İşbu EUB Sorumlu Güvenlik Açığı Bildirim Politikası (“Politika”), Etesio Teknoloji ve Yazılım Sanayi ve Ticaret Limited Şirketi (“Etesio”) tarafından sunulan EUB – Etesio Uzak Bağlantı yazılımı ve eub.etesio.com internet sitesiyle ilgili olası güvenlik açıklarının güvenli ve sorumlu biçimde bildirilmesine ilişkin esasları düzenlemektedir.
Etesio, güvenlik araştırmacıları, kullanıcılar ve diğer üçüncü kişiler tarafından iyi niyetle yapılan güvenlik bildirimlerini önemser.
1.POLİTİKANIN AMACI
Bu Politikanın amacı;
- Olası güvenlik açıklarının Etesio’ya güvenli şekilde bildirilmesini sağlamak,
- Güvenlik açıklarının kötüye kullanılmasını önlemek,
- Kullanıcıların ve sistemlerin güvenliğini korumak,
- İyi niyetli güvenlik araştırmalarına ilişkin temel kuralları açıklamak
amacıyla bir bildirim çerçevesi oluşturmaktır.
2.KAPSAM
Bu Politika, Etesio tarafından işletilen veya geliştirilen ve EUB hizmetiyle doğrudan ilişkili olan;
- EUB masaüstü uygulaması,
- eub.etesio.com internet sitesi,
- EUB bağlantı ve kimlik doğrulama altyapısı,
- EUB’ye ait sunucu ve API bileşenleri,
- EUB’nin güvenlik ve bağlantı mekanizmaları
kapsamında tespit edilen güvenlik sorunları için uygulanır.
Etesio’ya ait olmayan üçüncü taraf sistemler bu Politikanın kapsamı dışındadır.
3.BİLDİRİLEBİLECEK GÜVENLİK SORUNLARI
Aşağıdaki türde güvenlik sorunları bildirilebilir:
- Yetkisiz erişime yol açabilecek güvenlik açıkları,
- Kimlik doğrulama veya yetkilendirme sorunları,
- Oturum güvenliğiyle ilgili açıklar,
- Kriptografik uygulama hataları,
- Hassas teknik verilerin yetkisiz şekilde açığa çıkması,
- Uzak kod çalıştırmaya yol açabilecek güvenlik açıkları,
- Dosya aktarım mekanizmasındaki güvenlik sorunları,
- Yetki yükseltme açıkları,
- Güvenlik kontrollerinin aşılması,
- Hizmet altyapısını etkileyen diğer ciddi güvenlik zafiyetleri.
4.BİLDİRİM YÖNTEMİ
Olası bir güvenlik açığı tespit edilmesi halinde bildirim Etesio’ya mümkün olduğunca ayrıntılı şekilde iletilmelidir.
Bildirimde mümkünse;
- Açığın kısa açıklaması,
- Etkilenen EUB sürümü veya sistem bileşeni,
- Açığın yeniden oluşturulabilmesi için gerekli adımlar,
- Güvenlik açığının oluşturabileceği olası etki,
- Varsa ekran görüntüsü, hata kaydı veya teknik kanıt,
- Bildirimi yapan kişinin iletişim bilgileri
yer almalıdır.
Bildirimler:
Etesio Teknoloji ve Yazılım Sanayi ve Ticaret Limited Şirketi
Web: https://etesio.com
EUB: https://eub.etesio.com
E-posta: destek@etesio.com
üzerinden iletilebilir.
5.İYİ NİYETLİ GÜVENLİK ARAŞTIRMASI
Güvenlik araştırması gerçekleştiren kişilerin;
- Yalnızca gerekli ölçüde test yapmaları,
- Gerçek kullanıcı verilerine erişmekten kaçınmaları,
- Erişilen verileri kopyalamamaları veya paylaşmamaları,
- Sistemlerin çalışmasını bozacak faaliyetlerde bulunmamaları,
- Açığı üçüncü kişilere açıklamadan önce Etesio’ya bildirmeleri,
- Açığı kişisel çıkar, zarar verme veya baskı amacıyla kullanmamaları
beklenir.
6.YASAKLI TEST VE FAALİYETLER
Aşağıdaki faaliyetler iyi niyetli güvenlik araştırması kapsamında değerlendirilmez:
- Kullanıcıların hesaplarına veya cihazlarına izinsiz erişim,
- Kullanıcı verilerinin indirilmesi, değiştirilmesi veya silinmesi,
- Sosyal mühendislik veya kimlik avı faaliyetleri,
- Etesio çalışanlarına, kullanıcılarına veya iş ortaklarına yönelik aldatıcı girişimler,
- Hizmet engelleme (DoS/DDoS) saldırıları,
- Sistemin çalışmasını bozacak yoğun trafik veya kaynak tüketimi,
- Zararlı yazılım yüklenmesi,
- Fiziksel güvenlik testleri,
- Üçüncü taraf sistemlerine yönelik saldırılar,
- Güvenlik açığının kötüye kullanılması,
- Açığın şantaj, tehdit veya maddi menfaat amacıyla kullanılması.
7.VERİYE ERİŞİLMESİ HALİNDE YAPILMASI GEREKENLER
Güvenlik araştırması sırasında yanlışlıkla kişisel veri, ticari sır veya diğer gizli bilgilere erişilmesi halinde;
- İnceleme derhal durdurulmalı,
- Veriler kopyalanmamalı,
- Veriler değiştirilmemeli,
- Veriler üçüncü kişilerle paylaşılmamalı,
- Erişim durumu Etesio’ya gecikmeksizin bildirilmelidir.
Erişilen bilgilerin yalnızca güvenlik açığının bildirilmesi için zorunlu olduğu ölçüde kullanılması gerekir.
8.GÜVENLİK AÇIĞININ KAMUYA AÇIKLANMASI
Tespit edilen güvenlik açığının, gerekli düzeltme yapılmadan önce kamuya açıklanması kullanıcıları ve sistemleri riske atabilir.
Bu nedenle güvenlik açığının;
- Sosyal medya,
- Forum,
- İnternet sitesi,
- Video platformları,
- Teknik topluluklar,
- Haber kaynakları
üzerinden kamuya açıklanmasından önce Etesio’ya bildirilmesi ve düzeltme sürecinin makul şekilde yürütülmesine fırsat tanınması beklenir.
Etesio ile koordineli açıklama yapılması gerektiğinde taraflar uygun açıklama zamanı konusunda iletişim kurabilir.
9.BİLDİRİMLERİN DEĞERLENDİRİLMESİ
Etesio, kendisine iletilen güvenlik bildirimlerini;
- Açığın doğrulanabilirliği,
- Etkilenen sistemlerin kapsamı,
- Güvenlik riski,
- Kullanıcılar üzerindeki olası etkisi,
- Teknik önem derecesi
bakımından değerlendirebilir.
Etesio, gerekli görülmesi halinde bildirimi yapan kişiden ek teknik bilgi talep edebilir.
10.DÜZELTME VE GÜVENLİK GÜNCELLEMELERİ
Doğrulanan güvenlik açıklarında Etesio;
- Yazılım güncellemesi,
- Sunucu tarafı güvenlik düzenlemesi,
- Yapılandırma değişikliği,
- Geçici risk azaltıcı önlem,
- Zorunlu EUB sürüm güncellemesi
gibi uygun teknik tedbirleri uygulayabilir.
Güvenlik nedeniyle eski veya riskli EUB sürümlerinin kullanımı sınırlandırılabilir.
11.ÖDÜL VEYA BUG BOUNTY TAAHHÜDÜ
Bir güvenlik açığının Etesio’ya bildirilmesi, bildirimi yapan kişiye otomatik olarak herhangi bir;
- Para ödülü,
- Hediye,
- Ücret,
- İş teklifi,
- Bug bounty ödemesi
hakkı sağlamaz.
Etesio tarafından ayrıca ilan edilmiş bir güvenlik ödül programı bulunması halinde ilgili programın özel şartları uygulanır.
12.İYİ NİYET VE HUKUKA UYGUNLUK
İşbu Politikaya uygun hareket edilmesi, yapılan her türlü güvenlik testinin otomatik olarak hukuka uygun kabul edileceği anlamına gelmez.
Araştırmacılar, yürürlükteki mevzuata uygun hareket etmek ve yalnızca kendilerine ait veya test için açıkça yetkilendirildikleri sistemler üzerinde işlem yapmakla yükümlüdür.
Etesio’nun açıkça izin vermediği şekilde üçüncü kişilere ait sistemlere veya verilere erişilmemelidir.
13.GİZLİLİK
Güvenlik açığı bildirimleri kapsamında Etesio’ya iletilen kişisel bilgiler ve teknik kayıtlar, bildirimin değerlendirilmesi, güvenlik sorununun giderilmesi ve gerekli hukuki yükümlülüklerin yerine getirilmesi amacıyla işlenebilir.
Kişisel verilerin işlenmesine ilişkin ayrıntılı bilgi EUB Kişisel Verilerin Korunması Aydınlatma Metni içerisinde yer almaktadır.
14.POLİTİKA DEĞİŞİKLİKLERİ
Etesio, güvenlik ihtiyaçları, teknik altyapı veya mevzuatta meydana gelen değişikliklere bağlı olarak işbu Politikayı güncelleyebilir.
Politikanın güncel sürümü eub.etesio.com üzerinden yayımlanır.
15.İLETİŞİM
EUB ile ilgili güvenlik açığı veya güvenlik olayı bildirimleri için:
Etesio Teknoloji ve Yazılım Sanayi ve Ticaret Limited Şirketi
Web: https://etesio.com
EUB: https://eub.etesio.com
E-posta: destek@etesio.com
İşbu EUB Sorumlu Güvenlik Açığı Bildirim Politikası, EUB ekosisteminin güvenliğinin geliştirilmesine katkı sağlayan iyi niyetli bildirimler için temel kuralları açıklamak amacıyla yayımlanmıştır.