Sigortacılıkta siber güvenlik: yazılım ve altyapı önlemleri rehberi

Sigortacılıkta siber güvenlik, sigorta şirketinin poliçe, hasar, tahsilat ve müşteri verisini işleyen yazılımlarını, servislerini ve altyapısını yetkisiz erişime, veri sızıntısına ve hizmet kesintisine karşı koruma disiplinidir. Sigorta şirketleri kimlik, sağlık ve finansal bilgi gibi değerli verileri bir arada tuttukları ve çok sayıda dış tarafa bağlandıkları için saldırganlar açısından cazip hedeflerdir.

Bu rehberde sigorta şirketlerine özgü tehdit alanlarını, yazılım geliştirme sürecindeki güvenlik önlemlerini, kimlik ve erişim yönetimini, altyapı ve izleme katmanını ve bir güvenlik programının adım adım nasıl olgunlaştırılacağını ele alıyoruz.

Sigorta şirketleri hangi siber tehditlerle karşı karşıyadır?

Sigorta şirketlerinin başlıca tehditleri fidye yazılımları, oltalama ile ele geçirilen hesaplar, açıkta kalan API'ler, iş ortağı kaynaklı sızıntılar ve içeriden gelen tehditlerdir. Bu tehditlerin ortak noktası, sigorta ekosisteminin geniş ve dağınık yapısından yararlanmalarıdır.

• Fidye yazılımı (ransomware): Sistemleri şifreleyerek poliçe üretimini ve hasar ödemelerini durdurabilir; güncel saldırılarda veri çalınıp ifşa tehdidiyle birlikte kullanılır.
• Oltalama ve kimlik bilgisi hırsızlığı: Çalışan veya acente kullanıcılarının şifreleri ele geçirilerek meşru kullanıcı gibi sisteme girilir.
• API saldırıları: Teklif, poliçe ve hasar servislerindeki yetkilendirme açıkları, bir kullanıcının başka müşterilerin verisine erişmesine yol açabilir.
• Üçüncü taraf riski: Acente yazılımları, eksper ve servis ağları, bankasürans bağlantıları ve yazılım tedarikçileri saldırı için giriş noktası olabilir.
• İçeriden tehdit: Yetkisini aşan ya da kötü niyetli çalışanların toplu veri dışa aktarması.
• Hizmet engelleme (Distributed Denial of Service, DDoS): Özellikle yenileme dönemlerinde veya kampanyalarda satış kanallarının erişilemez hâle gelmesi.
• Dolandırıcılık amaçlı sistem kötüye kullanımı: Sahte hesaplarla teklif sorgulama, otomatik botlarla veri toplama.

Sigorta yazılımında güvenlik hangi katmanlarda ele alınır?

Güvenlik tek bir ürünle değil; uygulama, veri, kimlik, ağ ve altyapı, izleme ve kurtarma katmanlarında birbirini tamamlayan önlemlerle sağlanır. Bu yaklaşım derinlemesine savunma (defense in depth) olarak adlandırılır.

Güvenli yazılım geliştirme süreci nasıl kurulur?

Güvenli yazılım geliştirme yaşam döngüsü (Secure Software Development Life Cycle, SSDLC), güvenliği kod yazıldıktan sonra yapılan bir kontrol olmaktan çıkarıp gereksinimden canlıya kadar her aşamaya yerleştirmek demektir. Sigorta yazılımlarında açıkların önemli bölümü tasarım aşamasında önlenebilir.

SSDLC'nin sigorta projelerindeki temel adımları:

1. Güvenlik gereksinimleri: İş analizinde her ekran ve servis için hangi rolün hangi veriye erişebileceği, hangi alanların maskeleneceği ve hangi işlemlerin loglanacağı yazılır.
2. Tehdit modelleme: Yeni bir kanal veya entegrasyon tasarlanırken "saldırgan bu akışı nasıl kötüye kullanır?" sorusu sistematik olarak sorulur. Örneğin teklif servisinin, kimlik numarası denenerek başka kişilerin bilgilerini sorgulamak için kullanılıp kullanılamayacağı değerlendirilir.
3. Güvenli kodlama standartları: OWASP Top 10 ve OWASP API Security Top 10 listelerindeki açık sınıflarına karşı ekip standartları belirlenir ve kod incelemelerinde kontrol edilir.
4. Otomatik taramalar: Statik kod analizi (SAST), çalışan uygulama üzerinde dinamik analiz (DAST) ve açık kaynak bağımlılıklarındaki bilinen açıkları tespit eden yazılım bileşen analizi (SCA) sürekli entegrasyon hattına eklenir.
5. Gizli bilgi yönetimi: Şifreler, API anahtarları ve sertifikalar kod deposunda değil, merkezi bir gizli bilgi kasasında tutulur.
6. Sızma testi: Önemli sürümlerden önce ve düzenli aralıklarla bağımsız ekiplerce sızma testi (penetration test) yapılır; bulgular risk seviyesine göre takip edilir.
7. Güvenli yayın: Canlıya geçiş onaylı hatlardan yapılır, üretim ortamına doğrudan manuel müdahale sınırlandırılır.

Test otomasyonu ile güvenlik testlerini aynı hatta birleştirmek, her sürümde tekrarlanabilir kontrol sağlar.

API ve dış bağlantılar nasıl korunur?

Sigorta şirketinin dış dünyaya açılan en geniş yüzeyi API'lerdir; acente yazılımları, karşılaştırma platformları, banka kanalları ve mobil uygulamalar bu servisler üzerinden bağlanır. Her dış bağlantı, kimliği doğrulanmış, yetkisi sınırlandırılmış ve izlenen bir kanal olmalıdır.

Temel API güvenliği uygulamaları:

• Bütün dış trafiğin bir API ağ geçidi (API gateway) üzerinden geçmesi.
• OAuth 2.0 ve OpenID Connect gibi standart protokollerle token tabanlı yetkilendirme; iş ortakları için karşılıklı TLS (mTLS) gibi güçlü istemci doğrulama yöntemleri.
• Nesne düzeyinde yetki kontrolü: kullanıcının yalnızca kendi poliçesine, acentenin yalnızca kendi portföyüne erişebilmesi.
• Yanıtlarda yalnızca gerekli alanların döndürülmesi.
• Hız sınırlama ve anormal sorgu desenlerinin tespiti.
• Kullanılmayan, eski sürüm API'lerin envanterde izlenip kapatılması.

Entegrasyon mimarisinin genel ilkelerini sigortacılıkta API entegrasyonu rehberimizde ayrıntılı anlattık. Acente kanalı özellikle önemlidir; çok sayıda bağımsız kullanıcının eriştiği acente portalı çok faktörlü doğrulama ve oturum güvenliği açısından ayrıca ele alınmalıdır.

Kimlik ve erişim yönetimi nasıl kurgulanmalı?

Kimlik ve erişim yönetimi (Identity and Access Management, IAM), doğru kişinin doğru sisteme, doğru yetkiyle ve doğru süre boyunca erişmesini sağlar. Sigorta şirketlerindeki güvenlik olaylarının önemli bir bölümü ele geçirilmiş ya da gereğinden fazla yetkiye sahip hesaplarla başlar.

Öne çıkan uygulamalar:

• Çok faktörlü kimlik doğrulama (MFA): Çalışanlar, acenteler, uzaktan erişim ve yönetici hesapları için zorunlu.
• En az yetki ilkesi: Roller görev tanımına göre tasarlanır; yetkiler düzenli olarak gözden geçirilir.
• Görevler ayrılığı: Hasar ödemesini oluşturan ve onaylayan kişilerin ayrı olması gibi kritik işlem kontrolleri.
• Ayrıcalıklı erişim yönetimi (Privileged Access Management, PAM): Veritabanı ve sunucu yöneticisi hesaplarına erişimin kasadan, oturum kaydıyla ve süreli olarak verilmesi.
• Yaşam döngüsü yönetimi: İşten ayrılan çalışan veya sözleşmesi biten acentenin erişiminin gecikmeden kapatılması.
• Sıfır güven (zero trust): Ağ içinde olmanın güven sebebi sayılmaması; her erişim isteğinin kimlik, cihaz ve bağlam üzerinden doğrulanması.

Altyapı, izleme ve kurtarma katmanında neler yapılmalı?

Altyapı güvenliğinin amacı saldırganın hareket alanını daraltmak, saldırıyı erken fark etmek ve gerektiğinde hizmeti hızla geri getirmektir.

Ağ segmentasyonu ile poliçe ve hasar veritabanları, kullanıcı bilgisayarlarının bulunduğu ağdan ayrılmalıdır. Sunucu ve uç nokta yamaları planlı bir takvimle uygulanmalı, sistemler sıkılaştırılmış yapılandırmalarla kurulmalıdır. Uygulama, veritabanı, kimlik ve ağ logları merkezi bir güvenlik bilgi ve olay yönetimi (Security Information and Event Management, SIEM) sistemine toplanmalı; bir güvenlik operasyon merkezi (Security Operations Center, SOC), şirket içinde ya da hizmet olarak, bu olayları sürekli izlemelidir.

Fidye yazılımına karşı en etkili son savunma hattı yedeklemedir. Yedeklerin en az bir kopyası çevrim dışı veya değiştirilemez olmalı, geri yükleme düzenli olarak test edilmelidir. İş sürekliliği ve felaket kurtarma planı; poliçe üretimi, hasar ödemesi ve tahsilat gibi kritik süreçler için kabul edilebilir kesinti süresini ve veri kaybı toleransını tanımlamalı ve tatbikatlarla doğrulanmalıdır.

Bu teknik önlemler kişisel veri korumasıyla doğrudan bağlantılıdır; bir güvenlik olayı çoğu zaman aynı zamanda bir kişisel veri ihlalidir ve bildirim yükümlülüklerini tetikler. Bu konuyu KVKK uyumlu sigorta yazılımı rehberimizde ele aldık. Önlemlerin bir yönetim sistemi içinde sürdürülmesi için ISO 27001 çerçevesi yaygın olarak kullanılır.

Siber güvenlik kontrol listesi

• Yeni geliştirmelerde güvenlik gereksinimleri ve tehdit modellemesi yapılıyor mu?
• SAST, DAST ve bağımlılık taramaları sürekli entegrasyon hattında çalışıyor mu?
• Bütün dış API'ler ağ geçidi, token tabanlı yetki ve nesne düzeyinde kontrolle korunuyor mu?
• Çalışan, acente ve yönetici hesaplarında MFA zorunlu mu?
• Ayrıcalıklı hesaplar kasadan, oturum kaydıyla kullanılıyor mu?
• Kritik veritabanları ağ segmentasyonuyla ayrılmış mı?
• Loglar merkezi olarak toplanıp izleniyor mu?
• Değiştirilemez yedekler var ve geri yükleme test edildi mi?
• Olay müdahale planı ve iletişim zinciri güncel mi, tatbikatı yapıldı mı?
• Yazılım tedarikçileri ve iş ortakları için güvenlik gereksinimleri sözleşmelerde tanımlı mı?

ProdayTech olarak sigorta projelerinde güvenlik gereksinimlerini iş analiziyle birlikte yazıyor, güvenlik testlerini teslimat hattının parçası olarak kurguluyoruz. Güvenli yazılım geliştirme ve entegrasyon desteği için hizmetlerimize göz atabilirsiniz.