Yapay zekânın siber tehdit ortamını değiştirmesi, sigortacıların ve kurumların önleyici kontrollerin yanında operasyonel dayanıklılığa daha fazla ağırlık vermesine yol açıyor. MSIG USA Kuzey Amerika Siber Bölümü Başkanı Ryan Kratz, yapay zekâ nedeniyle siber saldırılardan tamamen kaçınmanın neredeyse imkânsız hale geldiğini, bu nedenle saldırıya müdahale ve toparlanma süreçlerinin önem kazandığını söyledi.
Kratz’a göre iki yıl önce deneyimli bir bilgisayar korsanının bir sisteme sızması aylar sürebilirken, bugün bu süre yapay zekâ sayesinde dakikalara inebiliyor. Yakın dönemde ise neredeyse hiç insan müdahalesi olmadan otonom ve yapay zekâ destekli en az bir saldırı gerçekleşti.
Yapay zekâ yarışı risk görünümünü değiştiriyor
Kratz, üç veya dört yıl önce siber sigorta değerlendirmelerinin çoğunlukla çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale ile benzeri önleyici kontroller üzerinde yoğunlaştığını belirtti. Bu uygulamaların önemini koruduğunu ifade eden Kratz, yapay zekânın hem saldırı hem de savunma alanına girmesinin risk görünümünü temelden değiştirdiğini kaydetti.
Kurumların rakiplerinin gerisinde kalmamak için yapay zekâyı hızla kullanmaya başladığını söyleyen Kratz, bazı uygulamaların gerekli yönetişim, gözetim ve envanter yönetimi kurulmadan devreye alındığını ifade etti. Kratz, yapay zekâ kullanımının sorumlu biçimde yürütülmesi gerektiğini vurguladı.
Üçüncü taraf bağlantıları da siber riskleri artırıyor. Kratz’ın verdiği bilgiye göre MSIG USA’nın bugün karşılaştığı siber olayların neredeyse tamamında bilgi teknolojileri tedarikçileri, bulut hizmeti sağlayıcıları veya kendi ortamlarına yapay zekâ entegre eden diğer iş ortakları gibi üçüncü taraf unsurları bulunuyor. Olayların çoğunun bir üçüncü tarafta başlayarak sigortalının sistemine ulaştığını belirtti.
Deneyimli çalışanların emekliye ayrılması ve genç çalışanların yapay zekâ araçlarına daha fazla yönelmesi de kurumların iş süreçleri ile olay müdahalesine ilişkin kurumsal bilgi kaybı yaşaması ve aynı anda teknoloji kaynaklı risklerinin genişlemesi ihtimalini gündeme getiriyor.
Dayanıklı kurumların ortak özellikleri
Kratz, siber olaylardan en hızlı şekilde toparlanan kurumlarda siber riskin yalnızca bir teknoloji sorunu olarak değil, üst yönetim ve yönetim kurulu düzeyinde ele alındığını söyledi. Siber olaylarda yalnızca teknoloji sistemlerinin değil, iş faaliyetlerinin de çalışır durumda tutulması gerektiğini ifade etti.
Bu kurumların, üst yönetimin katılımıyla test edilen olay müdahale planları hazırladığını belirten Kratz, CEO, güvenlik yöneticisi ve diğer yöneticilerin dış hukuk danışmanlarıyla birlikte yıllık masa başı tatbikatlara katıldığını ve olay sırasında karar yetkilerinin önceden tanımlandığını aktardı.
İş sürekliliği planlarında kritik varlıkların önceden belirlenmesi ve hangi sistemlerin önce devreye alınacağının kararlaştırılması, kesinti süresini ve iş üzerindeki etkiyi azaltıyor. Kratz, değiştirilemez çevrimdışı yedeklere sahip kurumların bu kaynaklara hızla geçerek fidye ödemeden ve uzun süreli kesinti yaşamadan toparlanabildiğini söyledi.
Kratz ayrıca mülkle bağlantılı faaliyet kesintileri için hazırlanan iş sürekliliği planlarındaki yaklaşımın siber olaylara da uygulanmasını önerdi. Bir üretim tesisinin siber ihlal nedeniyle durması halinde, mülkle ilgili bir olayda verilen müdahaleye benzer bir karşılık verilmesi gerektiğini ifade etti.
Yapay zekâ yönetişim çerçevelerinin gecikmeden oluşturulması gerektiğini söyleyen Kratz, kurumların kullandıkları yapay zekâ ajanlarının envanterini çıkarmasını, bu sistemlerin otonom olarak hangi işlemleri yapabileceğini tanımlamasını ve çalışanların sisteme girebileceği verilere ilişkin açık kurallar koymasını istedi.
Kratz’a göre çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale, güvenlik açığı yönetimi, ayrıcalıklı erişim yönetimi ve çalışanlara yönelik güvenlik farkındalığı programları da önemini koruyor. Toparlanmakta zorlanan kurumlarda ise koordinasyonsuz müdahale, yönetim uyumsuzluğu ve uygun yönetişim kurulmadan yeni teknolojilerin devreye alınması öne çıkıyor.
MSIG USA’nın dayanıklılık yaklaşımı
Birincil siber sigorta alanındaki faaliyetlerini genişleten MSIG USA, yaklaşımını dayanıklılık odağında şekillendiriyor. Kratz, siber sigortanın poliçenin düzenlenmesiyle sona eren işlemsel bir ürün olarak görülmemesi ve sigortacıların poliçe yaşam döngüsü boyunca sigortalılara destek vermesi gerektiğini söyledi.
MSIG USA, siber risk değerlendirmesini belirli bir andaki statik incelemeden dinamik bir sürece taşımayı amaçlayan teknolojiler geliştiriyor. Bunlar arasında sigortalıların maruz kalabileceği sıfır gün güvenlik açıklarına ilişkin aktif izleme ve uyarı imkânları da bulunuyor.
Şirket ayrıca sigortalıların bulut sağlayıcıları, tedarikçileri, operasyonel ortakları ve müşterileri dâhil olmak üzere siber risklerini şekillendiren teknoloji ekosistemini anlamalarına yardımcı olmayı hedefliyor. Kratz, kullanılan yapay zekâ ajanları, insan gözetimi, çalışanların bu sistemlere girdiği hassas veriler, yetkisiz veri sızıntısını önleyen kontroller ve üçüncü tarafların yapay zekâ kullanımının veriler üzerindeki etkisinin değerlendirilmesi gerektiğini belirtti.
Kratz, otonom yapay zekâ destekli olayların siber tehdit ortamının belirleyici unsurlarından biri haline gelmesini beklediğini söyledi. Sigortalılar ile sigorta değerlendirmesi yapan ekiplerin, yapay zekânın insan unsuru olmadan etkili şekilde çalışabildiği bir ortama uyum sağlaması gerektiğini ifade etti.
Kaynak notu: İçerik, Risk & Insurance reklam departmanına bağlı R&I Brand Studio tarafından MSIG USA iş birliğiyle hazırlandı. Risk & Insurance editoryal ekibi içeriğin hazırlanmasında yer almadı.
Kaynak: Risk & Insurance
