Siber sigorta başvuruları eskiden evrak işlerine daha yakın hissettirirdi. Bugün ise çok daha fazla güvenlik incelemesi gibi görünüyor. Bir poliçeyi yenileyen işletme sahibi veya COO’ya, sigorta şirketi şartları onaylamadan önce çok faktörlü kimlik doğrulama (MFA), yedekler, erişim denetimleri, personel eğitimi, yamalama, olay müdahalesi ve parola yönetimi hakkında sorular sorulabilir.
Sigorta değerlendiricileri hangi kontrollerin mevcut olduğunu, nerede uygulandığını, ne kadar tutarlı bir şekilde uygulandığını ve işletmenin bunu kanıtlayıp kanıtlayamayacağını bilmek ister. Bunun nedeni, siber sigortanın siber güvenliğin yerine kullanılamamasıdır. Siber sigorta, siber riskin yönetilmesinin bir parçası olarak güvenlik kontrolleri, olay planlaması, kurtarma süreçleri ve risk yönetiminin yanında yer alır.
Başvurmaya veya yenilemeye hazırlanan işletmeler için sigortacıların riski üstlenmek konusunda rahat olmadan önce görmeyi bekledikleri hakkında bilmeniz gerekenler şunlar.
Siber sigorta değerlendiricilerinin gerçekte neleri kontrol ettiği
Çoğu sigortacının beklediği kontroller
Uygulamalı bir siber sigorta kontrol listesi
İşletmeler neden uygun koşulları sağlamakta zorlanıyor
KOBİ riski sigorta yazışmalarını nasıl etkiler
Proton Pass siber sigorta hazırlığını nasıl destekliyor
Siber sigorta değerlendiricilerinin gerçekte neleri kontrol ettiği
Siber sigorta değerlendirmesi, bir işletmenin siber olay yaşama olasılığını, bu olayın ne kadar ciddi hale gelebileceğini ve işletmenin kurtarmaya ne kadar hazır olduğunu anlamak için tasarlanmıştır.
Değerlendirici yalnızca bir şirketin ne yaptığına veya ne kadar gelir elde ettiğine bakmaz. Ayrıca erişimi, kimlik doğrulama bilgilerini, verileri, sistemleri, tedarikçileri ve sürekliliği nasıl ele aldığını da anlamak ister. Zayıf yönetici kontrolleri, MFA uygulaması olmayan ve test edilmemiş yedeklere sahip bir şirket, net ilkeler, uygulanan kontroller ve kurtarma kanıtları sunabilen bir şirketten farklı bir risk profili sergiler.
Bu nedenle siber sigorta gereksinimleri genellikle operasyonel güvenliğe odaklanır. Sigortacılar, saldırganların kolayca içeri girip giremeyeceğini, işletmenin hasarı sınırlayıp sınırlayamayacağını ve temel sistemlerin fidye ödemeden veya günlerce çevrim dışı kalmadan geri yüklenip yüklenemeyeceğini bilmek ister.
Siber sigorta değerlendirmesi ayrıntılı bir anket, takip soruları, kanıt talepleri, taramalar veya BT sağlayıcılarıyla yapılan görüşmeler içerebilir. Küçük işletmeler için bu süreç, özellikle güvenlik alanında resmi süreçler oluşturulmadığında zor olabilir.
Örneğin, şirketinizin MFA kullandığını söylemek yeterli değildir. Bir sigortacı, MFA’nın nerede ve nasıl uygulandığını, yönetici hesaplarını kapsayıp kapsamadığını ve varsa hangi kritik uygulamaların dışarıda bırakıldığını bilmek isteyebilir. Daha güçlü bir yanıt belirli, belgelenmiş ve kanıtlarla desteklenmiştir.
Çoğu sigortacının beklediği kontroller
Siber sigorta gereksinimleri sağlayıcıya, ilke türüne, şirket boyutuna ve risk profiline göre değişir. Yine de çoğu değerlendirme artık aynı temel işaretleri arar: işletmenizin yaygın saldırıları önleyip önleyemeyeceği, bir hesap ele geçirilirse hasarı sınırlayıp sınırlayamayacağı, kesintiden kurtulup kurtulamayacağı ve kontrollerin gerçekten mevcut olduğunu kanıtlayıp kanıtlayamayacağı. Bu genellikle işletmenizin parolaları nasıl ele aldığını içerir. Güçlü bir parola ilkesi ve güvenli bir kurumsal parola yöneticisi, uygulayabileceğiniz en etkili parola yönetimi en iyi uygulamaları arasındadır.
MFA
Bu, sigortacıların aradığı ilk kontrollerden biridir çünkü birçok talep, kimlik doğrulama bilgilerinin kötüye kullanılmasından kaynaklanır. E-posta, VPN’ler, uzaktan erişim, bulut platformları, parola yöneticileri ve diğer kritik uygulamalar için iki adımlı doğrulamanın etkin olup olmadığı sorulabilir.
Değerlendirme daha da ileri gidebilir; MFA’nın tüm kullanıcılar için mi, yalnızca belirli sistemler için mi yoksa yalnızca yönetici hesapları için mi uygulandığını ve bu uygulamanın gerçekte nasıl işlediğini sorabilir.
MFA’nın mevcut olması ile MFA’nın zorunlu olması arasında bir fark vardır: bir değerlendirici, bunun uygulanıp uygulanmadığını, kimlik sağlayıcıda mı yoksa uygulama uygulama mı yapılandırıldığını ve birinin istemi geçemediğinde veya atladığında ne olduğunu bilmek ister.
Daha güçlü bir yanıt, MFA’nın nerede gerekli olduğunu, hangi uygulamaların kapsandığını, nasıl uygulandığını ve istisnaların nasıl onaylanıp gözden geçirildiğini gösterir.
Yönetici ve ayrıcalıklı hesap koruması
Sigortacılar ayrıca işletmenizin yükseltilmiş erişime sahip hesapları nasıl koruduğunu da anlamak ister. Yönetici hesapları ayarları değiştirebilir, kullanıcı oluşturabilir, hassas verilere erişebilir, güvenlik kontrollerini devre dışı bırakabilir veya sistemler arasında hareket edebilir; bu da onları saldırganlar için özellikle değerli kılar.
İşletmelere, yönetici erişiminin belirli kişilerle sınırlı olup olmadığı, düzenli olarak gözden geçirilip geçirilmediği, MFA ile korunup korunmadığı ve günlük kullanıcı hesaplarından ayrılıp ayrılmadığı sorulabilir. Kanıtlar arasında erişim ilkeleri, kullanıcı listeleri, role dayalı izinler ve ayrıcalıklı etkinliği gösteren günlükler yer alabilir.
Yedekler ve kurtarma hazırlığı
Yedekler önemlidir çünkü sigortacılar önlemenin ötesine bakar. Ayrıca işletmenizin ne kadar hızlı kurtulabileceğini bilmek isterler. Bir fidye yazılımı saldırısı, kazara silme veya sistem arızası işletmenizi etkilerse, sigortacı fidye ödemeden veya kritik verileri kaybetmeden kurtulup kurtulamayacağını bilmek ister.
Bu genellikle düzenli, yetkisiz erişime karşı korunan ve test edilmiş yedeklere sahip olmak anlamına gelir. Yedeklerin var olduğunu söylemek yeterli değildir. Neyin yedeklendiğini, yedeklerin ne sıklıkla çalıştığını, nerede depolandığını, bunlara kimlerin erişebildiğini ve geri yüklemenin en son ne zaman test edildiğini göstermeye hazır olmalısınız.
Uç nokta ve e-posta güvenliği
Birçok saldırı bir çalışanın gelen kutusu veya aygıtı üzerinden başlar, bu nedenle sigortacılar sıklıkla uç nokta ve e-posta korumasını sorar. Bu, kötü amaçlı yazılım koruması, uç nokta algılama, istenmeyen e-posta süzme, kimlik avı koruması ve şüpheli ek dosyaları, bağlantıları veya oturum açma girişimlerini engelleyen kontrolleri içerebilir.
Özellikle e-posta için sigortacılar, saldırganların şirketinizin adresini taklit etmesini önlemek amacıyla etki alanınızın e-posta kimlik doğrulaması (SPF, DKIM ve DMARC) kullanıp kullanmadığını da sorabilir.
Küçük işletmeler için bu, bir BT sağlayıcısı tarafından veya zaten kullandıkları araçlardaki yerleşik özellikler aracılığıyla ele alınabilir. Önemli olan, hangi korumanın etkin olduğunu, hangi aygıt ve hesapların kapsandığını ve uyarıların veya olayların nasıl ele alındığını açıklayabilmektir.
Yama yönetimi
Güncelliğini yitirmiş yazılımlar, saldırganlara işletme sistemlerine daha kolay bir yol sunar. Bu nedenle sigortacılar, işletmenizin işletim sistemlerine, tarayıcılara, uygulamalara, sunuculara ve diğer kritik yazılımlara güvenlik güncellemelerini ne kadar hızlı uyguladığını sorabilir.
Ayrıca güncellemelerin otomatik mi, elle mi gözden geçirildiğini yoksa harici bir BT sağlayıcısı tarafından mı yönetildiğini sorabilirler. Daha güçlü bir yanıt, yama yönetiminin kime ait olduğunu, güncellemelerin nasıl izlendiğini ve işletmenin acil güvenlik açıklarını nasıl ele aldığını açıklar.
Çalışan güvenlik eğitimi
Sigortacılar, çalışanların sıklıkla kimlik avı, sosyal mühendislik, sahte faturalar, kötü amaçlı bağlantılar ve kimlik doğrulama bilgisi hırsızlığı yoluyla hedef alındığını bilir.
Düzenli güvenlik farkındalığı eğitimi bu maruziyeti azaltmaya yardımcı olur ve özellikle kimlik avı farkındalığı eğitimi, çoğu kimlik doğrulama bilgisiyle ilgili talebin arkasındaki saldırı türünü ele alır. Yine de değerlendirme, çalışanların eğitildiğine dair genel bir ifadeden daha fazlasını isteyebilir.
İşletmelerin eğitimin ne sıklıkla yapıldığını, neleri kapsadığını, yeni çalışanların işe alıştırma eğitimi alıp almadığını ve personelin şüpheli etkinliği nasıl bildireceğini bilip bilmediğini göstermesi gerekebilir. Uygulamalı ve düzenli eğitim, kimsenin tekrar bakmadığı tek seferlik bir oturumdan daha faydalıdır.
Olay müdahale planlaması
Yazılı bir olay müdahale planı, işletmenizin bir sorun çıktığında ne yapacağını bildiğini gösterir. Sigortacılar, işletmenizin güvenlik olaylarını tanımlama, bildirme, sınırlama ve yükseltme için belgelenmiş bir süreci olup olmadığını sorabilir.
Plan, kimin sorumlu olduğunu, kiminle iletişime geçilmesi gerektiğini, kanıtların nasıl korunduğunu ve şirketin gerektiğinde çalışanlarla, satıcılarla, müşterilerle, hukuk danışmanlarıyla veya düzenleyicilerle nasıl iletişim kurduğunu açıkça ortaya koymalıdır. Basit bir plan bile bir kriz sırasında doğaçlamaya güvenmekten daha iyidir.
Üçüncü taraf erişim kontrolleri
Satıcılar, yükleniciler, ajanslar, BT sağlayıcıları ve yazılım ortakları, işletme sistemlerine veya verilerine erişebildiklerinde risk yaratabilir. Sigortacılar, üçüncü taraf erişiminin sınırlı olup olmadığını, gözden geçirilip geçirilmediğini ve artık gerekli olmadığında kaldırılıp kaldırılmadığını sorabilir.
Ayrıca satıcı hesaplarında MFA, harici kullanıcılar için ayrı kimlik doğrulama bilgileri ve erişimi onaylamak için net bir süreç arayabilirler. İşletme, kimin erişimi olduğunu, neleri erişebildiğini, neden buna ihtiyaç duyduğunu ve bu erişimin en son ne zaman gözden geçirildiğini gösterebilmelidir.
Uygulamalı bir siber sigorta kontrol listesi
Bir siber sigorta başvurusu veya yenilemesi başlatmadan önce, işletmeniz güvenlik kontrollerinin yalnızca planlanmadığını, aynı zamanda halihazırda çalıştığını gösteren kanıtlar toplamalıdır. Değerlendiriciler her küçük işletmenin kurumsal düzeyde belgelere sahip olmasını beklemez. Ancak net yanıtlar, tutarlı uygulamalar ve şirketin erişim, kurtarma, eğitim ve olay müdahalesinin nasıl ele alındığını açıklayabildiğine dair kanıtlar beklerler.
Bir kontrol listesi teminatı garanti etmez veya primleri düşürmez, ancak değerlendirmenizi daha etkili hale getirebilir, karşılıklı yazışmaları azaltabilir ve işletmenin değerlendirme sürecine daha güçlü yanıtlarla girmesine yardımcı olabilir.
Siber sigorta hazırlık kontrol listesi
MFA
Hazırlanacak kanıtlar: E-posta, bulut uygulamaları, uzaktan erişim, yönetici hesapları ve belgelenmiş istisnalar dahil olmak üzere MFA’nın uygulandığı sistemlerin listesi.
Parola yönetimi
Hazırlanacak kanıtlar: Parola yöneticisi ilkesi, kullanıcı benimseme kayıtları, paylaşılan kasa yapısı, yönetici ayarları ve zayıf, yeniden kullanılan veya açığa çıkmış parolaları gösteren raporlar.
Yedekler
Hazırlanacak kanıtlar: Yedekleme planı, depolama alanı konumu, erişim kontrolleri, verileri tutma ilkesi ve en son geri yükleme testinin tarihi.
Olay müdahale tarifesi
Hazırlanacak kanıtlar: Yazılı müdahale tarifesi, eskalasyon kişileri, dahili roller, raporlama adımları ve yakın zamanda yapılan masa başı tatbikatı veya tarife incelemesi.
Eğitim kayıtları
Hazırlanacak kanıtlar: Güvenlik eğitimi tarihleri, katılım kayıtları, işe alıştırma materyalleri, kimlik avı girişimi farkındalık içeriği ve çalışanlar için raporlama talimatları.
Yama yönetimi
Hazırlanacak kanıtlar: Yama ilkesi, güncelleme günlükleri, kapsanan sistemlerin listesi, sahiplik ayrıntıları ve acil güvenlik açığı giderme kayıtları.
Ayrıcalıklı erişim incelemesi
Hazırlanacak kanıtlar: Yönetici kullanıcı listesi, rol tabanlı izinler, erişim inceleme kayıtları, ayrıcalıklı hesaplar için MFA durumu ve çıkış belgeleri.
İşletmeler neden uygunluk koşullarını karşılamakta zorlanır
İşletmeler, başvuru, günlük operasyonların gizleyebileceği boşlukları ortaya çıkardığı için siber sigortada sıklıkla zorlanır. Bir şirketin bazı sistemlerinde MFA, yerinde yedekleri, çağrı üzerine bir BT sağlayıcısı ve kimlik avı girişiminin temellerini bilen çalışanları olabilir. Ancak sigortacılar işletme genelinde tutarlılık arar: kontrollerin nerede uygulandığı, bunlara kimin sahip olduğu, ne sıklıkla gözden geçirildiği ve her yanıtı hangi kanıtın desteklediği.
Bu durum, güvenliği aşamalı olarak ve resmi dokümantasyon olmadan oluşturmuş daha küçük işletmeler için özellikle zordur. Erişim farklı sistemler üzerinden verilebilir, paylaşılan kimlik doğrulama bilgileri güvenli bir ekip parola yöneticisi yerine hâlâ hesap tablolarında bulunabilir, yedekler yakın zamanda test edilmemiş olabilir ve güvenlik eğitimi gayri resmi olarak gerçekleşebilir.
Bu sorunların hiçbiri otomatik olarak bir işletmenin sigortalanamaz olduğu anlamına gelmez, ancak sigorta değerlendirmesi sırasında gecikmelere, istisnalara, daha yüksek primlere veya ek sorulara yol açabilir.
En güçlü başvurular genellikle en karmaşık güvenlik programlarına sahip olanlar değildir. Temel kontrollerin nasıl çalıştığını, kalan boşlukların nerede olduğunu ve işletmenin bunları kapatmak için neler yaptığını açıkça gösterebilenlerdir.
KOBİ riski sigorta görüşmelerini nasıl etkiler
Sigortacılar kontrolleri önemser çünkü küçük ve orta ölçekli işletmeler saldırganlar için görünmez değildir. Proton’un KOBİ Siber Güvenlik Raporu, geçen yıl her dört KOBİ’den birinin siber güvenlik önlemleri olmasına rağmen ele geçirildiğini ortaya koydu. Rapor ayrıca insan hatası, tutarsız güvenlik ilkeleri ve veri kontrolü eksikliğini başlıca nedenler olarak gösteriyor.
Birçok işletme, siber sigorta başvurularına güvenlik önlemleri zaten yürürlükteyken yaklaşır, ancak değerlendirme genellikle bu önlemlerin tutarlı, güncel ve kanıtlanması kolay olup olmadığını gösterir. MFA bazı hesapları koruyabilir ama diğerlerini korumayabilir. Yedekler programa göre çalışıyor olabilir ancak arkalarında yakın tarihli bir geri yükleme testi yoktur. Şirket büyüdükçe yönetici erişimi genişlemiş olabilir ve kimin hâlâ buna ihtiyaç duyduğuna dair net bir kayıt bulunmayabilir.
Bir COO veya işletme sahibi için bu inceleme, poliçe henüz düzenlenmeden önce bile faydalı olabilir. Günlük varsayımları belirli kanıtlara dönüştürür: erişim listeleri, yedek kayıtları, MFA kapsamı, parola uygulamaları, belgelenmiş ilkeler ve bilinen boşluklar. İnsanların neler olduğuna inandığına güvenmek yerine, işletme kontrollerinin gerçekte nasıl çalıştığına dair daha net bir resim elde eder.
Bu şekilde bakıldığında, değerlendirme yalnızca teminat önünde bir engel değildir. İşletmenin bir ihlal sırasında en çok önem taşıyacak zayıf noktaları belirlemesine ve bunları ele almak daha zor, daha pahalı veya daha yıkıcı hale gelmeden önce düzeltmesine yardımcı olabilir.
Proton Pass siber sigorta hazırlığını nasıl destekler
Siber sigorta değerlendirmeleri işletmeye bir bütün olarak bakar; yedekler, yama uygulama, olay müdahalesi, çalışan eğitimi, ağ güvenliği ve tedarikçi riski dahil. Bir parola yöneticisi tek başına her gereksinimi karşılayamaz, ancak sigortacıların yakından incelediği alanlardan birini güçlendirebilir: işletmenizin kimlik doğrulama bilgileri yönetimi ve erişimi nasıl ele aldığı.
İşletme parola yöneticisi gibi Proton Pass for Business, ekiplerin güvenli olmayan parola alışkanlıklarını daha kontrollü bir sistemle değiştirmesine yardımcı olur. Çalışanlar benzersiz parolalar oluşturup uçtan uca şifrelenmiş parola kasalarında saklayabilir, yeniden kullanımı azaltmak için otomatik doldurmayı kullanabilir, geçiş anahtarlarını yönetebilir ve e-postaya, hesap tablolarına, sohbet konularına veya tarayıcıda kayıtlı parolalara güvenmeden kimlik doğrulama bilgilerini güvenli bir şekilde paylaşabilir.
Yerleşik iki adımlı doğrulama ayrıca ekiplerin parolaları ve doğrulama kodlarını tek bir güvenli iş akışında tutmasına yardımcı olur; erişimi farklı uygulamalara ve kişisel aygıtlara dağıtmak yerine, bu da sürtünmeyi artırır ve insanları kısayollara iter.
BT ekipleri için parola yöneticisi olarak Proton Pass, bu uygulamaların yürütülmesini kolaylaştırmak için gereken görünürlüğü ve kontrolü ekler. Ekipler parola gereksinimlerini yapılandırabilir, iki adımlı doğrulama ilkelerini uygulayabilir, kasa erişimini yönetebilir, rol tabanlı izinler atayabilir, SCIM ile kullanıcıları hazırlayabilir, tek oturum açmayı (SSO) destekleyebilir ve uyumluluk veya olay müdahalesi incelemeleri için günlükleri kullanabilir. Bu özellikler, MFA, parola yönetimi, paylaşılan kimlik doğrulama bilgileri, ayrıcalıklı erişim, işe alıştırma, işten çıkarma ve erişim incelemeleriyle ilgili yaygın sigorta değerlendirmesi sorularını destekleyebilir.
Daha geniş kapsamlı siber sigorta başvurusu, güvenlik programının geri kalanı boyunca yine de dokümantasyon gerektirecektir. Ancak değerlendirmenin kimlik doğrulama bilgileri kısmı için Proton Pass, işletmenizin daha net bir yanıt vermesine yardımcı olabilir: kimlerin erişimi var, kimlik doğrulama bilgileri nasıl korunuyor, paylaşım nasıl kontrol ediliyor ve bir sigorta değerlendiricisi sorduğunda hangi kanıtlar mevcut.
İşletme parola yöneticisi ile her siber sigorta kutusunu işaretleyin.
