Yapay zekânın gelişimi, siber saldırıların gerçekleştirilme süresini kısaltırken sigortacıların ve risk yöneticilerinin dayanıklılığa daha fazla odaklanmasına yol açıyor. MSIG USA Kuzey Amerika Siber Başkanı Ryan Kratz, önleyici kontrollerin önemini koruduğunu ancak artık tek başına yeterli olmadığını ifade etti.
Kratz, yapay zekâ nedeniyle bir siber saldırıdan tamamen kaçınmanın neredeyse imkânsız hale geldiğini belirterek kurumların saldırıya nasıl yanıt vereceğine ve faaliyetlerini nasıl yeniden sürdüreceğine ilişkin süreçlere öncelik verdiklerini söyledi.
Yapay zekâ saldırı sürelerini kısaltıyor
Kratz’a göre üç veya dört yıl önce siber sigorta değerlendirmelerinde çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri ile benzeri önlemler öne çıkıyordu. Bu kontroller önemini sürdürürken yapay zekânın hem saldırı hem de savunma ortamlarında kullanılması risk görünümünü değiştirdi.
Kratz, iki yıl önce deneyimli bir saldırganın bir sisteme sızmasının aylar sürebildiğini, bugün ise bunun dakikalar içinde gerçekleşebileceğini söyledi. Kurumların rekabette geri kalmamak için yapay zekâyı hızla kullanmaya başladığını, ancak bazı uygulamaların gerekli yönetişim, gözetim ve envanter yönetimi olmadan devreye alındığını kaydetti.
Üçüncü taraflardan kaynaklanan risklerin de arttığını belirten Kratz, MSIG USA’nın karşılaştığı siber olayların neredeyse tamamında bilgi teknolojileri tedarikçileri, bulut sağlayıcıları veya diğer iş ortaklarıyla bağlantılı bir unsur bulunduğunu aktardı. Deneyimli çalışanların emekli olması ve genç çalışanların yapay zekâ araçlarına daha fazla yönelmesi de kurumların iş süreçleri ile olay müdahalesine ilişkin kurumsal bilgi kaybı yaşaması ve teknoloji maruziyetinin genişlemesi riskini beraberinde getiriyor.
Dayanıklılık için hazırlık alanları
Kratz, siber riskin yalnızca bir teknoloji sorunu olarak değil, yönetim kurulu ve üst yönetim düzeyinde ele alınması gerektiğini söyledi. Ona göre hızlı toparlanan kurumlar, üst yönetimin katıldığı ve dış hukuk danışmanlarının da dahil edildiği yıllık masa başı tatbikatlarla olay müdahale planlarını test ediyor; karar yetkilerini önceden belirliyor.
Bu kurumlar ayrıca kritik varlıklarını önceden tanımlayan iş sürekliliği planları hazırlıyor ve hangi sistemlerin ilk olarak yeniden devreye alınacağını belirliyor. Değiştirilemez çevrimdışı yedekler ise kurumların fidye ödemeden ve uzun süreli kesinti yaşamadan daha hızlı toparlanabilmesine yardımcı oluyor.
Kratz, fiziksel hasara bağlı faaliyet kesintileri için oluşturulan iş sürekliliği planlarındaki yaklaşımın siber olaylara da uygulanmasını önerdi. Bir üretim tesisinin siber ihlal nedeniyle durması halinde, fiziksel hasardan kaynaklanan kesintiye benzer bir müdahale görmek istediğini belirtti.
Kurumların yapay zekâ yönetişim çerçevelerini vakit kaybetmeden kurması gerektiğini söyleyen Kratz; kullanılan yapay zekâ araçlarının envanterinin çıkarılmasını, bunların hangi işlemleri bağımsız yapabileceğinin tanımlanmasını ve çalışanların araçlara girebileceği verilere ilişkin açık kurallar konulmasını tavsiye etti.
Çok faktörlü kimlik doğrulama, uç nokta tespit ve müdahale sistemleri, zafiyet yönetimi, ayrıcalıklı erişim yönetimi ve çalışanların güvenlik farkındalığına yönelik programlar da temel kontroller arasındaki yerini koruyor. Kratz’a göre toparlanmakta zorlanan kurumlarda koordinasyonsuz müdahale, üst yönetim uyumsuzluğu veya yeni teknolojilerin yeterli yönetişim olmadan kullanılması öne çıkıyor.
MSIG USA dinamik izlemeye yöneliyor
MSIG USA, birincil siber sigorta alanındaki faaliyetlerini genişletirken yaklaşımını dayanıklılık üzerine kuruyor. Kratz, siber sigortanın poliçenin düzenlenmesiyle sona eren bir işlem olarak görülmemesi ve sigortalılara poliçenin yaşam döngüsü boyunca destek verilmesi gerektiğini ifade etti.
Şirket, risk değerlendirmesini belirli bir andaki statik incelemeden dinamik bir sürece dönüştürmeyi amaçlayan teknolojiler geliştiriyor. Bu çalışmalar, sigortalıların maruz kalabileceği sıfırıncı gün güvenlik açıkları konusunda uyarılması gibi aktif izleme uygulamalarını da içeriyor.
MSIG USA ayrıca bulut sağlayıcıları, tedarikçiler, operasyonel ortaklar ve müşteriler dahil olmak üzere siber maruziyeti şekillendiren teknoloji ekosisteminin belirlenmesine odaklanıyor. Sigortalılara kullanılan yapay zekâ araçları, bunların insan gözetimine tabi olup olmadığı, çalışanların bu sistemlere aktardığı hassas veriler, yetkisiz veri sızıntısını önleyen kontroller ve üçüncü tarafların yapay zekâ kullanımının olası etkileri hakkında sorular yöneltiliyor.
Kratz, insan müdahalesi olmadan çalışan otonom yapay zekâ kaynaklı olayların siber risk ortamının belirleyici unsurlarından biri haline geleceğini öngördüğünü ve sigortalılar ile sigortacıların buna uyum sağlaması gerektiğini söyledi.
Kaynak notu: İçerik, Risk & Insurance reklam departmanına bağlı R&I Brand Studio tarafından MSIG USA iş birliğiyle hazırlandı. Risk & Insurance yayın ekibi içeriğin hazırlanmasında yer almadı.
Kaynak: Risk & Insurance
