Why Your Cyber Insurance Could Be Useless Without DMARC

Siber sigorta artık kurumsal risk yönetiminin temel bir parçası. Ancak işletmelerin büyük çoğunluğunun gözden kaçırdığı şu nokta var: e-posta alan adınızı güvence altına aldığınızı kanıtlayamazsanız poliçeniz sizi korumayabilir.

Uygun e-posta kimlik doğrulaması (DMARC, SPF, DKIM) olmadan kapsam daraltılabilir, primler artabilir — ve tazminat talepleri doğrudan reddedilebilir. Bu varsayımsal değil — işletmelere şu an yaşanmaktadır.

Gerçek Tehdit: Kimlik Avı ve Kimlik Sahteciliği

Kurumsal E-posta Dolandırıcılığı (BEC) ve kimlik avı, dünya genelindeki siber olayların başlıca sürücüleri olmayı sürdürmektedir. FBI'ın İnternet Suçları Şikayet Merkezi (IC3), yalnızca 2023'te 2,9 milyar doları aşan BEC kayıplarını raporladı. Saldırganlar güvenilir markaların kimliğine bürünmek ve para ya da veri elde etmek için kimliği doğrulanmamış alan adlarını istismar etmektedir.

Saldırı kalıbı tutarlıdır: Bir tehdit aktörü alan adınızı taklit eder, tedarikçinize veya müşterinize sahte bir fatura ya da havale talebi gönderir ve kimse farkına varmadan para el değiştirir. Kötü amaçlı yazılım yok, teknik bir ihlal yok — yalnızca sizden geliyormuş gibi görünen kimliği doğrulanmamış bir e-posta.

Sigortacılar bunu bilmektedir. Bu nedenle eksik e-posta kimlik doğrulama kontrolleri şunlara yol açabilir:

• Yenileme sırasında primlerinizin %15-40 artması
• Sosyal mühendislik olaylarına ilişkin kapsam limitlerinin azaltılması
• Bir olayın ardından, asgari güvenlik standartlarını karşılamamayı gerekçe göstererek tazminat taleplerinin reddedilmesi

Alan adınız taklit edilebiliyorsa sigortacılar bunu bilinen ve önlenebilir bir güvenlik açığı olarak değerlendirmektedir. Poliçe yazımı sürecinde bunu inceleyecekler — ve yeniden, bir tazminat talebi sunduğunuzda.

DMARC, SPF ve DKIM: E-posta Güveninin Üç Temel Direği

Her kontrolün ne yaptığını anlamak, güvenlik duruşunuzu poliçe yazarlarına açıklamanızı kolaylaştırır:

• SPF (Sender Policy Framework) - Alan adınız adına e-posta göndermeye yetkili IP adreslerini tanımlar. Eksik ya da aşırı izin verici bir SPF kaydı, herkesin sizin adınıza e-posta göndermesine olanak tanır.
• DKIM (DomainKeys Identified Mail) - Giden e-postalara kriptografik bir imza ekler. Alıcılar mesajın iletim sırasında değiştirilmediğini doğrulayabilir.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) - SPF ve DKIM'i bir araya getirir. Görünür From: adresini kimlik doğrulama sonuçlarıyla hizalar ve alıcı sunuculara başarısızlıklarla tam olarak nasıl başa çıkılacağını söyler: izle, karantinaya al veya reddet.

p=none olarak ayarlanmış bir DMARC politikası yalnızca izleme amaçlıdır — veri toplar ancak kimseyi korumaz. Sigortacılar uygulama arar: p=quarantine veya p=reject. p=none ile p=reject arasındaki fark, "taklit edildiğimizi biliyoruz" ile "taklit, gelen kutularına ulaşmadan engelleniyor" arasındaki farktır.

Poliçe Yazarlarının Yenileme Sürecinde Gerçekte Kontrol Ettikleri

Siber sigorta poliçe yazım anketleri 2022'den bu yana belirgin biçimde daha teknik bir hal aldı. Büyük sigortacıların çoğunluğunun artık e-posta güvenliği hakkında sorduğu sorular şunlardır:

• Tüm gönderim alan adlarınız için SPF kayıtları yayımladınız mı?
• Tüm giden e-posta akışları için DKIM yapılandırdınız mı?
• DMARC politikanız p=quarantine veya p=reject olarak ayarlı mı?
• Yetkisiz göndericiler için DMARC raporlarını izliyor musunuz?
• E-posta tabanlı saldırılar için belgelenmiş bir olay müdahale planınız var mı?

Birden fazla maddeye "hayır" yanıtı vermek, sosyal mühendislik ve BEC olayları için genellikle daha yüksek primlere ya da kapsam dışı bırakmalara yol açar — tam da işinizi etkileme ihtimali en yüksek olan kategori.

Siber Sigorta Redleri Artıyor

Sektör verileri, olaylar ile ödemeler arasındaki sürtüşmenin büyüdüğünü göstermektedir. Son analizler, siber sigorta taleplerinin %40-54'ünün bir tür itirazla ya da kısmi retlerle karşılaştığını ortaya koymaktadır. BEC ile ilişkili talepler arasında, eksik ya da yanlış yapılandırılmış e-posta güvenlik kontrolleri, tartışmalı davaların önemli bir bölümünde katkıda bulunan faktör olarak öne çıkmaktadır.

Başlıca posta kutusu sağlayıcıları — Gmail, Yahoo ve Apple Mail — toplu göndericiler için halihazırda katı kimlik doğrulama gerektirmektedir. Aynı teknik baskı şimdi sigortacılara da ulaşmaktadır; sigortacılar, sağlayıcı gereksinimlerini "makul güvenlik önlemleri" sayılacak şeyin temeli olarak kullanmaktadır.

Bu gereksinimleri karşılamamak sizi iki katmanlı bir riske maruz bırakır: kimliği doğrulanmamış alan adınızı istismar eden saldırganlara ve poliçenizin kayıpları karşılamadığı durumlarda olay sonrası mali riske.

Kurucular, CTO'lar ve Risk Yöneticileri için: Şimdi Ne Yapmalısınız?

Siber sigorta ödüyorsanız bunu paralel olarak yapmanız gerekir:

1. Mevcut duruşunuzu denetleyin: E-posta için kullandığınız her alan adında — pazarlama araçları, İK sistemleri ve CRM platformları tarafından kullanılan alt alan adları dahil — bir DMARC denetimi çalıştırın.
2. Önce SPF ve DKIM'i düzeltin: DMARC uygulaması her ikisinin de doğru olmasına bağlıdır. Bozuk bir SPF kaydı ya da eksik DKIM imzası, reddetme politikasıyla bile kimlik doğrulama başarısızlıklarına neden olur.
3. DMARC politikanızı yükseltin: p=none'dan p=quarantine'e ve sonunda p=reject'e geçin. Bu, sigortacıların en çok önemsediği adımdır.
4. Kanıtları saklayın: DMARC toplu raporlarını, DNS değişiklik günlüklerini ve yapılandırma dışa aktarımlarını muhafaza edin. Bunlar, bir tazminat talebi itirazla karşılaştığında denetim izinizdir.
5. Sürekli izleyin: Yeni e-posta hizmetleri, gizli BT ve DNS değişiklikleri kimlik doğrulamayı sessizce bozabilir. Otomatik izleme, açıkları olay haline gelmeden yakalar.

Güvenlik bir onay kutusunu işaretlemek değildir — süregelen bir operasyonel sorumluluktur. İyi haber şu: DMARC, doğru araçlarla bir kez düzgün yapılandırıldığında büyük ölçüde kendiliğinden işler.

DMARCFlow, Sigortacı Gereksinimlerini Karşılamanıza Nasıl Yardımcı Olur?

DMARCFlow, tam da bu kullanım durumu için geliştirilen araçlarla sizi riskten dayanıklılığa taşır:

• Alan adı taraması, tüm alan adlarınızdaki yanlış yapılandırılmış SPF, DKIM ve DMARC kayıtlarını belirler
• Kimlik doğrulama bozulduğunda veya yeni yetkisiz göndericiler göründüğünde anlık uyarılarla sürekli izleme
• Yetkisiz göndericileri, hizalama başarısızlıklarını ve politika boşluklarını ortaya çıkaran toplu rapor analizi
• Güvenlik duruşunu poliçe yazarlarına ve denetçilere kanıtlayan dışa aktarılabilir uyumluluk raporları

Kurucular, CISO'lar ve uyumluluk yöneticileri hem koruma hem de kanıt elde eder — sigortacıların poliçe yazımı sırasında ve talepleri işlerken görmeye ihtiyaç duydukları iki şey.

Son Düşünceler

Siber sigorta sizi felaketten kurtarabilir — ancak yalnızca poliçenizde yazılı koşulları karşılamanız halinde. DMARC hâlâ p=none olarak ayarlıysa alan adınız taklit edilebilir durumdadır ve en çok ihtiyaç duyduğunuz anda e-posta tabanlı saldırılara yönelik kapsamınız geçerli olmayabilir.

Çözüm ne pahalı ne de karmaşıktır. Sürekli izlemeyle birleştirilmiş, doğru şekilde yapılandırılmış bir DMARC uygulama politikası, poliçenizin vaat ettiği ile gerçekte sunduğu arasındaki uçurumu kapatır. Farkı öğrenmek için bir ihlal beklemeyin.