Siber sigorta poliçesi istisnaları, bir olay gerçekleştiğinde sigortacının “bu durumu karşılamıyorum” diyebileceği halleri baştan sıralayan maddelerdir. Poliçenin kapak sayfasındaki teminat listesi kadar, çoğu zaman ondan daha önemlidir; çünkü bir kuruluş korunduğunu sandığı bir olayda tazminatın reddedilmesiyle ancak burada karşılaşır.

Poliçenin gerçek kapsamı, teminat listesinde değil istisna maddelerinin bittiği yerde belli olur.

Neden İstisna Konur?

Sigortacı, ölçemediği ya da sınırsız kabul ettiği riskleri poliçe dışında tutmak zorundadır; aksi hâlde primi hesaplayamaz. İstisnalar bu belirsizliği kesip atmanın yoludur. Bir kuruluş için istisnaları okumak, sigortanın hangi risklerde yanında olmayacağını önceden bilmek ve o boşlukları başka önlemlerle kapatmak anlamına gelir. Bu nedenle istisna listesi, poliçenin sınırlarını çizen asıl metindir.

En Sık Karşılaşılan İstisnalar

Bazı istisnalar neredeyse her poliçede bulunur. Savaş ve devlet destekli saldırı istisnası, kaynağı bir ulus-devlete atfedilen olaylarda ödemeyi tartışmalı hâle getirir; bu madde son yıllarda büyük fidye kampanyalarının ardından iyice sıkılaştırılmıştır. Bilinen ama yamalanmamış zafiyetler, eskimiş ve desteği bitmiş sistemler ve içeriden kasıtlı sabotaj da sık görülen kapsam dışı hâllerdir.

• Savaş ve devlet destekli saldırı istisnası
• Bilinip yamalanmayan zafiyetin yol açtığı olaylar
• Desteği sona ermiş, güncellenmeyen sistemler
• Başvuruda yapılan yanlış veya eksik beyan
• Olayın poliçede belirtilen sürede bildirilmemesi

Kontrol İhmalinin Bedeli

En çok anlaşmazlık yaratan istisnalar, kuruluşun başvuruda taahhüt ettiği kontrolleri fiilen uygulamamasıyla ilgilidir. Poliçede çok faktörlü kimlik doğrulaması var denmiş ama bir sisteme kurulmamışsa, saldırı tam oradan geldiğinde sigortacı ödemeyi reddedebilir. Bu risk, siber sigorta başvurusunda beyan edilen her kontrolün gerçekten ve sürekli işletilmesini zorunlu kılar; beyan bir kâğıt değil, bir yükümlülüktür.

Bildirim ve Beyan Kuralları

İstisnaların bir kısmı olayın içeriğiyle değil, kuruluşun davranışıyla ilgilidir. Poliçeler genellikle olayın fark edilir edilmez, belirli bir süre içinde bildirilmesini şart koşar; geç bildirim tek başına teminatı düşürebilir. Aynı şekilde başvuruda verilen eksik ya da yanlış bilgi, olay anında poliçeyi geçersiz kılan bir gerekçeye dönüşür. Bu yükümlülüklerin takibi güvenlik bütçesi planlama sürecinde sigortanın gerçek değerini korumak için gözden kaçırılmamalıdır.

Boşlukları Görünür Kılmak

İstisnaları anlamak, sigortanın kapsamadığı riskler için ayrı bir plan yapmayı gerektirir ve bu, sigortanın maliyetiyle koruduğu değeri karşılaştıran güvenlik yatırım getirisi hesabını gerçekçi kılar. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, poliçenin beyan ettiği kontrollerin sahada gerçekten uygulandığını doğrulayarak bir olay anında teminatın istisnaya takılmasını önlemeye yardımcı olur.