Yapay zekânın hızlı gelişimi, siber saldırıların gerçekleştirilme süresini kısaltırken sigortacıların ve şirketlerin siber riske yaklaşımını da değiştiriyor. MSIG USA Kuzey Amerika Siber Başkanı Ryan Kratz, önleyici kontrollerin önemini koruduğunu ancak şirketlerin artık iş süreçlerinin dayanıklılığına daha fazla odaklandığını söyledi.
Kratz, yapay zekâ nedeniyle bir siber saldırıdan tamamen kaçınmanın neredeyse imkânsız hâle geldiğini belirterek, saldırıya nasıl müdahale edildiği ve sonrasında toparlanmak için hangi iş süreçlerinin bulunduğu üzerinde durduklarını ifade etti.
Yapay zekâ saldırı sürelerini kısaltıyor
Kratz’a göre üç veya dört yıl önce siber sigorta değerlendirmeleri büyük ölçüde çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale ile benzeri önleyici tedbirlere odaklanıyordu. Bu kontroller önemini korurken yapay zekânın hem saldırı hem de savunma alanına girmesi risk görünümünü değiştirdi.
Kratz, iki yıl önce deneyimli bir bilgisayar korsanının bir sisteme girmesinin aylar sürebildiğini, bugün ise bunun dakikalar içinde gerçekleşebileceğini söyledi. Şirketlerin rekabette geri kalmamak için yapay zekâyı hızla devreye aldığını, ancak bunu gerekli yönetişim, gözetim ve envanter yönetimi olmadan yapabildiğini kaydetti.
Üçüncü taraf bağlantıları da riski artırıyor. Kratz, MSIG USA’nın günümüzde karşılaştığı siber olayların neredeyse tamamında bilgi teknolojileri tedarikçileri, bulut hizmeti sağlayıcıları veya kendi ortamlarına yapay zekâ entegre eden diğer ortaklarla bağlantılı bir unsur bulunduğunu ifade etti. Deneyimli çalışanların emekli olması ve genç çalışanların yapay zekâ araçlarına daha fazla dayanması da şirketlerin iş süreçleri ile olay müdahalesine ilişkin kurumsal bilgisini etkileyebiliyor.
Dayanıklılık için hazırlık ve yönetişim
Kratz, siber riski yalnızca bir teknoloji meselesi olarak değil, yönetim ve yönetim kurulu düzeyinde ele alan kuruluşların olayların ardından daha hızlı toparlandığını belirtti. Bu yaklaşımın yalnızca teknoloji sistemlerini yeniden çalıştırmayı değil, işletmenin faaliyetlerini sürdürmesini de kapsadığını söyledi.
Hızlı toparlanan kuruluşlarda, üst yönetimin katıldığı ve düzenli olarak test edilen olay müdahale planlarının bulunduğunu aktaran Kratz, kritik varlıkların önceden belirlendiği iş sürekliliği planlarının kesinti süresi ile iş etkisini azalttığını ifade etti. Değiştirilemez çevrimdışı yedeklerin de kuruluşların fidye ödemeden ve uzun süreli kesinti yaşamadan toparlanmasına yardımcı olabildiğini söyledi.
Kratz ayrıca mülkle bağlantılı kesintiler için hazırlanan iş sürekliliği planlarındaki yaklaşımın siber olaylara da uygulanmasını önerdi. Yapay zekâ yönetişim çerçevelerinin oluşturulması, kullanılan yapay zekâ araçlarının envanterinin çıkarılması, bu araçların bağımsız gerçekleştirebileceği işlemlerin tanımlanması ve çalışanların sisteme girebileceği verilere ilişkin açık kurallar belirlenmesi gerektiğini kaydetti.
Çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale, zafiyet yönetimi, ayrıcalıklı erişim yönetimi ve çalışan güvenlik farkındalığı programlarının temel önemini koruduğunu belirten Kratz, koordinasyonsuz hareket eden, yönetim uyumu bulunmayan veya yeni teknolojileri uygun yönetişim olmadan kullanan kuruluşların toparlanmakta zorlandığını söyledi.
MSIG USA’nın dayanıklılık yaklaşımı
MSIG USA, birincil siber sigorta alanındaki faaliyetlerini genişletirken yaklaşımını dayanıklılık odağında şekillendiriyor. Kratz, siber sigortanın poliçenin düzenlenmesiyle sona eren işlemsel bir ürün olmaması ve sigortalılara poliçenin yaşam döngüsü boyunca destek sunması gerektiğini ifade etti.
Şirket, siber sigorta değerlendirmesini belirli bir andaki statik incelemeden dinamik bir sürece dönüştürmek için teknoloji geliştiriyor. Bu kapsamda sigortalıların maruz kalabileceği sıfırıncı gün güvenlik açıkları konusunda uyarılması ve hızlı önlem almalarının sağlanması amaçlanıyor.
MSIG USA ayrıca bulut sağlayıcılarından tedarikçilere, operasyonel ortaklardan müşterilere kadar siber risk üzerinde etkili olan teknoloji ekosisteminin anlaşılmasına odaklanıyor. Değerlendirme sürecinde şirket ortamında kullanılan yapay zekâ araçları, insan gözetimi, bu araçlara girilen hassas veriler, yetkisiz veri sızıntısını önleyen kontroller ve üçüncü taraf tedarikçilerin yapay zekâ kullanımının veri üzerindeki etkileri ele alınıyor.
Kratz, insan müdahalesi olmadan çalışan otonom yapay zekâ kaynaklı olayların siber risk ortamında daha belirleyici hâle gelmesini beklediğini ve hem sigortalıların hem de sigortacıların buna uyum sağlaması gerektiğini söyledi.
İçerik, Risk & Insurance’ın reklam departmanına bağlı R&I Brand Studio tarafından MSIG USA iş birliğiyle hazırlandı. Risk & Insurance editoryal ekibi içeriğin hazırlanmasında görev almadı.
Kaynak: Risk & Insurance
