AYRINTILI AÇIKLAMA
Siber risk nasıl çalışır?
Fidye yazılımıyla üretim hattının durması, müşteri verisinin sızması, e-ticaret sitesinin günlerce erişilemez olması bu başlığın somut halleridir. Siber poliçeler genellikle olayın araştırılması, sistemin ayağa kaldırılması, iş durması kaybı ve üçüncü kişilere karşı doğan sorumluluğu kapsar. Karşılığında sigortalıdan asgari güvenlik önlemleri beklenir; yedeklemesi olmayan bir şirket için teminat bulmak da pahalıdır, ödeme almak da tartışmalıdır.
Poliçenin asıl ürünü olay müdahale ekibidir
Siber bir olayda ilk ihtiyaç para değil zamandır: sistemin nereden ele geçirildiğini bulacak adli bilişim ekibi, bildirim sürecini yönetecek hukukçu, müşteriye ve kamuoyuna ne söyleneceğini kuran iletişim danışmanı. Poliçe bu ekibin masrafını karşılamakla kalmaz, çoğu sözleşmede ekibi de kendisi getirir.
Bu yönüyle teminat, motor tarafındaki asistans mantığına benzer: satılan şey bir ödeme vaadi değil, kriz anında devreye giren bir operasyondur. Sözleşmeye bakarken sorulacak soru "ne kadar ödenir"in yanında "kim gelir ve kaç saatte gelir"dir, çünkü ilk yirmi dört saatte alınan kararlar dosyanın toplam maliyetini belirler.
Saatle ölçülen muafiyet: kayıp ne zaman başlıyor?
İş durması teminatında muafiyet tutarla değil süreyle yazılır. Sistem çöktükten sonra tanımlı bir bekleme süresi geçmeden kayıp hesaba girmez; kesinti bu eşiğin altında kalırsa ödeme çıkmaz.
İkinci süre sınırı tazminatın ne kadar süreceğidir: sistem ayağa kalktıktan sonra siparişlerin toparlanması haftalar alabilir ve poliçe bu toparlanma dönemini yalnızca yazılı süre kadar karşılar. Hesabın kurgusu klasik kâr kaybı teminatıyla aynı mantığa oturur, ama burada ölçülen şey üretim değil erişilebilirliktir.
Sessiz siber: klasik poliçede bu zarar var mı, yok mu?
Ayrı bir siber ürün satılmadan önce de siber kaynaklı zararlar oluyordu ve bunlar yangın, makine kırılması ya da sorumluluk poliçelerinde ne açıkça kapsanmış ne de açıkça dışlanmıştı. Sektör bu gri alana sessiz siber diyor.
Belirsizliğin bedeli hasar günü ödenir: taraflardan biri zararın kapsamda olduğunu, diğeri konunun hiç düşünülmediğini savunur. Bugünkü eğilim boşluğu kapatmak yönünde; klasik poliçeler siber rizikoyu ya açıkça dışlıyor ya da açıkça kapsıyor. Bir işletmenin poliçe setine bakarken aranacak şey, tam olarak bu cümlenin var olup olmadığıdır.
Hasar kendi ağınızın dışında doğduğunda
Bir şirketin durması için kendi sistemlerinin ele geçirilmesi şart değildir. Kullanılan bulut sağlayıcısı, muhasebe yazılımı ya da lojistik platformu kesintiye uğradığında üretim aynı biçimde durur; teminatın bu dış bağımlılığı adıyla kapsayıp kapsamadığı poliçeden poliçeye değişir.
Aynı bağımlılık sigortacı tarafında başka bir sorun yaratır: binlerce sigortalı aynı sağlayıcıyı kullanıyorsa tek bir kesinti binlerce dosyayı aynı anda açar. Bu, bir depremin çok sayıda poliçeye aynı gün vurmasıyla aynı yapıdır ve birikim riski başlığı altında ölçülür.
Bildirim yükümlülüğü poliçeyle ortadan kalkmıyor
Kişisel veri içeren bir ihlalde sigortalının ilgili kuruma ve etkilenen kişilere bildirim yapmasını gerektiren ayrı bir süreç işler. Poliçe bu sürecin danışmanlık ve iletişim masrafını karşılar, ama süreyi kaçırmanın idari sonucunu üstlenemez.
Sözleşmenin kendi bildirim şartı da vardır ve çoğu zaman çok kısadır: olay fark edildiğinde sigortacıya haber verilmeden başlatılan bir kurtarma çalışmasının masrafı sonradan kabul edilmeyebilir. İki ayrı saat aynı anda işler ve birini kaçırmak, diğerini beklemenin gerekçesi olmaz.
Teminat almadan önceki inceleme ne soruyor?
Fiyat teklifi çoğu zaman bir soru formuyla başlar; bazı durumlarda şirketin dışarıya açık sistemleri sigortacı tarafından taranır. Sorular teknik ayrıntıdan çok yönetişimi ölçer: kimin hangi yetkiye sahip olduğu, kritik verinin nereye yedeklendiği, yedekten dönüşün en son ne zaman denendiği. Teminat kararı bu yönüyle şirketin risk yönetimi olgunluğuna bakar.
Formun bir de hukuki tarafı vardır. Verilen cevaplar sözleşmenin kuruluşunda esas alındığından gerçeğe uymayan bir beyan, hasar aşamasında teminatı tartışmalı hâle getirir; ihbar yükümlülüğü burada da aynı biçimde işler. TÜRKLİM Yönetim Kurulu Başkanı Hamdi Erçelik, bir limanın risk haritasını anlatırken bu başlığı fiziksel güvenlikle birlikte ele alıyor.
Sık sorulan sorular
Poliçemin varlığını bilmek saldırganı cesaretlendirir mi?
Sektörde tartışılan bir konudur ve bu yüzden teminatın varlığının gizli tutulması çoğu sözleşmede açıkça istenir. Bilginin dışarı çıkması yalnızca pazarlık gücünü değil, teminatın kendisini de tartışmalı hâle getirebilir. Uygulamada poliçe bilgisi şirket içinde de dar bir çevreyle sınırlı tutulur.
Çalışanın hatasından doğan zarar kapsamda mıdır?
Çoğu sözleşme dış saldırıyla iç hatayı ayırmaz; ölçüt niyettir. Yanlış adrese gönderilen bir dosya ya da sahte bir elektronik postaya kanan bir çalışan kaynaklı olay genellikle kapsamdadır, kasıtlı ve kötü niyetli bir eylem ise dışlanır. Kasıt iddiasının ispat yükü sigortacıdadır.
İtibar kaybı ödenir mi?
Doğrudan bir itibar kaybı kalemi genellikle bulunmaz, çünkü ölçülebilir değildir. Karşılanan şey itibarı korumak için yapılan harcamadır: kriz iletişimi, müşteri bilgilendirmesi ve etkilenen kişilere sunulan izleme hizmetleri. Müşteri kaybının gelire etkisi ancak iş durması teminatının tanımına giriyorsa hesaba katılır.
Yönetim kurulu üyeleri bu olaydan kişisel olarak sorumlu tutulabilir mi?
Tutulabilir; ihmalin yönetim düzeyinde olduğu iddiası ortaklardan ya da etkilenen taraflardan gelebilir. Bu talep siber poliçenin değil yönetici sorumluluk sigortasının konusudur ve iki poliçe aynı olayda birbirini tamamlar. İpek Ünal, bu teminatın nasıl işlediğini anlatıyor.
