MSIG USA Kuzey Amerika Siber Başkanı Ryan Kratz, yapay zekânın (AI) siber tehdit ortamını önemli ölçüde değiştirdiğini, saldırıların eskiden aylar sürebilirken şimdi dakikalar içinde gerçekleşebildiğini ve şirketlerin artık önleyici kontrollerin ötesinde iş süreçlerine dayalı dayanıklılığa odaklanması gerektiğini söyledi.
Kratz, iki-üç yıl önce siber sigortacılık görüşmelerinin çokça çok faktörlü kimlik doğrulama (MFA), uç nokta tespit ve yanıt (EDR) gibi önleyici önlemler etrafında şekillendiğini, bu kontrollerin hâlâ önemli olduğunu ancak yapay zekânın hem saldırganların hem savunmacıların ortamına girmesiyle risk tablosunu kökten değiştirdiğini belirtti. “İki yıl önce gerçekten iyi bir bilgisayar korsanının bir ekosisteme ulaşması aylar sürebilirdi, şimdi potansiyel olarak dakikalar alabilir,” dedi.
Kratz, kurumların içerde AI dağıtırken bazen yönetişim, denetim veya envanter yönetimi olmadan bunu yaptığını, bunun da risk oluşturduğunu söyledi. “Kuruluşlar arasında bir AI silahlanma yarışı içindeyiz,” dedi. Üçüncü taraf boyutunun da zorluğu artırdığını, MSIG USA’nın gördüğü neredeyse her siber olayın IT tedarikçileri, bulut sağlayıcıları veya diğer ortaklardan kaynaklanan bir üçüncü taraf bileşeni içerdiğini ifade etti. “Artık bir siber olayın izole gerçekleşmesi çok nadir,” dedi.
Kratz ayrıca deneyimli profesyonellerin emekli olması ve daha genç çalışanların artan oranda AI araçlarına dayanmasının, kuruluşların iş süreçleri ve olay müdahalesine ilişkin kurumsal bilgi kaybı riski yaratırken aynı zamanda teknoloji maruziyetini genişlettiğini söyledi.
Dayanıklı kuruluşları tanımlayan özellikler
Test edilmiş olay müdahale planları ve yönetici onayı: En güçlü programların CEO, CSO ve diğer yöneticileri yıllık masa başı tatbikatlarına, dış hukuk danışmanlarıyla birlikte dahil ettiğini ve olay sırasında kimin hangi kararı alacağının net şekilde tanımlandığını belirtti.
Önemli varlıkları önceden belirleyen iş sürekliliği planları: Hangi sistemlerin öncelikli olarak tekrar çevrime alınması gerektiğinin önceden bilinmesinin kesinti süresini ve iş etkisini en aza indirdiğini söyledi.
Değiştirilemez, çevrimdışı yedekler: Kratz, “Çevrimdışı değiştirilemez yedeklere sahip kuruluşlar bunlara hızla geçip potansiyel olarak fidye ödemeden ve uzun süreli kesinti yaşamadan kurtarabiliyorlar” dedi.
İş sürekliliğine entegre edilmiş siber güvenlik: Birçok kuruluşun mülkiyetle ilgili kesintiler için güçlü iş sürekliliği planları olduğunu, aynı titizliğin siber olaylara da uygulanması gerektiğini söyledi. “Bir üretim tesisi mülkiyet nedeniyle kapandığında gösterilen tepkinin benzerinin siber bir ihlal durumunda da uygulanmasını görmek isterim,” dedi.
Şimdiden AI yönetişimi, politika ve prosedürler: Kuruluşların beklemek yerine AI yönetişim çerçeveleri oluşturması, ortamlarında kullanılan AI ajanlarını envanterlemesi, bu ajanların neyi özerk olarak yapabileceğini tanımlaması ve çalışanların hangi verileri bu ajanlara girebileceğine ilişkin net kurallar koyması gerektiğini belirtti. “Hazırda yakalanmayın,” dedi. “AI burada ve hızlanacak. Bu nedenle politikaları ve prosedürleri şimdi geliştirin.”
Temel hijyen kontrollerinin de önemini koruduğunu, MFA, EDR, zafiyet yönetimi, ayrıcalıklı erişim yönetimi ve çalışan güvenlik farkındalığı programlarının gevşetilmemesi gerektiğini vurguladı. Buna karşın hızlı toparlanmakta güçlük çeken kuruluşların koordine olmadan tepki verdiğini, yönetici uyumundan yoksun olduğunu veya yeni teknolojileri uygun yönetişim olmadan devreye aldığını söyledi.
MSIG USA’nın sigorta yaklaşımı
MSIG USA, birincil siber poliçe alanına daha fazla genişledikçe yaklaşımını dayanıklılık-öncelikli bir felsefe etrafında kuruyor. Bu felsefe, siber sigortayı işlemsel bir ürün olarak görmek yerine devam eden bir ortaklık olarak ele alıyor. “Siber sigortanın işlemsel olmaması ve poliçe bağlandığında bitmemesi gerektiğini düşünmüyorum,” dedi Kratz. “Evet, biz sigortalılar için bir risk transfer aracıyız, ancak poliçe ömrü boyunca onlara yardımcı olmalıyız.”
Şirket, sigortacılığı durağan, tek seferlik bir değerlendirmeden dinamik bir sürece taşımayı amaçlayan teknoloji geliştiriyor. Buna aktif izleme yetenekleri de dahil; örneğin sigortalılara maruz kalabilecekleri sıfır-gün zafiyetleri konusunda uyarı vererek hızlıca önlem almalarını sağlamak gibi. Ayrıca MSIG USA, sigortalıların maruz kalmasını şekillendiren daha geniş teknoloji ekosistemini; bulut sağlayıcıları, tedarikçiler, operasyonel ortaklar ve müşterilerden oluşan ağı anlamalarına yardımcı olmaya odaklanıyor.
Underwriting açısından daha kapsamlı sorular sormaları gerektiğini söyledi: Ortamınızda hangi AI ajanları var? Bunlar insan denetimine tabi mi? Çalışanlar bunlara hangi hassas verileri giriyor? Yetkisiz veri sızıntısını önleyen hangi kontroller var? Üçüncü taraf tedarikçiler AI’ı verilerinizi etkileyebilecek şekilde nasıl kullanıyor?
Kratz, özerk AI destekli olayların siber ortamın belirleyici bir özelliği hâline gelmesini beklediğini ve sigortalılar ile underwriter’ların buna hazırlıklı olması gerektiğini söyledi. “Biz, underwriterlar ve sigortalılar olarak AI’nın insan unsuru olmadan etkili biçimde özerk çalışabileceği bir dünyada yaşamayı beklemek zorunda kalacağız,” dedi. “Buna bir underwriting piyasası olarak uyum sağlayabilmemiz gerekiyor.”
Bu makale, Risk & Insurance reklam departmanının birimi olan R&I Brand Studio tarafından MSIG USA ile işbirliği içinde üretildi. Risk & Insurance’ın editoryal ekibinin hazırlıkta bir rolü olmadı.
Kaynak: Risk & Insurance