi olmadan yapılmasının risk oluşturduğunu kaydetti.
Üçüncü taraf bağlantıları da siber olayların önemli bir boyutunu oluşturuyor. Kratz, MSIG USA’nın günümüzde karşılaştığı siber olayların neredeyse tamamında BT tedarikçileri, bulut hizmeti sağlayıcıları veya kendi sistemlerine yapay zekâ entegre eden diğer iş ortakları üzerinden bir üçüncü taraf unsurunun bulunduğunu belirtti.
Deneyimli çalışanların emekli olması ve genç çalışanların yapay zekâ araçlarına daha fazla yönelmesi de kuruluşların iş süreçleri ile olay müdahalesine ilişkin kurumsal bilgiyi kaybetme ve aynı anda teknoloji kaynaklı risklerini artırma ihtimalini gündeme getiriyor.
Dayanıklı kuruluşların ortak özellikleri
Kratz, siber olayların ardından en hızlı toparlanan kuruluşlarda siber riskin yalnızca bir teknoloji sorunu olarak değil, üst yönetim ve yönetim kurulu düzeyinde ele alındığını söyledi. Bu yaklaşımda amaç, teknoloji sistemlerinin yeniden devreye alınmasının yanı sıra iş faaliyetlerinin sürdürülmesi olarak tanımlanıyor.
Bu kuruluşlarda olay müdahale planlarının üst yönetimin katılımıyla test edildiği; CEO, CSO, diğer yöneticiler ve dış hukuk danışmanlarının yıllık masa başı tatbikatlarına katıldığı belirtiliyor. Olay sırasında hangi kararın kim tarafından verileceğinin önceden belirlenmesi de hazırlığın bir parçasını oluşturuyor.
İş sürekliliği planlarında kritik varlıkların önceden tespit edilmesi ve hangi sistemlerin önce yeniden devreye alınacağının belirlenmesi, kesinti süresini ve iş üzerindeki etkiyi azaltmayı amaçlıyor. Kratz, değiştirilemez çevrimdışı yedeklere sahip kuruluşların bu sistemlere geçerek fidye ödemeden ve uzun süreli kesinti yaşamadan daha hızlı toparlanabildiğini ifade etti.
Siber güvenliğin iş sürekliliği planlarına dahil edilmesi gerektiğini belirten Kratz, mülk hasarına bağlı kesintiler için uygulanan hazırlık düzeyinin siber olaylarda da kullanılmasını önerdi. Bir üretim tesisinin siber ihlal nedeniyle durması halinde, mülk hasarındaki müdahaleye benzer bir süreç görmek istediğini söyledi.
Kratz ayrıca kuruluşların yapay zekâ yönetişim çerçevelerini oluşturmasını, kullanılan yapay zekâ ajanlarının envanterini çıkarmasını, bu sistemlerin bağımsız olarak hangi işlemleri yapabileceğini tanımlamasını ve çalışanların bu araçlara aktarabileceği veriler için açık kurallar belirlemesini tavsiye etti.
Çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale, güvenlik açığı yönetimi, ayrıcalıklı erişim yönetimi ve çalışanlara yönelik güvenlik farkındalığı programları da temel kontroller arasındaki yerini koruyor. Kratz’a göre toparlanmakta zorlanan kuruluşlarda koordinasyonsuz müdahale, üst yönetim uyumsuzluğu veya yeni teknolojilerin gerekli yönetişim kurulmadan devreye alınması öne çıkıyor.
MSIG USA’nın dayanıklılık yaklaşımı
MSIG USA, birincil siber sigorta alanındaki faaliyetlerini genişletirken yaklaşımını dayanıklılık önceliği üzerine kuruyor. Kratz, siber sigortanın poliçenin düzenlenmesiyle sona eren bir işlem olarak görülmemesi, sigortalılara poliçenin yaşam döngüsü boyunca destek verilmesi gerektiğini ifade etti.
Şirket, sigortalıların maruz kalabileceği sıfırıncı gün güvenlik açıklarına ilişkin uyarılar dahil olmak üzere aktif izleme olanakları geliştiriyor. Amaç, sigortalıların bu açıkları azaltmak için hızlı hareket edebilmesini sağlamak ve sigortalama sürecini belirli bir andaki statik değerlendirmeden dinamik bir yapıya taşımak olarak aktarılıyor.
MSIG USA ayrıca bulut sağlayıcıları, tedarikçiler, operasyonel ortaklar ve müşteriler dahil olmak üzere siber riski şekillendiren teknoloji ekosisteminin anlaşılmasına odaklanıyor. Sigortalama sürecinde kuruluşların kullandığı yapay zekâ ajanları, bunların insan gözetimine tabi olup olmadığı, çalışanların bu sistemlere aktardığı hassas veriler, yetkisiz veri sızıntısını engelleyen kontroller ve üçüncü tarafların yapay zekâ kullanımının veriler üzerindeki etkileri değerlendiriliyor.
Kratz, gelecekte bağımsız hareket edebilen yapay zekâ kaynaklı olayların siber risk ortamının belirleyici unsurlarından biri olmasını beklediğini söyledi. Sigortalıların ve sigortacıların, yapay zekânın insan müdahalesi olmadan etkili biçimde çalışabildiği bir ortama uyum sağlaması gerektiğini belirtti.
İçerik, Risk & Insurance reklam departmanına bağlı R&I Brand Studio tarafından MSIG USA iş birliğiyle hazırlandı. Risk & Insurance editoryal ekibi içeriğin hazırlanmasında yer almadı.
Kaynak: Risk & Insurance
