Bir fidye yazılımı sabahı: sunucular şifreli, yedekler şüpheli, müşteri servisi kilitli. Otele benzer bir krizde yönetimin aklına gelen ilk soru şudur: Bunun sigortası var mı? Cevap evet, siber sigorta diye bir ürün var ve piyasa on yılda birkaç milyar dolardan onlarca milyara doğru büyüdü. Ama adı geçen "sigorta" kelimesi, otomobil sigortasından çok daha karmaşık bir ürünü gizliyor.

Poliçe neyi kapsıyor?

Tipik bir siber poliçe üç ana kalemin üstünü çizer. Birincisi birinci taraf zararları: kurtarma maliyeti, sistemlerin yeniden kurulması, iş durmasından doğan kayıp, bildirim ve hukuk ücretleri. İkincisi üçüncü taraf sorumluluğu: verisi sızan müşteri ve çalışanların tazminat davaları, regülatör cezaları. Üçüncüsü ise olay sonrası hizmetler: adli bilişim, müzakere, halkla ilişkiler. İyi bir poliçe, sadece para ödemekle kalmaz; kriz masasını da kurar. Fidye vakalarının çoğunda sigortacının avukatları ve müzakere ekipleri, teminatın ta kendisidir.

Dışlananlar: Poliçenin karanlık tarafı

Sektörün en tartışmalı kısmı burada. Savaş hükümleri, NotPetya vakasından sonra meşhur oldu: 1,4 milyar dolarlık zararın büyük kısmı, "savaş eylemi" dışlamasına dayanarak karşılanmadı. Bugün bazı ülkelerde bu madde, saldırının devletle ilişkisinin kanıtlanmasını zorunlu kılan şekilde revize ediliyor. Buna ek olarak iyi bilinen dışlamalar var: bilinen ama yamalanmamış açıklıklar, özensiz güvenlik uygulamaları, sosyal mühendislik sonucu içinden geçen yetkililerin hatası, bazı poliçelerde kripto para ödemeleri. Sigorta şirketleri artık yalnız riski taşımıyor; riski denetleyen bir denetçi gibi davranıyor. Poliçeyi imzalamadan önce istenen bu kontrol listesi, şirketin gerçek güvenlik olgunluğunu da ilk kez rakamla ortaya koyar.

Primleri belirleyen ne?

Sigorta şirketleri artık bir şirketin güvenlik duruşunu, tıpkı bir sağlık muayenesi gibi inceliyor: sektörü, veri hacmi, bağlılık, yedekleme mimarisi, kimlik yönetimi, ihlal geçmişi. Talep edilen prim, bu rapora göre katlanıp düşüyor. Son üç yılda iki güçlü akış görüldü: fidye yazılımı dalgasının ilk yıllarında primler iki katına çıktı, sonra güvenlik iyileşip hak sahipliği sıkılaştıkça primler yeniden dengelendi. Piyasa, riski bilmeyen şirketi cezalandıran bir doğal seçilim makinesi gibi çalışıyor.

Sonuç olarak siber sigorta, bir güvenlik yerine koyma değil, son kat savunma katmanı. İyi bir yedekleme stratejisinin ve olay müdahale planının yerine geçmez; onları belgeleyen ve zararı dağıtan bir finansal araçtır. Doğru kullanıldığında şirketin hayatta kalmasını sağlar, yanlış anlaşıldığında güvenlik bütçesinin bahanesi olur. "Hack'lenmenin sigortası var mı?" sorusunun cevabı, maalesef "var ama önce kapıları kilitleyin" şeklinde. Küçük ve orta ölçekli işletmeler için pratik yol şudur: önce güvenlik temelini kurun, sonra poliçeyi pazarlık edin. Sırayı tersine çeviren, ya prim olarak ya da felaket günü öder.

Bu alanda danışmanlık yapan ekiplerin ortak tespiti şudur: poliçe almak için yapılan güvenlik iyileştirmesi, şirketin gerçek risk profile en net dokunan bütçe kalemi olur. Sigortacı tek başına sizi korumaz; ama güvenlik masasına oturtur.