Siber Sigorta E-Ticaret İşletmeleri İçin: Hangi Riskleri Kapsar?

Siber saldırılar artık "büyük şirketlerin sorunu" olmaktan çıkıp orta ölçekli ve küçük e-ticaret işletmelerinin de gündelik gerçekliği haline gelmiştir. Türkiye'de siber sigorta pazarı 2020'lerin başından itibaren hızla büyümektedir; ancak işletme sahiplerinin büyük çoğunluğu siber sigorta poliçesinin tam olarak neyi kapsadığını ve neyi kapsamadığını hâlâ bilmemektedir.

Bu rehberde, siber sigorta ürününün bileşenlerini, e-ticaret işletmelerine özgü risk profilini ve doğru poliçeyi seçerken dikkat edilmesi gereken kriterleri ele alıyoruz.

Neden Siber Sigorta?

Teknik güvenlik önlemleri siber riskleri azaltır ancak sıfıra indirmez. Fidye yazılımı saldırısı, veri ihlali veya iş kesintisi yaşandığında maliyetler şaşırtıcı düzeyde olabilir:

Olay müdahale maliyetleri: Adli bilişim uzmanlığı, hukuki danışmanlık, iletişim ajansı
Gelir kaybı: Site kesintisi süresince gerçekleşmeyen satışlar
Bildirim maliyetleri: Etkilenen kişilere bildirim gönderme, çağrı merkezi kurma
İdari cezalar: KVKK kapsamındaki para cezaları
Üçüncü taraf talepleri: Müşterilerin açacağı tazminat davaları
Marka onarım: İtibar yönetimi ve halkla ilişkiler

Siber sigorta, bu maliyetlerin tamamını veya önemli bir bölümünü karşılamayı amaçlar.

Siber Sigorta Poliçesinin Ana Bileşenleri

1. Birinci Taraf Teminatları (First-Party Coverage)

Bu teminatlar, siber olayın doğrudan işletmenize verdiği zararı karşılar.

İş Kesintisi (Business Interruption)

Siber saldırı sonucunda sitenizin devre dışı kaldığı süre boyunca elde edemediğiniz geliri karşılar. Poliçelerde genellikle bir bekleme süresi (24-72 saat) ve azami kapsam süresi (30-180 gün) yer alır.

E-ticaret işletmeleri için özellikle kritiktir; çünkü yoğun dönemlerde (yılbaşı, bayram, kampanya dönemleri) bir günlük kesinti yüksek gelir kaybına yol açabilir.

Veri Kurtarma

Siber saldırı, sabotaj veya kötü amaçlı yazılım nedeniyle kaybedilen veya bozulan verilerin kurtarılması ve yeniden oluşturulması masraflarını karşılar.

Fidye Yazılımı Ödemeleri

Fidye yazılımı saldırısı sonucunda talep edilen fidye ödemelerini ve kripto para cinsinden ödeme altyapısını kapsar. Ancak bu teminat tartışmalı bir konudur; ödeme yapılmasının saldırıları teşvik edip etmediği konusundaki etik tartışma sürüyor. Bazı poliçeler fidye ödemesini birincil seçenek yerine son çare olarak ele alır.

Siber Gasp

Veri yayınlama, DDoS saldırısı veya sistem erişimini engelleme tehdidiyle talep edilen ödemeleri kapsar.

Olay Müdahalesi

Güvenlik ihlali yaşandığında ihtiyaç duyulan adli bilişim uzmanları, hukuki danışmanlar ve kriz iletişim uzmanlarının ücretlerini karşılar. İyi bir siber sigorta poliçesi, bu uzmanlara 7/24 erişim sağlayan bir müdahale hattı sunar.

Kriz İletişimi

İtibar hasarını en aza indirmek için halkla ilişkiler ve marka yönetimi hizmetlerinin masraflarını karşılar.

2. Üçüncü Taraf Teminatları (Third-Party Coverage)

Siber olayın etkilediği müşteriler, iş ortakları veya tedarikçilerin taleplerinden kaynaklanan masrafları karşılar.

Ağ Güvenliği Sorumluluğu

Sisteminizdeki güvenlik açığından faydalanarak müşterilerinizin verilerinin çalınması veya sistemlerinizin üçüncü taraflara saldırı aracı olarak kullanılması sonucunda açılan davalardaki savunma ve tazminat masraflarını karşılar.

Gizlilik İhlali Sorumluluğu

Kişisel veri ihlali sonucunda etkilenen kişilerin ya da düzenleyici kurumların taleplerini karşılar. KVKK kapsamındaki idari para cezalarının poliçe kapsamına alınıp alınmadığını sorgulamanız önemlidir; bazı poliçeler idari cezaları kapsam dışı tutar.

Medya Sorumluluğu

Web sitenizdeki içerikten kaynaklanacak telif hakkı ihlali, hakaret veya iftira iddialarına karşı teminat sağlar.

Teknoloji Hizmetleri Hatası

Eğer başkalarına e-ticaret hizmeti veya yazılım satıyorsanız, sunduğunuz hizmetin arızası nedeniyle müşterilerinize verilen zararı kapsar.

E-Ticaret'e Özgü Risk Profili

Sigorta şirketleri, risk değerlendirmesinde işletmenin faaliyet alanına göre farklı kriterlere bakar. E-ticaret işletmeleri için öne çıkan risk faktörleri şunlardır:

Kart Verisi Riski

Kart ödemesi işleyen veya depolayan sistemler, saldırganlar için yüksek değerli hedeflerdir. PCI DSS uyum durumunuz, sigorta primini doğrudan etkiler. Tokenizasyon ve PCI uyumlu ödeme altyapısı kullanan işletmeler daha düşük prim ödeyebilir.

Tedarik Zinciri Riski

E-ticaret platformları genellikle çok sayıda üçüncü taraf entegrasyonu (kargo API'si, ödeme sağlayıcısı, reklam pikseli, müşteri hizmetleri araçları) barındırır. Bu entegrasyonlardan herhangi birinin güvenliğinin ihlali, sizi doğrudan etkileyebilir. Poliçenizin tedarik zinciri kaynaklı ihlalleri kapsayıp kapsamadığını kontrol edin.

Mevsimsel Trafik Zirvesi

Yılbaşı ve Ramazan gibi yoğun dönemlerde e-ticaret siteleri hem çok daha fazla trafik alır hem de saldırıların görece değer taşıdığı dönemler haline gelir. İş kesintisi teminatınızın bu dönemlerdeki gelir profilinizi yansıtıp yansıtmadığını değerlendirin.

Sigorta Kapsamı Dışında Kalan Konular

Siber sigorta poliçelerinde tipik olarak kapsam dışı tutulan konular:

Bilerek yapılan hatalar: Çalışanın kasıtlı eylemi sonucu oluşan kayıplar
Savaş ve terör: Devlet destekli siber saldırılar (bazı poliçeler siber savaş istisnası içerir; son yıllarda bu konu tartışmalı hale gelmiştir)
Altyapı arızası: İnternet servis sağlayıcısı veya elektrik kesintisi kaynaklı kesintiler
Mevcut açıklar: Poliçe başlangıç tarihinden önce var olan güvenlik açıkları
İtibar hasarı (bazı poliçelerde): Veri ihlali dışındaki nedenlerle oluşan itibar hasarı
Kötü kod kalitesi: Güvenli kodlama uygulamalarını uygulamadığınız için oluşan zararlar

Türkiye'de Siber Sigorta Sağlayıcıları

Türkiye'de siber sigorta sunan başlıca kurumlar şunlardır:

Axa Sigorta: "Dijital Riskler Sigortası" ürünüyle ticari müşterilere hizmet vermektedir. KOBİ segmentine yönelik paket çözümler sunar. Mapfre Sigorta: Siber risk poliçelerini büyük ölçekli işletmelere odaklanarak sunar; ancak e-ticaret segment KOBİ'ler için de çözümleri mevcuttur. Allianz Türkiye: Kurumsal ve KOBİ müşterilerine yönelik siber sigorta ürünlerine sahiptir. Zurich Sigorta: Global siber sigorta uzmanlığını Türkiye pazarına taşıyan sağlayıcılardan biridir. HDI Sigorta: Siber güvenlik teminatını ticari paket poliçelere entegre etmiştir.

Uluslararası aracılar (broker) üzerinden erişilebilen Lloyd's of London ve diğer uluslararası sigorta havuzları da yüksek cirolı Türk e-ticaret işletmeleri için bir seçenektir.

Doğru Poliçeyi Seçerken Dikkat Edilmesi Gerekenler

Risk Değerlendirmesi Yapın

Poliçe almadan önce kendi risk profilinizi değerlendirin:

Yıllık ne kadar kart işlemi yapıyorsunuz?
Kaç kişisel veri kaydı tutuyorsunuz?
Siteniz ne kadar süre kesintide kalabilir?
Mevcut güvenlik altyapınızın olgunluğu nedir?

Önemli Sözleşme Maddeleri

Bekleme süresi: İş kesintisi teminatı ne zaman devreye girer?
Geri ödeme limitleri: Her teminat kalemi için ayrı limit mi var?
Coğrafi kapsam: Yurt dışına satış yapıyorsanız global kapsam var mı?
Sigorta şirketinin müdahale hattı: 7/24 erişilebilir mi?
İdari ceza kapsamı: KVKK cezaları dahil mi?
Tedarikçi riski: Bulut hizmet sağlayıcısının kesintisi kapsama giriyor mu?

Prim Maliyeti

Siber sigorta primini etkileyen başlıca faktörler:

İşletme büyüklüğü (ciro, çalışan sayısı)
İşlenen veri miktarı ve hassasiyeti
Mevcut güvenlik önlemleri (MFA, EDR, yedekleme)
Sektör (e-ticaret orta-yüksek risk kategorisindedir)
Geçmiş güvenlik olayları

Olay Müdahalesi: Sigorta Devreye Girince Ne Olur?

Siber olay yaşandığında izlemeniz gereken adımlar:

Sigorta şirketini derhal arayın: Poliçenizde belirtilen acil müdahale hattını 24-72 saat içinde arayın.
Delilleri koruyun: Sistemi tamamen temizlemeden önce adli inceleme için log kayıtlarını ve etkilenen sistemlerin görüntülerini alın.
Kapsamı değerlendirin: Sigorta şirketi genellikle olay müdahale uzmanı atar.
KVKK bildirimi: Kişisel veri ihlali söz konusuysa 72 saat içinde KVKK'ya bildirim yapma yükümlülüğünüzü yerine getirin; sigorta şirketinin hukuk ekibi bu süreçte destek sağlayabilir.
Kaybı belgeleyin: İş kesintisi tazminatı için gelir kayıplarını kayıt altına alın.

Sonuç

Siber sigorta, güçlü bir güvenlik altyapısının yerini alamaz; ancak güvenlik önlemlerinin yetersiz kaldığı durumlarda işletmenizin hayatta kalmasını sağlayan finansal güvenlik ağıdır. E-ticaret işletmeleri için özellikle kart verisi ihlali sorumluluğu, iş kesintisi ve olay müdahalesi teminatlarına odaklanın.

Bir sigorta brokerıyla çalışmak, farklı poliçeleri karşılaştırmanızı ve gerçek ihtiyacınıza göre yapılandırılmış bir poliçe almanızı kolaylaştırır. Yıllık sigorta primini, olası bir siber olayın tahmini maliyetiyle karşılaştırdığınızda tablo genellikle net bir şekilde ortaya çıkar.