Siber Sigorta konusuna siber saldırıya maruz kalınırsa neler olabileceği ile karşınızdayız. Siber sigorta konusunda kaldığımız yerden incelemeye devam ediyoruz. Siber saldırılar, özel ya da resmi kurumlar için çok büyük riskler taşımaktadır. Sigorta şirketleri, veri koruma sigortası, veri kurtarma sigortası ya da siber sigorta gibi isimlerle, siber saldırıların bu kuruluşlar üzerindeki etkilerini en az indirecek sigorta paketleri hazırlamaktadırlar.
Siber saldırılar kurumların bilgi işlem altyapılarında olumsuz etkiler oluşturmaktadır. Ancak bu saldırıların boyutu sadece sitem bazlı değildir. Bu saldırıların, yasal boyutları, yönetimsel boyutları, halkla ilişkiler boyutları ve finansal boyutları daha birçok boyutu bulunmaktadır. Siber sigorta şirketleri bu durumları analiz ederek siber risklere karşı güvenceler sunmaktadır.
Çünkü bir siber saldırı, kuruma ait birçok gizli bilginin çalınması veya bozulmasının kuruma olan olumsuz etkilerinin yanı sıra, bir siber saldırı aynı zamanda kurumların saygınlıklarına ve piyasa değerlerine de olumsuz etkiler yapmaktadır.
Siber Sigorta Nedir?
Siber sigorta, bilgilerin ihlal edilmesi ile bağlantılı zararlar ve savunma masraflarını, üçüncü kişilerin verilerine virüs buluşması, sigorta ettirenin yetkisi dışında üçüncü kişilerin bilgilerine ulaşılması, sistem kodlarının çalınması, donanımların çalınması, çalışanların bilgileri açık etmesi gibi bir kısım riskleri kapsamaktadır. Ayrıca Siber Sigortalar ile ağ kesintisi yüzünden uğranılan gelir kayıpları, güvenlik tehdidinin kaldırılması için üçüncü kişilere yapılan tehdit ödemeleri ya da elektronik bilgilerin ihmal sonucu zarar görmesi ve yapılan savunma masrafları isteğe bağlı olarak güvence altına alınabiliyor.
Siber Sigorta çok hızlı büyüyen bir iş sektörüdür. 2014’ten bu yana siber sigorta için yapılan ödemeler 2 Milyar doları aşmıştır. Sektörün ilerleyen her geçen yılda %100’den fazla büyümesi beklenmektedir. PWC’ye göre sektör 2020 ya kadar kendini 3’e katlayıp işlem hacmini 7.5 Milyar dolara çıkaracaktır.
Siber Sigorta firmalarını yaptığı şey genel manada firmaların güvenlik durumlarını analiz etmek ve müşterileri için bir sigorta kapsamı oluşturup bunu ücretlendirmektir.
Sigorta şirketi, firmaların siber güvenlik durumlarının belirlenmesi için firmalardan bazı bilgiler talep eder ve elde ettiği bilgiler ile firmanın siber güvenlik durumunu anlamaya çalışır. Güvenli mi, değil mi? Ya da ne kadar güvenli? Siber güvenlik durumunun analiz edilmesi için kullanılan özellikler; kullanılan antivirüs, kullanılan işletim sistemi, kullanılan üçüncü parti uygulamalar olabilir. Sektörün ilk zamanlarında siber sigorta firmalarının müşterilerinin siber güvenlik durumlarını anlayabilmeleri için geliştirdikleri uzun kontrol listeleri vardı. Ancak bu şekilde bir kontrol listesinin sağlıklı bir şekilde doldurulmasının zorluğu bir yana bu tarz bir sistem müşterinin güvenlik durumunu ifade etmede oldukça yetersiz kalmaktadır. Kontrol listelerinin yanı sıra sigorta firmaları müşterilerinin siber güvenlik durumlarının analiz edilmesi için Sızma Testi raporları da kullanılmaktaydılar.
Ancak firmaların siber güvenlik durumları durağan bir yapıya sahip değildir. Bir firmanın siber güvenliği oldukça dinamik birçok değişkene bağlıdır. Network’e bağlanan yeni bir cihaz, yeni tespit edilen bir zafiyet ya da network yapılandırma ayarlarında yapılacak ufak değişiklikler sistemi bir anda güvensiz hale getirebilir.
Bu nedenle günümüzde, siber sigorta firmaları risk değerlendirmesi için Sürekli Gözetim (Continious Monitoring) verilerini de kullanmaktadır. Bu sistem, firmanın siber güvenlik durumunun gerçek zamanlı olarak değerlendirilmesine olanak sağlamaktadır.
Pricewaterhousecoopers’ın 2016 yılında yayınladığı rapora göre Amerikan firmalarının ⅓’ü şu an bir siber sigortadan faydalanmaktadır. Siber sigortayı, büyük, küçük ve orta seviyedeki firmalar satın almaktadır.
2014 ve 2015 yılında siber güvenlik altyapısının geliştirilmesi amacıyla yapılan yatırımlar 3.8 Milyar dolar iken, Siber Sigorta sektörüne ödenen miktar ise 3,2 Milyar dolar olmuştur. Bu rakamlar sektörün ne kadar hızlı büyüdüğünü göstermektedir.
Siber Sigorta Yaptırmış Bir Firma Siber Saldırıya Maruz Kalırsa Ne Olur?
Elbette sigorta kapsamında belirlenen rakam ne ise ödemelerini alırlar.
Örneğin; Target firması hacklendiğinde 40 milyondan fazla kredi kartı bilgisi ve kişisel bilgi ifşa olmuştu. Saldırıdan Target firmasının 70 milyon müşterisi etkilendi. Siber saldırının firmaya maliyeti 248 milyon dolar oldu. Target firmasının açıklamalarına göre kurum, sigorta kapsamında sigorta şirketinden 90 milyon dolar ödeme almıştır.
Bir başka örnek HomeDepot Eylül 2014’te hacklendi ve 56 milyon kredi kartı bilgisi ifşa edildi. Saldırının firmaya maliyeti 43 milyon dolar oldu. Sigorta şirketi zararın 15 milyon dolarını karşıladı.
Siber sigorta firmaları üzerlerine düşen ödemeleri yapıyorlar, ancak ödenen rakamlara bakıldığında büyük firmaların henüz yeterli kapsamda bir sigorta yaptırmadıkları anlaşılıyor.
Siber Sigortanın Diğer Sigortalardan Farkı Nedir, Ne Gibi Güvenceler Sağlamaktadır?
Sisteminizin güvenliğini sağlamak için birçok önlem almış olabilirsiniz, ancak sisteminiz yine de bir siber saldırıdan etkilenebilir. Sisteminiz bir siber saldırıdan etkilendiği kurumuzun zaman kalıcı hasarlar almaması için ve zararınızın bir kısmını karşılamak için siber sigortalar devreye girer. Siber sigorta işletmenin direkt etkilenmesinden kaynaklanan zararları karşıladığı gibi 3. Şahıslara (müşteri) yönelik olan zararları da karşılayabilmektedir.
Siber risk sigortasının bazı sigorta tiplerine göre karşılaştırılması aşağıdaki grafikte verilmiştir.
Fidye Yazılımları Nedir?
Fidye yazılımlarının 2 farklı türü vardır; şifreleyiciler ve kilitleyiciler. Saldırganlar için temel amaç şifrelerin ve kilitlerin kaldırılması için cihaz sahibinden fidye talep ederek gelir elde etmektir.
Bilgisayarınıza şifreleyici bir fidye yazılımı bulaştıysa, bu yazılım bilgisayarınızda bulunan her türlü veriyi şifreler. Şifrelenen veriler; kaydedilmiş oyun dosyaları, fotoğraflar, veri tabanları, excel dosyaları, pdf dosyalar olabilir. İçerisinde bir kurum için çok önemli bilgilerin olduğu cihazlar saldırganlar için yüksek öncelikli hedeflerdir. Örneğin, içerisinde muhasebe yazılımınızın olduğu ve bütün muhasebe kayıtlarınızın olduğu bir bilgisayar yüksek öncelikli hedeflerden birisidir. Çünkü muhasebe kayıtları bir kurum için en önemli bilgilerdendir ve eğer başka bir yerde güncel bir yedeğiniz yoksa fidye bedelini ödeme olasılığınız epey artmaktadır.
Diğer fidye yazılımı türü ise kilitleyici fidye yazılımlardır. Bu tip yazılımlar bilgisayarınızda bulunan dosyaları şifrelemek yerine bütün sisteminizi kilitler. Bu durumda sisteminize giriş dahi yapamazsınız.
Günümüzde aktif olarak sistemleri etkilemekte olan birçok fidye yazılımı bulunmaktadır ve her geçen gün sayısı artmaktadır. Fidye yazılımlarından bütün sistemlerin (Windows, Linux, Mac OSX, Android) etkilenmesi mümkündür. Ancak bu zararlı yazılımlardan ağırlıklı olarak Windows ve Android cihazlar etkilenmektedir.
Bir saldırganın zararlı yazılımı kullanıcı bilgisayarına indirtebilmek adına kullanabileceği birkaç yöntem bulunmaktadır. Bu yöntemler ile belirli sayıda kullanıcının bilgisayarını çok kolay bir şekilde etkilemeyebilmektedir. Bu yöntemlerden birisi Oltalama Saldırısı ile kullanıcılardan bir mail ekini indirip tıklamaları için oldukça inandırıcı bir senaryo hazırlayabilirler. Diğer yöntem ise web sitelerin içerisinde bulunan reklam alanlarına reklam vermektir. Yasal bir siteye girseniz dahi bazı reklamlar ile karşılaşmaktayız, bu reklamlardan bazıları fidye yazılımı içeren bağlantıları paylaşmaktadır. Bu durumun bilincinde olmayan bir kullanıcı ilgisini çeken bir reklama tıklayarak bilgisayarına fidye yazılımı bulaştırabilir.
Fidye bedelini ödeyerek bu durumdan kurtulmayı düşünebilirsiniz. Ancak fidye bedelini ödemenin bazı sonuçları da beraberinde getirdiğini unutmamak lazım. Öncelikle fidye bedellerinin ödenmesi saldırganları bu iş için motive ederek gerçekleştirecekleri fidye saldırılarının artarak devam etmesine neden olur. Bir diğer olası olumsuz sonuç ise parasını ödemenize rağmen sisteminizdeki etkinin kaldırılmamasıdır. Kaspersky’ın gerçekleştirdiği bir araştırmaya göre fidye bedelini ödeyenlerin %20’si dosyalarını/sistemlerini geri alamamışlardır [10]. Aslında beklenmedik bir sonuç değil, suçluların adil olmalarını bekleyemezsiniz.
Eğer sisteminize fidye yazılımı bulaştıysa dosyalarınızın şifresini kendiniz çözemezsiniz. Ücretsiz bazı şifre çözücüleri deneyebilirsiniz, ancak tüm şifreleyiciler için şifre çözücü bulunmamaktadır. Özetle, sisteminize bir fidye yazılımı bulaştıysa çözüm için yapılacak pek bir seçenek kalmıyor aslında. Yapılacak en mantıklı şey sisteminize fidye yazılımı bulaşmaması için gereken önlemleri almak. Sisteminizin bir saldırıdan etkilenmemesi için alınması gereken önlemler yazımıza göz atabilirsiniz.
Alacağınız bütün önlemlere rağmen yine de saldırılardan etkilenmeniz mümkün. Bu durumda ise yapılacak en mantıklı hareket siber sigorta yaptırarak uğradığınız zararı minimuma indirmek olacaktır.
Siber Risk Nedir?
Siber risk, bir kurumun bilgi teknolojisi altyapısında meydana gelebilecek beklenmedik bir teknik arıza ya da bu altyapı sistemlerine yönelik olarak gerçekleştirilen siber saldırılar sonucu kaynaklanabilecek muhtemel finansal kayıp ve marka değerine yönelik oluşabilecek zararları ifade eden risk durumudur. Siber riskler genel olarak iki ana kategori altında değerlendirilir;
First-Party Riskler ve 3rd Party Riskler:
Genel olarak First Party Riskler, kuruma yönelik gerçekleştirilecek bir siber saldırı sonrası kurumun sahip olduğu verinin zarar görmesi veya çalınması durumunda doğacak zararları ve siber saldırı sonrasında kurumun gelirlerinde meydana gelecek olumsuz etkileri kapsar.
Veri hırsızlığından, veri ihlalinden veya bir virüsten kaynaklanan ve First-Party Risk Kapsamında değerlendirilen risk başlıkları şunlardır;
- Veri Kaybı
- Yazılımsal Hatalar,
- Verilerin şifrelenerek, şifrenin çözülmesi karşılığında fidye istenmesi
- Ağ kesintisi sonucu doğacak zararlar
- Kurum verilerinin silinmesi ve manipüle edilmesi
- İş Durması ve/veya Yavaşlaması
- Çalınan Verilerin İfşa Edilmesi Riski
- İtibar Kaybı
3rd Party Riskler, siber saldırının poliçe sahibi olan kurumun dışında saldırıdan etkilenen kişi ve kurumlara yönelik olan risklerdir. Bu riskler, veri ihlalinden veya diğer siber olaylardan etkilenen üçüncü taraflardan gelen dava veya hak taleplerini içerir. Bir kurumun içi bir iyi siber güvenlik sigortası hem First Party hem de 3rd Party riskleri kapsamalıdır. 3rd Party Riskler kapsamında değerlendirilen risk başlıkları şunlardır;
- Security and privacy breaches
- Investigation of privacy breach
- Customer notification/PR expenses
- Multi-media liability
- Loss of third-party data
- Third-party contractual indemnification
Siber riskleri tamamen yok edecek bir çözüm ne yazık ki bulunmamaktadır. Bu nedenle işletmeler için hangi siber risklerin azaltılmasına yönelik çalışmaların yapılacağına karar verilmesi önemli bir problemdir. Günümüzde bu karar verme işlemi çeşitli zafiyetlerin neden olduğu zararların analiz edilmesi ile yapılmaktadır.. Alınan önlemlerin olası siber tehditleri engelleyip engellemediği yada ne derece engelleyebildiği, çoğunlukla net bir şekilde ortaya konamamaktadır.
Hızlı değişen siber riskleri azaltmaya yönelik yapılan yatırımların ne kadar işe yaradığının yorumlanması ve analiz edilmesi bu kadar zor iken bu alana nasıl yatırım yapmak gerekli ?
Bir veri ihlalinin tam olarak ne kadar maddi zarara neden olacağının önceden hesaplanması oldukça zor bir iştir. Kurumlar genellikle siber risklerle baş etmek için diğer risk durumlarına uyguladıkları yöntemleri –gelir kaybını minimuma indirecek aksiyonlara odaklanmak–kullanmaktalar. Ancak siber tehditler ve siber riskler daha iyi analiz edilebilirse daha yerinde aksiyomlar alınabilmesi için analizler yapılabilir.
İtibar, bir firma için en değerli varlık olmakla birlikte, koruma en zor olan varlıklardan birisidir. Firmalar için marka değerine gelebilecek zarar, anlık gelir kayıplarına nazaran çok daha önemlidir. Çünkü marka değerine gelecek zarar geleceğe yönelik uzun vadeli gelir kaybı anlamına gelmektedir. Bu nedenle siber risklerin analiz edilmesi ve karşı önlemler alınması yöneticiler için oldukça önemlidir. Siber riskleri azaltmaya yönelik alınan tedbirler, firma için her yıl yüzlerce milyon dolar kayıpları engelleyebilir.
Siber risk analizinin ilk adimi şirketin önemli varlıklarını (assests) ve bu varlıkların zafiyetlerini belirlemektir.
Bir siber saldırı sonucunda doğabilecek zararlar, müşteri kaybından kaynaklanan gelir kaybı olabileceği gibi saldırı sonrasında sistemleri onarıcı düzenlemeler, adli bilişim analizleri ve danışmanlık masrafları da olabilir. Müşteriler tarafından güven kaybı genellikle saldırganların kritik verilere erişmesi sonucunda daha büyük olmaktadır.
Yöneticiler, geçmiş deneyimlere göre siber riskleri azaltıcı bazı tedbirler alabilirler, ancak bunların yanı sıra yöneticilerin, siber riskleri iyi analiz ederek firma öncelikleri belirlemesi ve riskleri azaltacak aksiyomlara nasıl ve ne kadar yatırım yapılacağını yönetmeleri beklenmektedir.
Peki siber risklerin analiz edilmesi için yöneticiler ne gibi ölçütler kullanmalı? Bu risk ölçümleri nasıl elde edilmekte?
Bu sorulara farklı iş sektöründeki insanlar farklı cevaplar verecektir. Ancak herkes tarafından kabul edilen bir gerçek ise risk analizinin yapılabilmesi için sağlıklı verilere ihtiyaç duyulmaktadır ve bu veriler ile risk modellerinin oluşturulması gerekmektedir. Günümüzde siber risk analizinin yapılabilmesi için kullanılan en efektif yöntemlerden birisi Sürekli Gözetim (Continuos Monitoring)’dir.
Siber Sigorta Nasıl Yaptırabilirim?
Artık bütün sigorta şirketleri bilgi güvenliği sigortası yapmaktadır. İstediğiniz sigorta şirketi ile sigorta kapsamında bulunmasını istediğiniz güvenceleri belirtip siber sigorta yapabilirsiniz.
Sürekli Gözetim (Continuous Monitoring) Nedir?
Siber saldırılar günümüzde bir kurum için en büyük tehditlerden birisidir. Bir siber saldırı sonucu maddi zararlar oldukça yüksek olabilir, ayrıca marka değerine gelecek bir zarar kurum gelirlerini uzun yıllar boyunca olumsuz yönde etkileyebilir ve onarılması için ciddi kaynaklar harcanması gerekebilir.
Kurum ekosistemleri anlık değişimlerle sürekli değişen dinamik yapılara sahiptir. Bir sistem yıl içerisinde belirli zaman aralıklarında zafiyet barındırıp bazı zaman aralıklarında zafiyet barındırmıyor olabilir.
Bir siber saldırıdan korunabilmek için öncelikle kurum iç ağınızı güvenli hale getirecek bir takım önlemler almanız gerekmektedir. Ancak kurum varlığınız sadece iç network ağınız ya da web uygulamalarınızdan ibaret değildir. İnternette, sosyal medyada, forumlarda, dark webde ve daha birçok yerde kurumunuz ile ilgili bir takım şeyler konuşuluyor, hatta siz farkında olmadan birileri firmanıza ilişkin gizli bir takım bilgileri satmaya çalışıyor olabilir. Bazı saldırganlar sizin kurumunuzda bulduğu bir güvenlik açığını diğer saldırganlarla paylaşıyor olabilir ya da bütün halka açıklıyor olabilir. Belki de bir saldırgan sizin kurum isminizi kullanarak bir domain satın alıp o domain üzerinden müşterileriniz dolandırmak istiyor olabilir. Özetle iç network ağınızla ya da web uygulamalarınızla ilgili olmasa dahi internet ortamında firmanızı tehdit edebilecek birçok unsur bulunabilmektedir.
Sanal ortamda kurumuza ait tehditlerden haberdar olmanız ve bir saldırgan gözüyle bakıldığında kurumunuzun dışarıdan nasıl göründüğünü analiz edebilmeniz için ve kurumuzun internet üzerindeki varlıklarını devamlı tarayan bir gözetim mekanizmasına ihtiyacınız vardır. Sürekli Gözetim mekanizmasında alacağınız geri bildirimler ile bir saldırıyı daha başlamadan engelleyebilir ve hem sizi hem de müşterilerinizi büyük kayıplar vermekten koruyabilirsiniz. Olası siber tehditlere zamanında müdahale edilebilmesi için Sürekli Gözetim mutlaka gerekli bir güvenlik mekanizmasıdır. Dünya genelinde Sürekli Gözetim yapan firmalar hakkında bilgi alabilmek için bu yazıyı inceleyebilirsiniz.
Normshield, ülkemizde Sürekli Gözetim hizmet veren yerli tek firma konumundadır. Normshield geliştirdiği Scorecard mekanizması ile kurumları ilgilendiren internetteki tehdit varlıklarını devamlı tarayarak olası bir zararlı durum tespit edildiği takdirde müşterilerini uyarmaktadır. Böylelikle kurum, bir saldırıyı henüz başlamadan engelleyebilmekte ya da o tehdit varlığını gözetim altına alabilir.
Scorecard, kurumunuza dair internet üzerinden erişebilen bilgilerini tarayan bir servistir. Normshield, taradığı veri kaynaklarında; kurumuza yönelik kötü amaçlı bir paylaşım, kurum çalışanlarınıza ait hesaplar için hacklenmiş e-mail ve parolalar, kurum müşterilerine yönelik
gerçekleştirilen oltalama saldırıları gibi durumları tespit eder. Ardından 18 farklı risk durumunu analiz ederek kurumuza ilişkin bir skor hesaplar. Bu keategorilere ilişkin sunulan detaylı raporlandırma, kurumuza yönelik olan riskleri azaltmanızda yol gösterici olur.
Scorecard, kurumuza ilişkin bu verileri toplarken Open Source Intelligence (OSINT) den faydalanmaktadır. Kurumuza yönelik doğrudan erişim ya da aktif bir tarama ile edilen bilgiler kullanılmamaktadır. Kullanılan veriler tamamıyla pasif olarak elde edilir. OSINT e ilişkin diyagram aşağıda verilmiştir. Scorecard için detaylı bilgiyi Normshield – Scorecard yazısından edinebilirsiniz.
Siber Risk ScoreCard
Modern dünyada, bütün iş sektörüne yönelik en büyük tehditlerden birisi siber saldırılardır. Başarılı bir siber saldırı sonucu firmaya verilecek zarar; gelir kaybı, sisteme zarar verme ve / veya halkın gözünde itibar kaybı şeklinde olabilir. Siber saldırılardan korunabilmek için firmanıza yönelik güvenlik açıklarını tespit edecek bir güvenlik mekanizmasına ve bu açıklıkları ortadan kaldırabilme yeteneğine sahip bir ekibe ihtiyacınız vardır. Normshield’in pasif siber istihbarat modülü işletmenizi siber saldırılardan korumak için kullanabileceğiniz faydalı bilgiler sunmaktadır.
Cyber Risk Scorecard, bilinen ancak henüz kapatılmamış güvenlik açıkları ve açık ağ bağlantı noktaları gibi olası güvenlik risklerinden genel olarak internet üzerinden erişilebilen verilerinizi tarayan bir hizmettir. Scorecard ayrıca, kurumunuz hakkında saldırganlar tarafından internete sızdırılmış e-mail adresi, şifre ve kaynak kod gibi varlıkları taramasının yanı sıra kurumunuz çalışanlarını / müşterilerini aldatmaya yönelik olarak kurulmuş sahte websiteleri, mobil uygulamaları ve diğer ürünleri de sürekli bir şekilde taramaktadır. Bu bilgilerin elde edilebilmesi için birçok sosyal medya ortamı, dark webler, dark forumlar ve daha birçok veri kaynağı sürekli gözetim altında tutulmaktadır. Scorecard, elde ettiği verileri analiz eder ve sonuç olarak kurumuzun güvenliğini ifade eden bir puan ile birlikte kurumuzun zayıf olduğu güvenlik noktaları hakkında okunması kolay bir rapor hazırlar.
Bu rapor, şirketinizin karşılaşabileceği olası güvenlik risklerini belirlemenize ve bu riskleri hafifletmek için gerekli adımları atmanıza yardımcı olur. Tüm bunlar yaparken Scorecard, hiçbir zaman işletme varlıklarınız üzerinde aktif bir tarama yapmaz ve kurumunuz sistemlerine doğrudan müdahalede bulunmaz.
Scorecard, bilgi toplamak için Açık Kaynak İstihbaratı (Open Source Intelligence – OSINT)’dan faydalanır. Saldırganlar ve yasal güvenlik firmaları güvenlik açıkları ve daha farklı bir çok bilgi için sosyal medya, websitesi ve daha birçok kaynağı sürekli bir şekilde taramakta ve elde ettikleri bilgileri forumlarda ya da kendi websiteleri gibi kaynaklarda belirli aralıkla paylaşmaktadırlar.
Birçok farklı birey ve kurum tarafından sağlanan bu verilerin tamamına Açık Kaynak İstihbaratı (OSINT) denir. OSINT, Scorecard analizi için kullanılan birincil veri kaynağıdır.
OSINT’da yer alan veri kaynaklarına ilişkin grafik aşağıda verilmiştir. Bu veri kaynaklarından bazıları; hacker forums, sosyal medya, Google, sızdırılmış veritabanları, paste sites, VirusTotal, Censys, Cymon, Google Safe Browsing.
Siber Risk ScoreCard Kategorileri
Normshield Scorecard bir şirketi on dokuz güvenlikle ilgili kategoride ve bir bilgilendirme kategorisinde olmak üzere 20 farklı kategoride değerlendirir. Her kategori, bir firmanın siber güvenlik durumunun farklı bir yönünün değerlendirilmesi için faydalı bilgiler sağlamaktadır. Örnek bir Scorecard raporu çıktısı aşağıda verilmiştir.
Güvenlikle ilgili kategoriler üç ana gruba ayrılmıştır:
(1) Vulnerability Management, (2) Cyber Threat Intelligence, (3) Perimeter Monitoring.
NormShield Cyber Risk Scorecard, yaptığı analizler sonucu yirmi risk kategorisinin her biri için bir skorlama yapar. Skorlama A-F arası bir değer almaktadır. “A”, “çok iyi” ve “F” ise “çok kötü” yü ifade etmektedir. Puan kartının pasif sürümü, kurum sistemlerine ve ağ varlıklarına doğrudan müdahalede bulunmaz. Scorecard, 3rd party vendor’lerin değerlendirilmesini ve siber sigorta müşterilerinin değerlendirmesini kolaylaştırır.
Zafiyet Yönetimi
Vulnerability Management, sistemlerin saldırıya açık zafiyetleri ve sistemin zayıf yönlerini tanımlar. Bu kategori grubu sayesinde güvenlik ekibinin tespit edilen açıkları istismar edilmeden önce kapatması ve mevcut sistemin iyileştirmesine yönelik çalışmalar yapılması sağlanır. Vulnerability Management kategorisi altı alt kategoriden oluşur. Her bir kategori için, şirketin güvenlik altyapısının farklı katmanları için birçok güvenlik izleyicisi bulunmaktadır.
Bu alt kategoriler şunlardır: Patch Management, Application Security, DNS Health, Email Security, SSL/TLS Strength, Website Security.
Siber Tehdit İstihbaratı
Başarılı bir siber saldırı için, genellikle bir “Cyber Kill Chain” olarak adlandırılan birkaç adımın izlenmesi gerekir. Bu adımların ilk sıralarında hedef kurum hakkında bilgi edinme adımları gelir. Kurum hakkında elde edilebilecek bilgiler, dark forumlarda ya da sosyal medyada paylaşılan hacktivist paylaşımlar olabileceği gibi kuruma ait internet ortamına daha önceden sızdırılmış e-mail adresleri ve parolalar gibi bir takım hassas bilgiler de olabilir. İnternet ortamında kurum ile ilişkili olarak paylaşılmış olan her türlü veri potansiyel olarak zararlıdır ve takip edilmesi gerekir.
Saldırganlar, kurum çalışanlarını ve / veya müşterilerini aldatmaya yönelik bir takım yöntemler kullanabilir. Saldırganlar, oltalama saldırıları ile müşteri kredi kartı bilgilerini çalmaya çalışabilir, üstelik bu amaç için kurum web sitesine oldukça benzer bir domain üzerinden sahte bir web sitesi yayımlayabilir ya da kurum mobil uygulamasına oldukça benzer mobil uygulama geliştirmek gibi bir takım yöntemler kullanabilir. Bu tarz bir saldırı müşterileri doğrudan etki edebileceği gibi kurum çalışanlarını etkileyerek şirketin de doğrudan zarar görmesine kapı aralayabilir. Bu nedenle kuruma yönelik bu tarz tehditlerin devamlı olarak takip edilmesi ve analiz edilmesi gerekmektedir.
Bu durumların incelenip analiz edildiği Cyber Threat Intelligence kategorisi yedi alt kategoriden oluşur. Bunlar; IP/Domain Reputation, Leaked Credentials, Hacktivist Shares, Social Network, Fraudulent Apps, Fraudulent Domains, Information Disclosure.
Sürekli Gözetim
Bir kurumun ne kadar popüler olduğunun bilinmesi siber olayların henüz gerçekleşmeden önce anlaşılmasında önemli rol oynamaktadır. Bir şirketi birincil hedef yapan şey depoladığı verinin değeri ve şirketin tanınırlığı / kullanılırlığının fazlalığının birleşiminden oluşur. Bu değerler saldırganlar için yüksek motivasyon kaynağıdırlar.
Popülerliği tanımlayabilmek için kullanılan çok çeşitli bilgi kaynakları vardır. Örneğin; çalışan sayısı, iş sektörü, yıllık kazanç, müşteri sayısı, coğrafi konum, firmanın günlük haberlerde bahsedilme oranı vs..
Birçok firma müşterilere yönelik kaç farklı uygulamaya sahip olduğunu dahi bilmemektedir. Sağlam bir güvenlik mekanizması için tüm uygulamaların güvenlik açıkları barındırıp barındırmadıklarının sürekli bir şekilde incelenmesi gerekmektedir.
Her şirket, iç ağ kurmak için ağ donanımları kullanır. Şirketler yeni pazarlama kampanyaları veya coğrafyalar için yeni web siteleri ve web portalları oluştururken ve şirketlerin iç network yapıları sürekli genişlemektedir. Doğru ağ ekipmanı seçimi önemli olmasının yanı sıra, bu cihazların doğru bir şekilde yapılandırılması da oldukça önemlidir. Bu başlık altındaki alt kategoriler ağ sorunlarını, uygulamaların zayıf yönlerini güvenlik açıklarını bulur ve raporlar. Analiz edilen alt kategoriler şunlardır; Digital Footprint, Brand Monitoring, Attack Surface, DDoS Resiliency, Network Security, CDN Security, Web Ranking.
Siber Sigorta Yapan Başlıca Firmalar
Türkiye’de siber sigorta yapan başlıca firmalar şunlardır;
- Marsh Sigorta ve Reasürans Brokerliği A.Ş.
- AIG Sigorta, CyberEdge Veri Koruma Sigortası
- NART Sigorta Reasürans ve Brokerlik A.Ş
- JLT Sigorta ve Reasürans Brokerliği
- IBS Sigorta ve Reasürans Brokerliği
- Teb Sigorta
- Zürich Sigorta
- Allianz Sigorta
- Doğan Sigorta Brokerliği A.Ş.
- CHUBB
TEB, Zürich Sigorta ve AIG Sigorta gibi şirketler bu alanda faaliyet göstermeye başlarken, Allianz Sigorta da çalışma yapıyor. Haziran ayında ‘Kimliğim Güvende Sigortası’ ürününü pazara sunan TEB, bir ayda 10 binden fazla müşteriye ulaştı. Zürich Sigorta da yılbaşında çıkardığı ‘Kimliğim Güvende’ ürünüyle bireylere hizmet veriyor. Yakında çıkaracağı özel ürünüyle şirketlere de hizmet verecek. Zürich Sigorta CEO’su Yılmaz Yıldız, “Kimliğim Güvende Sigortası’nda poliçede belirtilen miktarlar ve şartlar dahilinde kimlik hırsızlığı/sahtekarlığı harcamaları teminatı, kayıp çalıntı kimlik teminatı, şifre çalınması teminatı, gelir kaybı teminatı, seyahat ve iletişim masrafları teminatları gibi teminatlar sağlanıyor” diyor. Yıldız, siber saldırıların küresel bir tehdit olduğu algısının yükselmesiyle bu yöndeki sigorta ürünlerine talebin de artacağını söylüyor.
Sigorta şirketlerine ek olarak, bu alanda danışmanlık hizmeti veren şirketler de bulunuyor. Örneğin KPMG, büyük çaplı sigorta poliçelerinin yapılandırılması aşamasında siber güvenlikle ilgili süreç ve altyapı risklerinin maddileştirilebilmesi için yönetim danışmanlığı hizmetleri sunuyor. KPMG Türkiye Bilgi Sistemleri Risk Yönetimi Bölüm Başkanı ve Şirket Ortağı Sinem Cantürk, “Siber güvenliğe daha bütünsel bir yaklaşım getirmek gerekiyor. Siber güvenlik sigortalarının yanında, gerekli önlemlerin kuruluşlar tarafından alınmış olmasının temin edilmesi gerekiyor. Bu önlemler yalnızca teknolojiyle ve saldın anıyla sınırlı olmamalı, süreç geniş bir alanı kapsamalı” diyor.
Dünya Genelinde siber sigorta yapan başlıca firmalar şunlardır;
- AIG
- Allianz
- Brooklyn Underwriting
- CHUBB
- Zurich
Sürekli Gözetim (Continious Monitoring) Hizmeti Sunan Firmalar
Sürekli Gözetim, Siber Güvenlik alanında yeni ortaya çıkmış ve son yıllarda hızla önem kazanan bir Siber İstihbarat Servisi modelidir. Bu alanda hizmet veren dünya genelinde çok sayıda firma bulunmamaktadır. Türkiye’de bu alanda sektöre hizmet veren tek firma, geliştirdiği Scorecard ürünüyle Normshield firmasıdır. Normshield, dünya trendini sıkı bir şekilde takip etmekte ve Sürekli Gözetim siber istihbarat modelinde Türkiye’de öncü konumdadır. Normshield aynı zamanda ABD’de yer alan ofisi ile dünya genelinde bu hizmeti sunan sayılı firmalar arasındadır.
Dünya genelinde Sürekli Gözetim Hizmeti Sunan firmalar şunlardır;
- NormShield
- Bitsight
- SecurityScorecard
- Riskrecon
- FicoScore
