Güvenlik
Güvenlik Açığı Bildirim Politikası
EnaTTO'da bulduğunuz güvenlik açıklarını ENA Innovation'a nasıl bildireceğinizi ve iyi niyetli araştırmacılara hangi güvenceleri verdiğimizi açıklar.
Bu metnin hukuki incelemesi henüz tamamlanmamıştır.
Bu politika, EnaTTO'da veya ona bağlı hizmetlerde bir güvenlik açığı bulduğunuzda bunu bize nasıl bildireceğinizi açıklar. Güvenlik araştırmacılarının iyi niyetli katkısını değerli buluyoruz ve her bildirimi ciddiyetle ele alıyoruz. Organizasyonlar EnaTTO'yu gizli buluş bildirimlerini ve yayımlanmamış araştırma sonuçlarını yönetmek için kullandığından bu bildirimler bizim için özellikle önemlidir.
1. Nasıl bildirilir
Bildirimlerinizi support@enainnovation.com adresine gönderin. Mümkünse bildiriminizde şunlar bulunsun:
- açığın türü ve etkilenen adres, uygulama veya sürüm
- açığı yeniden üretmek için adım adım açıklama
- kavram kanıtı (ekran görüntüsü, istek/yanıt örneği, kısa video)
- olası etki değerlendirmesi; örneğin bir kişinin kendi gizlilik sınıfının üzerindeki kayıtları görüp göremeyeceği
- varsa çözüm öneriniz
- size nasıl ulaşabileceğimiz
Bildiriminizi Türkçe, İngilizce veya Almanca yazabilirsiniz. Lütfen açığı, düzeltilene kadar kamuya veya üçüncü kişilere açıklamayın. Bildiriminize gerçek kişisel veri veya gerçek buluş içeriği eklemeyin.
2. Kapsam
Kapsam içindeki sistemler:
| Sistem | Açıklama |
|---|---|
*.enatto.com | EnaTTO web sitesi ve bu alan adı altındaki organizasyon ortamları |
| EnaTTO uygulamaları | Web yönetim arayüzü, herkese açık sayfalar (teknoloji kataloğu, formlar, anket, sertifika doğrulama) ve API |
discovery.enainnovation.com | Organizasyon bulma hizmeti |
Kapsam dışındaki konular:
- Yukarıda sayılmayan ENA Innovation alan adları ve hizmetleri. Bu sistemlerle ilgili bulgularınızı yine bildirebilirsiniz; ancak 4. bölümdeki güvence yalnızca kapsam içindeki sistemler için geçerlidir.
- Üçüncü taraf hizmetler ve altyapılar (örneğin bulut barındırma, ağ koruma hizmeti, kimlik doğrulama hizmeti, e-posta sağlayıcıları, yapay zekâ sağlayıcısı, ORCID, OpenAlex, Crossref ve Avrupa Patent Ofisi). Bu hizmetlerdeki açıkları ilgili sağlayıcıya bildirin.
- Hizmet dışı bırakma (DoS/DDoS), yük testi ve istek sınırlarını zorlayan yüksek hacimli testler
- Sosyal mühendislik, kimlik avı ve ENA Innovation çalışanlarına, müşteri organizasyonlara, buluş sahiplerine veya diğer kullanıcılara yönelik girişimler
- Fiziksel saldırılar
- Otomatik tarayıcı çıktısının, istismar edilebilirliği gösterilmeden gönderilmesi
- Somut bir saldırı senaryosu olmadan yalnızca eksik veya zayıf güvenlik başlığı, sürüm bilgisi ifşası ya da SPF/DKIM/DMARC yapılandırma önerileri
- Hassas işlem içermeyen sayfalarda tıklama korsanlığı (clickjacking), oturum kapatma CSRF'i ve kendi kendine XSS (self-XSS)
- Fiziksel erişimi, root/jailbreak yapılmış cihazı veya güncel olmayan tarayıcıyı gerektiren bulgular
3. Kurallar
Araştırmanız sırasında:
- Yalnızca size açıkça izin verilen test ortamını kullanın. Test ortamı için support@enainnovation.com adresine yazabilirsiniz.
- Gerçek organizasyon ortamlarındaki verilere erişmeyin, bu verileri değiştirmeyin veya silmeyin. Açığı kanıtlamak için gereken en az işlemi yapın.
- Gerçek organizasyonların herkese açık formlarına test girişi göndermeyin; sertifika kodlarını, doğrulama bağlantılarını veya davet bağlantılarını toplu olarak tahmin etmeye çalışmayın.
- Kişisel veriye, buluş içeriğine veya başka bir organizasyona ait veriye istemeden ulaşırsanız durun, veriyi kopyalamayın ve saklamayın, bize hemen bildirin ve elinizdeki kopyaları silin.
- Hizmet'in kullanılabilirliğini veya performansını bozacak testler yapmayın.
- Gerçek bildirim kanallarına (e-posta) test verisi göndermeyin.
- Eriştiğiniz bir sistemde kalıcılık sağlamayın, gerekenden fazla yetki yükseltmeyin ve başka sistemlere geçmeyin.
- Açığı, düzeltilmeden veya bizimle kararlaştırılan tarihten önce paylaşmayın.
4. Güvenli liman
Bu politikaya uygun ve iyi niyetle yürütülen araştırmalar için ENA Innovation:
- araştırmanızı yetkili kabul eder
- size karşı hukuki işlem başlatmaz veya şikâyette bulunmaz
- araştırmanız nedeniyle üçüncü bir kişi size karşı işlem başlatırsa, bu politikaya uygun davrandığınızı beyan eder
Bu güvence yalnızca ENA Innovation'ın kendi hakları ile sınırlıdır. ENA Innovation, kamu makamlarının veya üçüncü kişilerin işlemleri hakkında taahhütte bulunamaz. Bir faaliyetin bu politikaya uygun olup olmadığından emin değilseniz başlamadan önce bize sorun.
5. Yanıt hedeflerimiz
| Aşama | Hedef |
|---|---|
| Bildiriminizin alındığının teyidi | 3 iş günü |
| İlk değerlendirme ve önem derecesi | 10 iş günü |
| Durum güncellemeleri | Çözülene kadar en az 30 günde bir |
Doğrulanan açıkları önem derecesine göre önceliklendiririz. Düzeltme hedeflerimiz:
| Önem derecesi | Düzeltme hedefi |
|---|---|
| Kritik | 30 gün |
| Yüksek | 60 gün |
| Orta | 90 gün |
| Düşük | Planlanan sonraki sürümlerde |
Bu süreler taahhüt değil hedeftir. Karmaşık sorunlar veya üçüncü taraf bileşenlere bağlı düzeltmeler daha uzun sürebilir; bu durumda sizi bilgilendiririz.
Bir açık organizasyon ortamlarındaki kişisel verileri veya gizli kayıtları etkilediyse, Veri İşleme Sözleşmesi uyarınca ilgili organizasyonları bilgilendiririz.
6. Koordineli açıklama
Açığı kamuya açıklamak isterseniz bunu düzeltme yayımlandıktan sonra ve bizimle kararlaştırılan tarihte yapın. Varsayılan olarak bildiriminizden 90 gün sonrasını öneririz. Açıklamanız müşteri verisi, buluş içeriği veya kişisel veri içermemelidir.
7. Teşekkür ve ödül
ENA Innovation şu anda ücretli bir hata ödül programı yürütmemektedir. Kapsam içindeki geçerli bildirimler için, izninizle, adınıza teşekkür listemizde yer verebiliriz.
8. İletişim
| Güvenlik bildirimleri | support@enainnovation.com |
| Diğer konular | support@enainnovation.com |
| Telefon | 0850 308 45 91 |
Bu politika Türkçe, İngilizce ve Almanca olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.