Sanayi kuruluşlarında siber güvenlik sigortası nedir? Sigorta poliçe denetim şartları, fidye yazılımı teminatı ve risk kriterleri rehberini inceleyin.
Hızlı Özet (TL;DR)
Siber Güvenlik Sigortası (Cyber Insurance), imalat sanayi kuruluşlarının fidye yazılımı (ransomware), üretim hattı duruşu, veri sızıntısı cezaları veya iş kesintisi nedeniyle maruz kaldığı doğrudan finansal kayıpları ve adli/hukuki masrafları teminat altına alan stratejik bir sigorta poliçesidir. Ancak günümüzde yerli ve uluslararası reasürans/sigorta şirketleri, poliçe kesmeden önce fabrikaların BT ve OT (Operasyonel Teknoloji) altyapısını çok sıkı bir teknik denetime tabi tutmakta; MFA, EDR ve değiştirilemez yedekleme gibi asgari güvenlik şartlarını sağlamayan firmaların başvurularını reddetmektedir.
İmalat Sektörü Neden Siber Sigorta Şirketlerinin “Yüksek Risk” Listesinde?
Yangın, makine kırılması ve nakliyat sigortaları sanayiciler için onlarca yıldır standart bir güvenceyken, modern bir fabrikayı haftalarca tamamen durdurabilen en büyük tehdit artık fiziksel yangın değil, Siber Saldırı ve Üretim Kesintisi (Business Interruption) riskidir.
Otomotiv yan sanayii, metal işleme, tekstil, kimya ve gıda fabrikaları fidye yazılımı çeteleri için bir numaralı hedeftir; çünkü bir üretim bandının durduğu her saat on binlerce dolarlık gecikme cezası ve hammadde zayiatı demektir. Geçmiş yıllarda siber sigorta poliçeleri basit bir soru formuyla düzenlenirken, dünya genelinde artan ağır fidye tazminatları sonrasında Lloyd’s ve küresel reasürans devleri “Minimum Siber Hijyen Kriterleri” (Underwriting Controls) dönemini başlatmıştır. Artık sigorta eksperleri fabrikaya gelip güvenlik duvarınızı, yedekleme topolojinizi ve dış dünyaya açık portlarınızı denetlemeden poliçe teklifi dahi vermemektedir.
Siber Güvenlik Sigortası Hangi Zararları Karşılar? (Birinci ve Üçüncü Şahıs Teminatları)
Kapsamlı bir endüstriyel siber güvenlik poliçesi, saldırı anından sistemlerin tamamen normale dönmesine kadar geçen süreçteki iki ana maliyet grubunu üstlenir:
- Birinci Şahıs (Kurumun Kendi) Zararları:
- İş Kesintisi ve Kar Kaybı (Business Interruption): Siber saldırı nedeniyle CNC tezgahlarının, PLC hatlarının veya ERP/sevkiyat sistemlerinin durduğu günler boyunca oluşan net kar kaybı ve sabit giderler.
- Siber Olay Müdahale ve Adli Bilişim (DFIR) Masrafları: Saldırının nereden girdiğini tespit eden 7/24 acil müdahale uzmanlarının, hukuk danışmanlarının ve kriz iletişimi (PR) ajanslarının ücretleri.
- Veri ve Sistem Kurtarma Maliyetleri: Şifrelenen veya silinen veritabanlarının, işletim sistemlerinin ve yazılımların yeniden kurulması için harcanan mühendislik mesaisi.
- Siber Şantaj ve Fidye Teminatı (Cyber Extortion): Yasal mevzuatlar çerçevesinde müzakere uzmanları tarafından yürütülen süreçler.
- Üçüncü Şahıs (Sorumluluk ve Ceza) Zararları:
- KVKK ve GDPR İdari Para Cezaları: Müşteri, tedarikçi veya çalışan kişisel verilerinin sızması sonucunda Kişisel Verileri Koruma Kurumu tarafından kesilen idari cezalar (poliçe özel şartları dahilinde) ve bildirim masrafları.
- Tedarik Zinciri Tazminat Talepleri: Sizin sisteminizden kaynaklanan bir siber bulaşma veya gecikme nedeniyle ana müşterinizin uğradığı zararlardan doğan hukuki davalar.
Sigorta Şirketlerinin Poliçe Öncesi Zorunlu Tuttuğu 5 Temel Şart
Poliçe onayı alabilmek, prim maliyetlerini düşürebilmek ve en önemlisi hasar anında tazminat alabilmek için sahada fiilen çalışır olması gereken 5 teknik kriter şunlardır:
| Sigorta Denetim Şartı | Teknik Kapsam ve Neden Zorunlu? | Karşılanmadığında Sigorta Sonucu |
|---|---|---|
| 1. Çok Faktörlü Kimlik Doğrulama (MFA) | Tüm SSL-VPN bağlantılarında, kurumsal e-postalarda ve Domain Admin / sunucu yönetici hesaplarında MFA zorunluluğu | Poliçe başvurusu doğrudan Reddedilir (Uninsurable) |
| 2. Değiştirilemez (Immutable) ve Air-Gap Yedekleme | Yedeklerin ana etki alanından (Domain) bağımsız, şifrelenemez/silinemez (WORM) ve 3-2-1-1 kuralına uygun tutulması | Fidye ve Veri Kurtarma teminatı poliçe kapsamı dışında bırakılır |
| 3. Uç Nokta Algılama ve Yanıt (EDR / XDR) | Klasik antivirüs yerine davranışsal analiz yapan ve cihazı ağdan otomatik izole edebilen EDR ajanlarının tüm sunucu/PC’lerde bulunması | Prim maliyetinde %50 ile %100 arası artış ve yüksek muafiyet oranı |
| 4. IT / OT Ağ Segmentasyonu ve Firewall | Üretim sahasındaki (OT/SCADA/CNC) makinelerin idari ofis ağından güvenlik duvarı (Firewall) ile tamamen ayrılması | Üretim duruşu (İş Kesintisi) teminat limitlerinin %70 oranında kısıtlanması |
| 5. Düzenli Sızma Testi ve Yama Yönetimi | Yılda en az bir kez bağımsız sızma testi (Pentest) yapılması ve internete açık kritik zafiyetlerin (CVE) 14 gün içinde yamalanması | Hasar anında “Bilinen Açığı Kapatmama / Ağır İhmal” nedeniyle ödeme reddi |
Hasar Anında Tazminat Alamama Riskleri: “Yanlış Beyan” Tuzağı
Sanayi kuruluşlarının en çok dikkat etmesi gereken hukuki ve teknik detay, sigorta başvurusunda doldurulan Siber Risk Değerlendirme Soru Formu (Proposal Form) belgesinin sigorta sözleşmesinin ayrılmaz bir parçası olmasıdır.
Birçok işletmede bu form, sahadaki gerçek teknik durum test edilmeden sadece “Evet / Var” kutucukları işaretlenerek imzalanmaktadır. Oysa fabrikada bir fidye yazılımı vakası yaşandığında, sigorta şirketinin gönderdiği bağımsız Adli Bilişim (Forensics) Eksperi ilk olarak saldırganın ağa nasıl girdiğini ve beyan edilen kontrollerin olay anında aktif olup olmadığını inceler:
- Örnek Red Senaryosu 1 (Açık RDP Portu): Soru formunda “Şirket ağına tüm uzaktan erişimler yalnızca MFA destekli VPN üzerinden yapılmaktadır” seçeneğine “Evet” denilmiş; ancak bakım yapan bir taşeron firma için güvenlik duvarında tek bir sunucuya doğrudan RDP (Port 3389) portu açık unutulmuşsa ve saldırgan buradan girmişse, sigorta şirketi “Sözleşme Beyanına Aykırılık” gerekçesiyle tazminatı ödemeyi reddeder.
- Örnek Red Senaryosu 2 (Domain’e Bağlı Yedekleme): Formda “Yedeklerimiz ağdan izole ve değiştirilemezdir” beyanı verilmiş; ancak yedekleme yapılan NAS cihazı Windows Active Directory etki alanına dahil edilmiş ve Domain Admin şifresini ele geçiren saldırgan hem ana sunucuyu hem de NAS yedeğini aynı anda silmişse, eksper raporu doğrultusunda hasar ödemesi kesintiye uğrar.
- Örnek Red Senaryosu 3 (Logların Silinmesi): Saldırgan içerideki izlerini gizlemek için sunucu loglarını sildiğinde, kurumda merkezi bir SIEM veya KVKK ve 5651 yasal loglama sunucusu yoksa saldırının başlangıç tarihi ve kapsamı kanıtlanamadığı için tazminat süreci aylarca kilitlenir.
Poliçe Öncesi Hazırlık ve Prim Maliyetlerini Düşürme Rehberi
Siber sigorta poliçesi yaptırmadan veya mevcut poliçenizi yenilemeden önce bir ön denetim (Pre-Underwriting Audit) gerçekleştirmek, hem poliçenizin reddedilmesini önler hem de yıllık sigorta primlerinizde %30 ila %45 arasında indirim sağlar:
- Dış Saldırı Yüzeyi Taraması: Sigorta şirketleri teklif vermeden önce şirketinizin alan adını ve sabit IP adreslerini dışarıdan otomatik tarama araçlarıyla (SecurityScorecard, BitSight, Shodan) puanlar. Dışarıya açık unutulmuş portlar, süresi geçmiş SSL sertifikaları ve eksik SPF/DMARC kayıtları temizlenmelidir.
- İzole Yedekleme Mimarisi: Ortak dosya sunucusu ve yedekleme altyapınız gözden geçirilerek fidye yazılımlarının erişemeyeceği Immutable (Değiştirilemez) yedekleme katmanı devreye alınmalıdır.
- Endüstriyel Siber Güvenlik Sıkılaştırması: Fabrika içi VLAN ayrımları ve savunma sanayii ve imalat siber güvenlik standartlarına uygun erişim politikaları dokümante edilmelidir.
Sigorta denetimlerine eksiksiz hazırlanmak, poliçe soru formlarını teknik kanıtlarla doğrulamak ve risk primlerinizi düşürmek için Sızma Testi (Pentest) ve DLP Çözümleri hizmetlerimizi inceleyin.
Sıkça Sorulan Sorular
Geleneksel “Makine Kırılması” veya “Ticari Paket” sigortamız siber saldırı sonucu oluşan üretim duruşunu karşılar mı?
Hayır. Geleneksel sanayi ve yangın poliçelerinde “Siber İstisna Klozu” (Cyber Exclusion Clause - LMA5400 / LMA5401) yer alır. Bir siber saldırı, zararlı yazılım veya veri bozulması sonucunda üretim hatlarınız dursa dahi standart poliçeler bunu kapsam dışı bırakır. Siber kaynaklı iş kesintisi, veri kurtarma ve KVKK cezalarının karşılanabilmesi için özel bir Siber Güvenlik Sigortası poliçesi veya açıkça tanımlanmış siber teminat zeyilnamesi bulunması zorunludur.
Eski işletim sistemi (Windows Server 2008 / Windows 7) kullanan CNC tezgahlarımız var, sigorta onaylar mı?
İmalat sektöründe milyon dolarlık CNC tezgahlarının ve özel test cihazlarının gömülü bilgisayarlarında üretici kısıtlamaları nedeniyle eski işletim sistemleri (End-of-Life OS) bulunabilmektedir. Sigorta şirketleri bu durumu bilir ve makineleri çöpe atmanızı beklemez; ancak bu eski sistemlerin Telafi Edici Kontrollerle (Compensating Controls) korunmasını şart koşar. Bu makinelerin internet çıkışı tamamen kapatıldığında, izole bir OT VLAN’ına alındığında ve önlerine IPS destekli güvenlik duvarı konulduğunda sigorta denetiminden sorunsuz onay alınır.
Siber saldırı anında kendi BT ekibimiz hemen sunuculara format atıp sistemi kurabilir mi?
Siber sigorta poliçeniz varsa, saldırıyı fark ettiğiniz anda sunuculara format atmadan veya diskleri silmeden önce mutlaka poliçedeki 7/24 Acil Siber Olay Müdahale hattına bildirim yapmanız gerekir. Sigorta şirketinin atadığı adli bilişim uzmanları (DFIR) sistemlerin imajını (delil kaydını) almadan sunucular sıfırlanırsa, olayın kök nedeni ve hasar boyutu kanıtlanamayacağı için tazminat hakkınız tehlikeye girebilir. Doğru adım; sunucuları kapatmak yerine ağ kablolarını çekerek (veya EDR üzerinden izole ederek) delilleri korumak ve eşzamanlı olarak yedek ortamdan (DRC) operasyonu ayağa kaldırmaktır.