Güvenlik
Güvenlik Açığı Bildirim Politikası
EnaResearch'te bulduğunuz güvenlik açıklarını ENA Innovation'a nasıl bildireceğinizi ve iyi niyetli araştırmacılara hangi güvenceleri verdiğimizi açıklar.
Bu politika, EnaResearch'te veya ona bağlı hizmetlerde bir güvenlik açığı bulduğunuzda bunu bize nasıl bildireceğinizi açıklar. Güvenlik araştırmacılarının iyi niyetli katkısını değerli buluyoruz ve bildirimleri ciddiyetle ele alıyoruz. EnaResearch sağlık verisi işlediği için bu bildirimler bizim için özellikle önemlidir.
1. Nasıl bildirilir
Bildirimlerinizi support@enainnovation.com adresine gönderin. Mümkünse bildiriminizde şunlar bulunsun:
- açığın türü ve etkilenen adres, uygulama veya sürüm
- açığı yeniden üretmek için adım adım açıklama
- kavram kanıtı (ekran görüntüsü, istek/yanıt örneği, kısa video)
- olası etki değerlendirmesi
- varsa çözüm öneriniz
- size nasıl ulaşabileceğimiz
Bildiriminizi Türkçe veya İngilizce yazabilirsiniz. Lütfen açığı, düzeltilene kadar kamuya veya üçüncü kişilere açıklamayın. Bildiriminize gerçek kişisel veya sağlık verisi eklemeyin.
2. Kapsam
Kapsam içindeki sistemler:
| Sistem | Açıklama |
|---|---|
*.enaresearch.com | EnaResearch tanıtım sitesi ve bu alan adı altındaki organizasyon ortamları |
| EnaResearch uygulamaları | Web uygulaması (organizasyon kullanıcı arayüzü, katılımcı web alanı), API ve iOS/Android mobil uygulaması |
discovery.enainnovation.com | Organizasyon bulma hizmeti |
Kapsam dışındaki konular:
- Yukarıda sayılmayan ENA Innovation alan adları ve hizmetleri. Bu sistemlerle ilgili bulgularınızı yine bildirebilirsiniz; ancak 4. bölümdeki güvence yalnızca kapsam içindeki sistemler için geçerlidir.
- Üçüncü taraf hizmetler ve altyapılar (örneğin bulut barındırma, kimlik doğrulama hizmeti, e-posta sağlayıcıları, yapay zekâ yardımcısı sağlayıcısı, Apple Sağlık, Health Connect ve giyilebilir cihaz üreticilerinin yazılımları). Bu hizmetlerdeki açıkları ilgili sağlayıcıya bildirin.
- Hizmet dışı bırakma (DoS/DDoS), yük testi ve istek sınırlarını zorlayan yüksek hacimli testler
- Sosyal mühendislik, kimlik avı ve ENA Innovation çalışanlarına, müşteri organizasyonlara veya çalışma katılımcılarına yönelik girişimler
- Fiziksel saldırılar; organizasyonların tesislerindeki hub'lara, giyilebilir cihazlara veya ağ altyapısına müdahale
- Otomatik tarayıcı çıktısının, istismar edilebilirliği gösterilmeden gönderilmesi
- Somut bir saldırı senaryosu olmadan yalnızca eksik veya zayıf güvenlik başlığı, sürüm bilgisi ifşası ya da SPF/DKIM/DMARC yapılandırma önerileri
- Hassas işlem içermeyen sayfalarda tıklama korsanlığı (clickjacking), oturum kapatma CSRF'i ve kendi kendine XSS (self-XSS)
- Fiziksel erişimi, root/jailbreak yapılmış cihazı veya güncel olmayan tarayıcıyı gerektiren bulgular
3. Kurallar
Araştırmanız sırasında:
- Yalnızca size açıkça izin verilen test ortamını kullanın. Test ortamı için support@enainnovation.com adresine yazabilirsiniz.
- Gerçek organizasyon ortamlarındaki verilere erişmeyin, bu verileri değiştirmeyin veya silmeyin. Açığı kanıtlamak için gereken en az işlemi yapın.
- Katılımcı kodlarını, aktivasyon anahtarlarını veya PIN'leri tahmin etmeye ya da kaba kuvvetle denemeye çalışmayın.
- Kişisel veriye, sağlık verisine veya başka bir organizasyona ait veriye istemeden ulaşırsanız durun, veriyi kopyalamayın ve saklamayın, bize hemen bildirin ve elinizdeki kopyaları silin.
- Hizmet'in kullanılabilirliğini veya performansını bozacak testler yapmayın.
- Gerçek bildirim kanallarına (e-posta) test verisi göndermeyin.
- Eriştiğiniz bir sistemde kalıcılık sağlamayın, gerekenden fazla yetki yükseltmeyin ve başka sistemlere geçmeyin.
- Açığı, düzeltilmeden veya bizimle kararlaştırılan tarihten önce paylaşmayın.
4. Güvenli liman
Bu politikaya uygun ve iyi niyetle yürütülen araştırmalar için ENA Innovation:
- araştırmanızı yetkili kabul eder
- size karşı hukuki işlem başlatmaz veya şikâyette bulunmaz
- araştırmanız nedeniyle üçüncü bir kişi size karşı işlem başlatırsa, bu politikaya uygun davrandığınızı beyan eder
Bu güvence yalnızca ENA Innovation'ın kendi hakları ile sınırlıdır. ENA Innovation, kamu makamlarının veya üçüncü kişilerin işlemleri hakkında taahhütte bulunamaz. Bir faaliyetin bu politikaya uygun olup olmadığından emin değilseniz başlamadan önce bize sorun.
5. Yanıt hedeflerimiz
| Aşama | Hedef |
|---|---|
| Bildiriminizin alındığının teyidi | 3 iş günü |
| İlk değerlendirme ve önem derecesi | 10 iş günü |
| Durum güncellemeleri | Çözülene kadar en az 30 günde bir |
Doğrulanan açıkları önem derecesine göre önceliklendiririz. Düzeltme hedeflerimiz:
| Önem derecesi | Düzeltme hedefi |
|---|---|
| Kritik | 30 gün |
| Yüksek | 60 gün |
| Orta | 90 gün |
| Düşük | Planlanan sonraki sürümlerde |
Bu süreler taahhüt değil hedeftir. Karmaşık sorunlar veya üçüncü taraf bileşenlere bağlı düzeltmeler daha uzun sürebilir; bu durumda sizi bilgilendiririz.
Bir açık organizasyon ortamlarındaki kişisel verileri etkilediyse, Veri İşleme Sözleşmesi uyarınca ilgili organizasyonları bilgilendiririz.
6. Koordineli açıklama
Açığı kamuya açıklamak isterseniz bunu düzeltme yayımlandıktan sonra ve bizimle kararlaştırılan tarihte yapın. Varsayılan olarak bildiriminizden 90 gün sonrasını öneririz. Açıklamanız müşteri verisi, sağlık verisi veya kişisel veri içermemelidir.
7. Teşekkür ve ödül
ENA Innovation şu anda ücretli bir hata ödül programı yürütmemektedir. Kapsam içindeki geçerli bildirimler için, izninizle, adınıza teşekkür listemizde yer verebiliriz.
8. İletişim
| Güvenlik bildirimleri | support@enainnovation.com |
| Diğer konular | support@enainnovation.com |
| Telefon | 0850 308 45 91 |
Bu politika Türkçe ve İngilizce olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.