MSIG USA Kuzey Amerika Siber Başkanı Ryan Kratz, yapay zekânın siber tehdit ortamını dönüştürdüğünü belirterek kuruluşların önleyici kontrollerin yanında müdahale ve toparlanma kabiliyetlerini de güçlendirmesi gerektiğini söyledi. Kratz’a göre geçmişte aylar sürebilen bazı saldırı hazırlıkları, yapay zekânın gelişimiyle dakikalar içinde gerçekleştirilebilir hale geldi.
Kratz, yakın dönemde neredeyse hiç insan müdahalesi olmadan otonom ve yapay zekâ destekli bir saldırının da meydana geldiğini aktardı. Önleyici kontrollerin önemini koruduğunu ancak tek başına yeterli olmadığını ifade eden Kratz, siber olayları daha iyi atlatan kuruluşların işlerinin her katmanına dayanıklılık yerleştirdiğini kaydetti.
“Yapay zekâ nedeniyle bir siber saldırıdan tamamen kaçınmak neredeyse imkânsız” diyen Kratz, artık saldırı sonrasında verilecek yanıt ile toparlanmayı sağlayacak iş süreçlerine daha fazla odaklandıklarını belirtti.
Yapay zekâ yarışı risk görünümünü değiştiriyor
Kratz’a göre üç veya dört yıl önce siber sigorta değerlendirmelerinde çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri ile benzeri önlemler öne çıkıyordu. Bu kontroller önemini sürdürürken yapay zekânın hem saldırı hem savunma tarafında kullanılması risk görünümünü değiştirdi.
Saldırganların ihtiyaç duyduğu sürenin kısaldığını belirten Kratz, iki yıl önce deneyimli bir bilgisayar korsanının bir sisteme sızmasının aylar alabileceğini, bugün ise bunun dakikalar içinde gerçekleşebileceğini söyledi.
Kratz ayrıca kuruluşların rekabette geri kalmamak için yapay zekâyı şirket içinde hızla devreye aldığını, ancak bunu kimi zaman gerekli yönetişim, gözetim ve envanter yönetimi olmadan yaptığını ifade etti. Bu süreci kuruluşlar arasında bir “yapay zekâ silahlanma yarışı” olarak nitelendiren Kratz, teknolojinin sorumlu biçimde uygulanması gerektiğini vurguladı.
Üçüncü taraf bağlantıları da riski artırıyor. Kratz, MSIG USA’nın günümüzde karşılaştığı siber olayların neredeyse tamamında bilgi teknolojileri tedarikçileri, bulut hizmeti sağlayıcıları veya kendi ortamlarında yapay zekâ kullanan diğer ortaklarla ilişkili bir unsur bulunduğunu söyledi. Gözlemledikleri olayların çoğunun üçüncü taraf kaynaklı başlayıp sigortalının sistemine ulaştığını belirtti.
Deneyimli çalışanların emekli olması ve genç çalışanların yapay zekâ araçlarına daha fazla dayanması da kuruluşların iş süreçleri ile olay müdahalesine ilişkin kurumsal bilgiyi kaybetmesi ve teknoloji maruziyetini genişletmesi riskini beraberinde getiriyor.
Dayanıklı kuruluşların ortak özellikleri
Kratz, siber olaylardan en hızlı toparlanan kuruluşların siber riski yalnızca teknoloji sorunu olarak değil, üst yönetim ve yönetim kurulu düzeyinde ele aldığını söyledi. Bu yaklaşımda hedefin sadece teknoloji sistemlerini yeniden çalıştırmak değil, iş faaliyetlerinin devamını sağlamak olduğunu belirtti.
Bu kuruluşların, üst yönetimin katılımıyla test edilen olay müdahale planları hazırladığını ifade eden Kratz, genel müdür, güvenlik yöneticileri, diğer üst düzey yöneticiler ve dış hukuk danışmanlarının yıllık masa başı tatbikatlarına katıldığını; olay sırasında karar yetkilerinin önceden tanımlandığını aktardı.
Kritik varlıkları önceden belirleyen iş sürekliliği planlarının kesinti süresini ve iş etkisini azalttığını kaydeden Kratz, hangi sistemlerin önce devreye alınacağının olay yaşanmadan kararlaştırılması gerektiğini söyledi. Değiştirilemez ve çevrimdışı yedeklere sahip kuruluşların bu yedeklere geçerek fidye ödemeden ve uzun süreli kesinti yaşamadan daha hızlı toparlanabildiğini ifade etti.
Kratz, kuruluşların fiziksel hasara bağlı kesintiler için kullandığı iş sürekliliği disiplinini siber olaylara da uygulamasını önerdi. Bir üretim tesisinin fiziksel bir olay yerine siber ihlal nedeniyle durması halinde benzer bir müdahale görmek istediğini belirtti.
Kuruluşların yapay zekâ yönetişim çerçevelerini şimdiden oluşturması gerektiğini söyleyen Kratz, kullanılan yapay zekâ araçlarının envanterinin çıkarılmasını, bu araçların otonom olarak neler yapabileceğinin tanımlanmasını ve çalışanların hangi verileri bu sistemlere girebileceğine ilişkin açık kurallar belirlenmesini istedi.
Çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale, zafiyet yönetimi, ayrıcalıklı erişim yönetimi ve çalışanların güvenlik farkındalığı programlarının önemini koruduğunu belirten Kratz, dayanıklılığa yönelirken bu temel kontrollerin zayıflatılmaması gerektiğini söyledi. Koordinasyonsuz tepki veren, üst yönetim uyumu bulunmayan veya yeni teknolojileri uygun yönetişim olmadan kullanan kuruluşların toparlanmakta zorlandığını aktardı.
MSIG USA’nın dayanıklılık yaklaşımı
MSIG USA, birincil siber sigorta alanındaki faaliyetlerini genişletirken yaklaşımını dayanıklılık önceliği üzerine kuruyor. Kratz, siber sigortanın poliçenin düzenlenmesiyle sona eren bir işlem olarak görülmemesi ve sigortacının poliçe süresi boyunca sigortalıya destek vermesi gerektiğini söyledi.
Şirket, siber risk değerlendirmesini belirli bir andaki statik incelemeden dinamik bir sürece taşımayı amaçlayan teknolojiler geliştiriyor. Bu çalışmalar arasında sigortalıları maruz kalabilecekleri sıfır gün açıkları konusunda uyararak hızlı önlem almalarını sağlamaya yönelik aktif izleme kabiliyetleri de bulunuyor.
MSIG USA ayrıca sigortalıların bulut hizmeti sağlayıcıları, tedarikçiler, operasyon ortakları ve müşterilerden oluşan teknoloji ekosisteminin yarattığı siber maruziyeti anlamasına odaklanıyor. Kratz, siber riskin artık tek noktadan kaynaklanmadığını ve şirketin sigortalıların kullandığı teknolojilerin oluşturduğu bağlantı ağını belirlemelerine yardımcı olmak istediğini ifade etti.
Bu yaklaşım kapsamında yapay zekâ araçlarının insan gözetimine tabi olup olmadığı, çalışanların bu araçlara hangi hassas verileri girdiği, yetkisiz veri sızıntısını önleyen kontroller ve üçüncü taraf tedarikçilerin yapay zekâ kullanımının sigortalı verilerine etkisi gibi konular değerlendiriliyor.
Kratz, gelecekte otonom yapay zekâ destekli olayların siber tehdit ortamının belirleyici unsurlarından biri olmasını beklediğini söyledi. Sigortalılar ile sigortacıların, yapay zekânın insan unsuru olmadan etkili biçimde çalışabildiği bir dünyaya uyum sağlaması gerektiğini belirtti.
Kaynak: Risk & Insurance
