Yapay zekânın hızlı gelişimi, siber saldırılar için gereken süreyi aylardan dakikalara kadar indirirken şirketlerin siber risk yaklaşımını da değiştiriyor. MSIG USA Kuzey Amerika Siber Sigortalar Başkanı Ryan Kratz’a göre önleyici kontroller önemini korusa da siber olaylara karşı hazırlıkta artık dayanıklılık daha fazla öne çıkıyor.
Kratz, yapay zekâ nedeniyle bir siber saldırıdan tamamen kaçınmanın neredeyse imkânsız hâle geldiğini belirterek şirketlerin saldırıya nasıl yanıt vereceğine ve sonrasında faaliyetlerini nasıl sürdüreceğine odaklanması gerektiğini söyledi. Yakın tarihli en az bir olayda, otonom ve yapay zekâ destekli bir saldırının neredeyse hiç insan müdahalesi olmadan gerçekleştiği bildirildi.
Yapay zekâ saldırı süresini kısaltıyor
Kratz, üç veya dört yıl önce siber sigorta değerlendirmelerinde çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri ile benzeri önleyici kontrollerin ağırlık taşıdığını ifade etti. Bu kontrollerin hâlâ gerekli olduğunu ancak yapay zekânın hem saldırı hem de savunma ortamlarına girmesiyle risk görünümünün değiştiğini kaydetti.
Kratz’a göre iki yıl önce deneyimli bir saldırganın bir sisteme girmesi aylar sürebilirken bugün bu süre dakikalara inebiliyor. Şirketlerin rekabette geride kalmamak amacıyla yapay zekâyı hızla devreye aldığını belirten Kratz, bazı uygulamaların gerekli yönetişim, gözetim ve envanter yönetimi kurulmadan hayata geçirildiğini söyledi.
Üçüncü taraf bağlantıları da riski artırıyor. Kratz, MSIG USA’nın günümüzde karşılaştığı siber olayların neredeyse tamamında bilgi teknolojileri tedarikçileri, bulut hizmeti sağlayıcıları veya başka iş ortakları üzerinden bir üçüncü taraf unsurunun bulunduğunu belirtti. Deneyimli çalışanların emekli olması ve genç çalışanların yapay zekâ araçlarına daha fazla dayanması da kurumsal süreçler ile olay müdahalesine ilişkin birikimin kaybedilmesi riskini beraberinde getiriyor.
Dayanıklı kuruluşların ortak özellikleri
Kratz, siber olaylardan daha hızlı toparlanan kuruluşların siber riski yalnızca bir teknoloji sorunu olarak değil, üst yönetim ve yönetim kurulu düzeyinde ele aldığını söyledi. Bu kuruluşlarda üst yöneticilerin ve dış hukuk danışmanlarının katıldığı yıllık masa başı tatbikatlarla test edilen olay müdahale planları bulunuyor ve kriz sırasında karar yetkileri önceden tanımlanıyor.
İş sürekliliği planlarında kritik varlıkların ve ilk olarak devreye alınması gereken sistemlerin olaydan önce belirlenmesi, kesinti süresini ve faaliyetler üzerindeki etkiyi azaltıyor. Değiştirilemez ve çevrimdışı yedekler ise kuruluşların fidye ödemeden ve uzun süreli kesinti yaşamadan daha hızlı toparlanmasına yardımcı olabiliyor.
Kratz, şirketlerin maddi hasar kaynaklı kesintiler için hazırladığı iş sürekliliği planlarındaki disiplini siber olaylara da uygulamasını önerdi. Bir üretim tesisi siber ihlal nedeniyle faaliyet dışı kaldığında, fiziksel hasar olayına benzer bir müdahale yürütülmesi gerektiğini ifade etti.
Yapay zekâ yönetişimi kapsamında kullanılan yapay zekâ araçlarının envanterinin çıkarılması, bu sistemlerin bağımsız olarak gerçekleştirebileceği işlemlerin tanımlanması ve çalışanların hangi verileri bu araçlara girebileceğine ilişkin kuralların belirlenmesi gerekiyor. Kratz, yapay zekânın daha hızlı ve güçlü hâle geleceğini belirterek politika ve prosedürlerin şimdiden hazırlanması çağrısında bulundu.
Bununla birlikte çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri, zafiyet yönetimi, ayrıcalıklı erişim yönetimi ve çalışanlara yönelik güvenlik farkındalığı programları gibi temel kontrollerin sürdürülmesi gerektiğini vurguladı. Kratz’a göre toparlanmakta zorlanan şirketlerde çoğunlukla koordinasyonsuz müdahale, yönetim uyumsuzluğu veya uygun yönetişim olmadan teknoloji kullanımı görülüyor.
MSIG USA’nın dayanıklılık yaklaşımı
MSIG USA, birincil siber sigorta alanındaki faaliyetlerini genişletirken yaklaşımını dayanıklılık önceliği üzerine kuruyor. Kratz, siber sigortanın poliçe düzenlendiğinde sona eren işlemsel bir ürün olmaması, sigortalılara poliçenin tüm yaşam döngüsü boyunca destek sağlaması gerektiğini söyledi.
Şirket, statik ve belirli bir ana dayanan risk değerlendirmesini dinamik hâle getirmeyi amaçlayan teknolojiler geliştiriyor. Bu kapsamda sigortalıların maruz kalabileceği sıfır gün açıklarına ilişkin uyarılar sağlayan aktif izleme kabiliyetleri üzerinde çalışılıyor.
MSIG USA ayrıca sigortalıların bulut sağlayıcıları, tedarikçileri, operasyonel ortakları ve müşterileri dâhil olmak üzere siber risklerini etkileyen teknoloji ekosistemini anlamasına odaklanıyor. Sigortalama sürecinde kuruluşların kullandığı yapay zekâ araçları, insan gözetiminin bulunup bulunmadığı, çalışanların sisteme girdiği hassas veriler, yetkisiz veri sızıntısını önleyen kontroller ve üçüncü tarafların yapay zekâ kullanım biçimleri değerlendiriliyor.
Kratz, gelecekte otonom yapay zekâ kaynaklı olayların siber risk ortamının belirleyici unsurlarından biri olmasını beklediğini belirtti. Sigortalılar ile sigorta şirketlerinin, yapay zekânın insan müdahalesi olmadan etkin biçimde çalışabildiği koşullara uyum sağlaması gerektiğini söyledi.
İçerik, Risk & Insurance’ın reklam birimi R&I Brand Studio tarafından MSIG USA iş birliğiyle hazırlandı. Risk & Insurance editoryal ekibi hazırlık sürecinde yer almadı.
Kaynak: Risk & Insurance
