Bulut sistemleri yaygınlaştıkça, siber riskler de giderek artıyor. Giderek daha fazla şirket operasyonlarını yürütmek için bulut sistemlerine ihtiyaç duyarken, ölçek ekonomileri de pazarı domine eden yeni bulut sistemi hizmet sağlayıcıları geliştiriyor. Bulut hizmeti sunan az sayıdaki şirkete olan bu bağımlılık, bulut hizmetlerinden faydalanan diğer şirketler için sistematik bir risk oluşturuyor. Büyük bir bulut hizmeti sağlayıcısının hizmetlerinde uzun süreli bir kesinti olması durumunda, bu hizmetlere bel bağlayan diğer şirketlerin zarar görmesi ve katastrofik boyutlara ulaşan maddi bir hasar oluşması da kaçınılmaz.
Lloyd’s’un, AIR Worldwide işbirliğiyle hazırladığı “Cloud Down” isimli yeni raporu, büyük bir bulut sağlayıcı sistemin çökmesi sonucunda olabilecekleri ve böyle bir kesintinin en gelişmiş siber sigorta pazarına sahip ABD’deki 12.4 milyon işletme üzerinde yaratacağı finansal etkiyi mercek altına alıyor. ABD’deki en büyük 15 bulut hizmeti sağlayıcısının baz alındığı rapor çarpıcı sonuçlar ortaya koyuyor.
BİLGİ TEKNOLOJİLERİNDE ‘TÜKETİCİLİK’ DÖNEMİ
İşletmeler artık bilgi teknolojileri (BT) için “tüketici” konumuna geçtikleri bir dönem yaşıyor. McKinsey & Company’nin bir raporuna göre 2015 yılında, en az bir iş yükü için temel olarak kullanılan BT altyapısını şirket içindeki bilgisayarlar ve sunucular gibi geleneksel yöntemlerle oluşturmuş şirketlerin oranı %77’yken, 2018 sonunda bu oranın %43’e düşmesi bekleniyor. 2015 yılında en az bir iş yükü için esas olarak ortak kullanıma açık altyapıları kullanan şirketlerin oranı sadece %25’ken, 2018 sonunda bu oranın %37’ye yükseleceği öngörülüyor. Bu dönüşüm de ortak kullanıma açık bulut hizmeti sektörünün büyümesini tetikliyor. 2014 ile 2026 yılları arasında bulut hizmeti sektörünün iş hacminin yıllık bileşik büyüme oranının %36 oranında gerçekleşeceği düşünülüyor.
Bulut hizmet sağlayıcıları etrafında siber riskler de artıyor. Sigortacılar, müşterilerinin hangi hizmet sağlayıcısını kullandığını ve bu hizmetlerden ne kadar yararlandığını bilemediği için durum daha da çetrefilli bir hal alıyor. Bu sebeple Lloyd’s raporunu hazırlarken kullanacağı senaryolarda bulut hizmet sağlayıcısının pazar payı üzerinden hesaplama yaptığını açıklıyor. Yani, hizmet sağlayıcının bu alandaki pazar payı %30’da, sigortacının portföyünün de %30’unun etkileneceği varsayılıyor.
BİR HAFTAYI GEÇEN KESİNTİLER DE MÜMKÜN
Bir bulut servisi sağlayıcısının çökmesine yol açabilecek pek çok etken bulunuyor. Kötü niyetli bir yazılım ya da başka türlü bir siber saldırı sonucunda hizmetler kesintiye uğrayabileceği gibi, çalışanlardan kaynaklanan hataların da sistemin çökmesine yol açabileceği belirtiliyor. AIR Worldwide’a göre, bulut hizmetlerinde bir günlük kesinti olması normal bir durum, ancak her ne kadar uç bir örnek olsa da bir haftayı geçen kesintiler de mümkün.
Bulut hizmeti sağlayıcısının servislerinin kesintiye uğramasının yaratacağı maddi kayıplar, kesintinin süresine ve ABD’deki kaç işyerinin o sağlayıcının hizmetlerini kullandığına göre değişiyor. Siber sigorta pazarının bugünkü büyüklüğü göz önüne alındığında, ABD’deki en büyük üç bulut hizmeti sağlayıcısından birinin servislerinin 3 ile 6 gün arasında kesintiye uğramasının ekonomik hasarının 6.9 ile 14.7 milyar dolar arasında olabileceği belirtiliyor. Sigortalı hasarın ise 1.5 ile 2.8 milyar dolar arasında değişeceği ifade ediliyor.
Pazar payı büyüklüğüne göre sıralamada 10 ila 15’incilik arasında bulunan bulut hizmeti sağlayıcı şirketlerden herhangi birinin 3 ile 6 gün arasında offline olması durumundaysa, 1.1 ile 2.1 milyar dolar arasında ekonomik hasar, 220 ile 450 milyon dolar arasındaysa sigortalı hasar öngörülüyor.
EN ÇOK İMALAT SEKTÖRÜ ETKİLENECEK
3-6 gün arasında yaşanacak olası bir kesintide ekonomik hasarın %37’sinin, sigortalı hasarınsa %43’ünün Fortune 1000 listesinde yer alan şirketlerden gelmesi bekleniyor. Ayrıca, yine aynı uzunluktaki bir kesintide 4.2 ile 8.6 milyar dolar arasında bir ekonomik hasarın imalat sektöründen, 1.4 ile 3.6 milyar dolar arasında bir ekonomik hasarın da toptan ve perakende satış sektöründen geleceği ifade ediliyor. Raporda, olası bir kesintiden en çok etkilenecek sektörlerin bu ikisi olduğunun altı çiziliyor.
Lloyd’s, ortaya çıkan bu rakamların, bir siber riskin gerçekleşmesi durumunda katastrofik bir etki yaratabileceğini ortaya koyduğuna dikkat çekiyor. Bulut hizmetinin kesintiye uğraması gibi siber olayların sürekli evrimleşen doğası, geçmişte olmuş vakalardan yola çıkarak gelecekte olabilecek hasarları öngörmeyi oldukça zorlaştırıyor. İnsan faktörünün de eklendiği siber saldırı vakalarındaysa belirsizlik iyice artıyor. Siber suçlular giderek kendilerini geliştiriyor ve saldırıların çapı da giderek büyüyor.
Olası bir siber felaketin yaratabileceği potansiyel hasar hem sigortacıları hem de sigortalıları korkutuyor. Her ne kadar siber risklere dair farkındalık artsa da, küresel siber sigorta prim üretiminin %90’ına ev sahipliği yapan ABD’de bu branştaki penetrasyon %30 oranında, İngiltere ve diğer gelişmiş ülkelerdeyse çok daha düşük seviyelerde. Lloyd’s’a göre, düşük sigortalılık oranları, siber sigortaların hâlâ büyük bir potansiyel taşıdığını gözler önüne seriyor.
Sigortacıların siber riskleri daha iyi anlaması ve daha geniş teminatlarla doğru fiyatlayarak ihtiyacı karşılayacak ürünler sunmaları gerekiyor. Şu an bakıldığında, sektördeki birçok ürünün veri ihlallerinden kaynaklanan hasarların yanı sıra sorumluluk hasarlarını kapsadığı, ancak iş durması gibi teminatları içermediği görülüyor. Lloyd’s, bu açıdan sektörün alacağı çok yol olduğunu, ancak siber sigorta pazarının büyüyerek gelişmesinin hem kaçınılmaz hem de gerekli olduğunu vurguluyor.