Poliçeyi düzenleyen, müşteriyi tanıyan, verdiği bilginin doğruluğundan ve sözleşmenin sağlıklı kurulmasından sorumlu olan yetkili acente; işlem ekranında müşterisine ait bazı bilgileri maskeli görüyor. Buna karşılık hasar sürecine girildiğinde aynı müşteriye ve aracına ilişkin çok daha ayrıntılı bilgilerin kötü niyetli kişilerin eline geçebildiğine dair örnekler ve saha bildirimleriyle karşılaşıyoruz.
Bu çelişki, yalnızca acentelerin işini zorlaştıran teknik bir problem değildir. Müşteri güvenini, hasar yönetimini, dolandırıcılıkla mücadeleyi ve sigorta şirketlerinin itibarı ile sorumluluğunu ilgilendiren ciddi bir veri yönetimi sorunudur. Bu nedenle şu soruyu açıkça sormamız gerekiyor: Sigorta şirketleri KVKK'yı gerçekten doğru mu uyguluyor, yoksa güvenliği yalnızca ekranlarda yapılan maskelemeden mi ibaret görüyor?
YETKİ VERİLEN ACENTE NEDEN BİLGİSİZ BIRAKILIYOR
Sigorta acentesi, şirket adına poliçe düzenleme yetkisine sahip profesyonel bir aracıdır. Müşterinin talebini alır, risk bilgilerini değerlendirir, teminatları anlatır, poliçeyi düzenler ve çoğu zaman hasar anında müşterinin ilk aradığı kişi olur. Buna rağmen teklif veya poliçe ekranlarında telefon numarası, e posta adresi ya da bazı kimlik bilgilerinin geniş ölçüde maskelenmesi, acentenin müşteriyi doğrulamasını ve kayıt hatalarını fark etmesini güçleştirebilir.
Elbette her çalışan veya her kullanıcı bütün verilere sınırsız biçimde erişmemelidir. Fakat çözüm, yetkili acenteyi işlemi için gerekli bilgiden tamamen mahrum bırakmak değildir. Doğru yaklaşım; rol bazlı yetkilendirme, işlem amacıyla sınırlı erişim, güçlü kimlik doğrulama ve erişim kayıtlarının düzenli denetimidir. Acentenin hangi veriyi, hangi müşteri işlemi için ve ne zaman görüntülediği kayıt altına alınabiliyorsa hem hizmet sürdürülebilir hem de kötüye kullanım takip edilebilir. Maskeleme tek başına veri güvenliği politikası değildir.
ASIL RİSK HASAR SÜRECİNDEKİ VERİ DOLAŞIMI
Bir hasar dosyası açıldığında bilgi akışı poliçe düzenleme aşamasına göre çok daha geniş bir çevreye yayılır. Sigorta şirketi, çağrı merkezi, eksper, servis, tedarikçi, çekici, onarım ağı ve çeşitli destek hizmetleri aynı dosyanın farklı bölümlerine temas edebilir. Her yeni temas noktası, gerekli denetimler kurulmadığında yeni bir güvenlik riski oluşturur.
Sahada en fazla rahatsızlık yaratan konu da budur. Hasar yaşayan sigortalılar, kendilerini şirket ya da servis çalışanı gibi tanıtan kişilerin dosyaya ilişkin şaşırtıcı ayrıntıları bildiğini aktarabiliyor. Araç bilgisi, hasarın niteliği, servis süreci ve değiştirilecek parçaların kodlarına kadar uzanan ayrıntıların üçüncü kişilerce bilinmesi, müşterinin karşısındaki kişiyi gerçek bir yetkili sanmasına yol açabilir. Bu bilgiler kullanılarak ücret, parça, vekalet, ödeme veya yönlendirme talepleriyle dolandırıcılık girişiminde bulunulması ihtimali artar.
Burada herhangi bir kurumun bilgileri kasıtlı olarak aktardığını ileri sürmek doğru olmaz. Ancak verinin hangi noktadan sızdığını tespit edememek de sorumluluğu ortadan kaldırmaz. Bilgi; zayıf kullanıcı hesabından, gereğinden geniş erişim yetkisinden, kontrolsüz dış hizmet sağlayıcısından, ekran görüntüsünden veya güvenliği yetersiz bir iletişim kanalından çıkabilir. Önemli olan, veri zincirinin tamamının izlenmesi ve her tarafın yalnızca görevini yerine getirecek kadar bilgiye erişmesidir.
KVKK ERİŞİMİ TAMAMEN KAPATMAK ANLAMINA GELMİYOR
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini öngörür. Aynı Kanun, veri sorumlusuna hukuka aykırı erişimi önlemek ve veriyi güvenli biçimde muhafaza etmek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Dolayısıyla KVKK'nın amacı, işi yürütmekle görevli yetkili kişileri işlevsiz bırakmak değildir. Amaç, gerekli erişimi tanımlamak ve gereksiz erişimi engellemektir.
Bu açıdan bakıldığında, poliçeyi düzenleyen yetkili acentenin doğrulama için ihtiyaç duyduğu bilgiyi görememesi; buna karşılık hasar dosyasındaki ayrıntıların kontrolsüz biçimde dolaşabilmesi, ölçülülük ilkesinin uygulamada yeniden değerlendirilmesini gerektirir. En katı görünen ekran, her zaman en güvenli sistem değildir. Güvenli sistem; verinin kim tarafından, hangi amaçla, ne kadar süreyle görüntülendiğini bilen ve olağan dışı hareketleri tespit edebilen sistemdir.
SEKTÖRDE HANGİ ADIMLAR ATILMALI
Öncelikle sigorta şirketleri, poliçe üretiminden hasarın kapanmasına kadar uzanan veri akış haritasını yeniden çıkarmalıdır. Acentelerin, eksperlerin, servislerin ve diğer hizmet sağlayıcıların erişim yetkileri görevlerine göre tanımlanmalı; ortak kullanıcı hesaplarına ve gereğinden geniş yetkilere son verilmelidir. Hassas dosyalarda çok faktörlü kimlik doğrulama kullanılmalı, veri indirme ve toplu sorgulama işlemleri ayrıca izlenmelidir.
İkinci olarak, hasar ekosistemindeki bütün dış hizmet sağlayıcıları aynı güvenlik standardına tabi tutulmalıdır. Sözleşmeye yazılan genel bir gizlilik maddesi yeterli değildir. Kullanıcı hesapları, erişim kayıtları, veri saklama süreleri ve çalışanların bilgi paylaşma alışkanlıkları düzenli olarak denetlenmelidir. Olağan dışı sorgular ve kısa sürede çok sayıda dosyaya erişim gibi hareketler otomatik uyarı üretmelidir.
Üçüncü olarak, acenteler güvenlik zincirinin dışında değil, içinde görülmelidir. Şirketler acenteye yalnızca sorumluluk yüklemekle kalmamalı; görevini yapabileceği ölçüde veri erişimi, güncel eğitim ve açık bir ihlal bildirim kanalı da sağlamalıdır. Acentelerden gelen saha bildirimleri savunmacı bir yaklaşımla karşılanmamalı, olası bir açığın erken uyarısı olarak değerlendirilmelidir.
Son olarak müşteriye, hasar sürecinde hangi kurumların hangi kanallardan iletişim kurabileceği açıkça anlatılmalıdır. Sigorta şirketi veya yetkili servis hiçbir zaman belirli bilgileri telefonla istemiyorsa, bu husus dosya açılışında müşteriye bildirilmelidir. Şüpheli aramalarda doğrulama yapılabilecek tek ve güvenilir bir kanal sunulmalıdır.
SORUN KVKK DEĞİL UYGULAMADAKİ DENGESİZLİK
Kişisel verileri korumak zorundayız. Fakat koruma, işin gerçek akışından kopuk ve yalnızca görünürde kalan tedbirlerle sağlanamaz. Yetkili acentenin ekranını karartıp hasar zincirindeki kontrolsüz erişimleri gözden kaçırırsak müşteriyi korumuş olmayız. Yalnızca sorunu başka bir aşamaya taşırız.
Sigorta şirketlerinden beklenen, acentelere sınırsız erişim vermeleri değildir. Beklenen; yetki, sorumluluk ve erişim arasında makul bir denge kurmalarıdır. Poliçeyi düzenleyen acente, görevi için gerekli doğru bilgiye güvenli şekilde ulaşabilmeli; hasar dosyasındaki her erişim ise izlenebilir, gerekçelendirilebilir ve denetlenebilir olmalıdır.
Sektörün artık maskelemenin ötesine geçerek uçtan uca veri güvenliğini konuşması gerekiyor. Çünkü müşterinin güveni yalnızca poliçe düzenlenirken değil, hasar anında da korunur. Hatta sigortacılığın gerçek sınavı tam olarak o anda başlar.