Sorumlu Açıklama Politikası
Hukuki inceleme gerektirir. Bu politika yayından önce bir avukat tarafından incelenecektir. Özellikle iyi niyetli araştırma güvencesinin 5237 sayılı Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri karşısındaki kapsamı netleştirilecektir.
Biom business.'i ve kullanıcılarımızın verilerini güvende tutmak önceliğimizdir. Bir güvenlik açığı bulduğunuzu düşünüyorsanız, kullanıcılarımızı korumamıza yardımcı olmak için bize bildirmenizi rica ediyoruz. Güvenlik yaklaşımımızın özeti Güvenlik sayfasındadır.
1. Kapsam
- Biom business. web uygulaması ve sunucu arayüzleri (API ve WebSocket bağlantıları),
- Biom business. masaüstü uygulaması,
- Biom business. tanıtım sitesi,
- Herkese açık demo ortamı (her saat başı sıfırlandığı için testler için en uygun ortamdır).
Özellikle şu konulardaki bulguları önemsiyoruz: kimlik doğrulama ve oturum yönetimi, yetki aşımı (örneğin üyesi olmadığınız özel kanal veya doğrudan mesaj içeriğine erişim), çalışma alanları veya topluluklar arası veri sızıntısı, siteler arası betik çalıştırma (XSS), sunucu taraflı istek sahteciliği (SSRF), dosya yükleme ve dosya bağlantılarının kötüye kullanımı, iki adımlı doğrulama ve tek oturum açma akışlarındaki hatalar.
2. Kapsam dışı
- Hizmet engelleme (DoS veya DDoS) testleri ve hizmeti yavaşlatacak yük testleri,
- Sosyal mühendislik, kimlik avı veya kullanıcılarımızı ya da ekibimizi kandırmaya yönelik girişimler,
- Veri merkezlerine, ofislere veya cihazlara yönelik fiziksel saldırılar,
- Üçüncü taraf hizmetler: barındırma sağlayıcısı, e-posta sağlayıcısı, içerik dağıtım ağı, kurumların kendi kimlik sağlayıcıları veya yapay zekâ sağlayıcıları. Bu hizmetlerdeki açıkları ilgili sağlayıcıya bildirin,
- Başka kurumların gerçek çalışma alanlarına veya kullanıcı hesaplarına yönelik testler,
- Somut bir istismar senaryosu içermeyen otomatik tarayıcı çıktıları, eksik "en iyi uygulama" başlıklarına ilişkin genel bildirimler ve yalnız güncel olmayan tarayıcıları etkileyen sorunlar,
- Kendi hesabınızla sınırlı kalan ve başka bir kullanıcıyı etkilemeyen sorunlar (örneğin kendi kendine XSS).
3. Araştırma kuralları
- Yalnız kendi hesaplarınızı, kendi oluşturduğunuz çalışma alanlarını veya demo ortamını kullanın.
- Bir açığın varlığını göstermek için gereken en az işlemi yapın. Başkalarına ait verilere erişirseniz durun, verileri indirmeyin, saklamayın, paylaşmayın ve bize hemen bildirin.
- Verileri değiştirmeyin veya silmeyin; hizmetin kullanılabilirliğini bozmayın.
- Kalıcı arka kapı, zararlı yazılım veya hesap ele geçirme araçları bırakmayın.
- Açık giderilmeden veya bizimle anlaşmadan bulguyu kamuya açıklamayın.
4. Nasıl bildirilir?
Bulgunuzu adresine, konu satırına "Güvenlik" yazarak gönderin. Bildiriminizde şunlara yer verin:
- Açığın türü ve etkilenen bileşen (adres, API ucu, uygulama sürümü),
- Açığı yeniden üretmek için adım adım talimatlar,
- Varsa kavram kanıtı (ekran görüntüsü, istek ve yanıt örnekleri),
- Açığın olası etkisine ilişkin değerlendirmeniz,
- Size nasıl ulaşabileceğimiz ve teşekkür listesinde adınızın yer almasını isteyip istemediğiniz.
Bildiriminizde başkalarına ait kişisel verilere yer vermeyin; gerekiyorsa yalnız kanıt için zorunlu olan en küçük kısmı paylaşın.
5. Sizden sonrası
- Bildiriminizin alındığını en geç 3 iş günü içinde teyit ederiz.
- Bulguyu değerlendirir, önem derecesini ve tahmini düzeltme süresini sizinle paylaşırız.
- Düzeltme sürecinde sizi bilgilendirir, düzeltme yayına alındığında haber veririz.
- Açığın kişisel verileri etkilediği anlaşılırsa, 6698 sayılı Kanun kapsamındaki ihlal bildirim yükümlülüklerimizi ve Biom business.'i kullanan kurumlara karşı yükümlülüklerimizi yerine getiririz.
- Açık giderildikten sonra, isterseniz bulgunuzu birlikte kararlaştıracağımız bir tarihte kamuya açıklayabilirsiniz. Genel olarak bildirimden itibaren 90 günlük bir süreyi hedefleriz.
6. İyi niyetli araştırma güvencesi
Bu politikaya uygun hareket eden, iyi niyetli ve bulgusunu bize gecikmeksizin bildiren araştırmacılar hakkında, araştırma faaliyeti nedeniyle şikâyette bulunmayız ve hukuki işlem başlatmayız. Araştırmanızı, bu politika kapsamında yetkilendirilmiş bir faaliyet olarak kabul ederiz. Ancak üçüncü kişilerin (örneğin diğer kurumların veya hizmet sağlayıcılarımızın) haklarını ya da kamu makamlarının yetkilerini kısıtlayamayız. Bir testin bu politikaya uygun olup olmadığından emin değilseniz, başlamadan önce bize sorun.
7. Ödül
Şu anda ücretli bir hata ödül programımız yoktur ve bildirimler için ödeme taahhüt etmiyoruz. İzin vermeniz hâlinde, geçerli bir açığı ilk bildiren araştırmacılara güvenlik sayfamızda teşekkür ederiz.