Siber sigorta: genel şartı olmayan branş

Genel şartın olmaması ne demek?

Türkiye'de sigorta branşlarının çoğunda bir genel şart bulunur: teminatın çerçevesini, istisnaları ve tarafların yükümlülüklerini belirleyen ortak metin. Hangi şirketten alırsan al, bu çerçeve aynıdır.

Siberde böyle bir ortak metin yok. Teminatın kapsamı, istisnalar, bildirim süreleri ve tazminatın hesabı tamamen şirketin kendi özel şartlarında kuruluyor.

Bu, ürünü kötü yapmıyor; ama karşılaştırmayı zorlaştırıyor. İki poliçe aynı adı taşıyıp çok farklı şeyler kapsayabiliyor.

Tipik olarak neler kapsanır?

Piyasadaki poliçeler genellikle iki ana blok kuruyor.

Kendi zararların

• Olaya müdahale. Adli bilişim incelemesi, uzman desteği, sistemin temizlenmesi.
• Veri ve sistemin geri getirilmesi. Yedekten dönüş, yeniden kurulum.
• İş durması. Sistemlerin çalışmadığı dönemdeki gelir kaybı.
• Fidye yazılımı. Kapsam ve koşulları poliçeden poliçeye en çok değişen başlık.
• İtibar yönetimi. Kriz iletişimi ve bilgilendirme masrafları.

Üçüncü kişilere karşı sorumluluk

• Veri ihlalinden doğan talepler. Müşteri ya da çalışan verisinin ele geçirilmesi.
• İdari para cezaları. Kapsanıp kapsanmadığı poliçeye göre değişir ve hukuki tartışma konusudur.
• Bildirim masrafları. İlgili kişilere ve kuruma yapılacak bildirimler.
• Savunma masrafları. Avukatlık ve dava giderleri.

İkinci listenin ikinci maddesi özellikle dikkat ister. İdari para cezalarının sigortalanabilirliği tartışmalı bir alan; poliçede açık bir hüküm yoksa varsaymamak gerekiyor.

KVKK ile ilişkisi

Kişisel verilerin korunması mevzuatı, veri ihlali hâlinde veri sorumlusuna bildirim yükümlülüğü getiriyor. Bu yükümlülük sigortadan bağımsız; poliçe olsun olmasın yerine getirilmesi gerekiyor.

Sigortanın yaptığı şey, bu sürecin maliyetini ve yönetimini üstlenmek: hangi verinin etkilendiğinin tespiti, bildirimlerin hazırlanması, hukuki destek.

Bu yüzden siber poliçenin en çok işe yarayan tarafı çoğu zaman tazminat değil, olayın ilk 48 saatinde gelen destek oluyor.

Sık karşılaşılan istisnalar

Genel şart olmadığı için istisnalar da poliçeden poliçeye değişiyor. Yine de sıkça karşılaşılanlar şunlar:

• Bilinen açıklar. Daha önce tespit edilmiş ve kapatılmamış güvenlik açıklarından doğan zararlar.
• Temel önlemlerin alınmamış olması. Yedekleme ya da güncelleme şartının yerine getirilmemesi.
• Donanım hasarı. Fiziksel cihaz zararı genellikle başka bir poliçenin konusu.
• Sözleşmesel cezalar. Müşteriyle yapılan sözleşmedeki cezai şartlar.
• İçeriden kasıtlı eylemler. Kapsamı poliçeye göre değişir.

İkinci madde, poliçeyi alırken verilen beyanla doğrudan bağlantılı. Sigortacıya "yedekleme yapıyoruz" denip yapılmıyorsa, hasar anında bu bir istisna olarak karşına çıkıyor.

Poliçe yapılırken sorulanlar

Siber poliçelerde soru listesi diğer branşlardan daha teknik. Yaygın olarak sorulanlar:

1. Yedekleme var mı, ne sıklıkta, yedekler sistemden ayrı mı tutuluyor?
2. Çok adımlı doğrulama kullanılıyor mu?
3. Güncellemeler düzenli yapılıyor mu?
4. Daha önce bir siber olay yaşandı mı?
5. Hangi tür ve ne kadar kişisel veri tutuluyor?

Bu sorular beyan yükümlülüğünün konusu. Verilen cevap gerçeği yansıtmıyorsa, hasar gününde kapsam tartışması kaçınılmaz oluyor — ve siberde bunun ispatı diğer branşlardan daha kolay, çünkü sistem kayıtları konuşuyor.

Bir siber olayın ilk günü

Poliçenin değeri, çoğu zaman tazminat aşamasında değil olayın ilk saatlerinde ortaya çıkıyor. Tipik sıra şöyle işliyor:

1. Fark etme. Sistemler yavaşlıyor, dosyalar açılmıyor ya da bir fidye notu beliriyor.
2. İzolasyon. Etkilenen sistemlerin ağdan ayrılması; yayılmanın durdurulması.
3. Bildirim. Sigortacının siber hattına haber verilmesi; poliçede bu süre tanımlı.
4. Müdahale ekibi. Adli bilişim incelemesi, etkilenen verinin tespiti.
5. Yasal bildirimler. Kişisel veri etkilendiyse mevzuatın aradığı bildirimler.
6. Geri dönüş. Yedekten kurtarma ve sistemin yeniden açılması.

Üçüncü adımın yeri önemli: bildirimin müdahaleden önce gelmesi gerekiyor. Kendi başına temizlik yapılan sistemlerde delil kayboluyor ve hem tespit hem de tazminat zorlaşıyor.

Teklif karşılaştırırken

1. Teminat listelerini yan yana koy. Aynı adı taşıyan poliçeler farklı şeyler kapsıyor.
2. Fidye yazılımı kapsamda mı, hangi koşullarla?
3. İş durması için bekleme süresi var mı?
4. Olaya müdahale ekibi poliçeye dahil mi, yoksa kendin mi bulacaksın?
5. Bildirim süresi ne kadar?
6. İstisnalar bölümünü baştan sona oku; en büyük farklar orada.

Genel şartı olmayan bir branşta altıncı madde en kritik olanı. Diğer branşlarda istisnaları zaten biliyoruz; siberde her poliçenin kendi listesi var.

Sık sorulanlar