Zafiyet Araştırması
Zafiyet Bildirim Programı Kurulumu
Ürününüzle ilgili dışarıdan gelen zafiyet bildirimlerini alan, değerlendiren ve yanıtlayan bir süreç kuruyoruz. Her bildirimin bir sahibi, hedef yanıt süresi ve sonucu olur.
Nedir?
Zafiyet bildirim programı, araştırmacıların ve müşterilerin ürününüzdeki zafiyetleri size güvenli şekilde iletebildiği yazılı bir süreçtir. ISO/IEC 29147 bildirimlerin alınmasını ve duyuruların yayımlanmasını kapsar. ISO/IEC 30111 ise bildirilen zafiyetin kurum içinde değerlendirilmesini ve düzeltilmesini tanımlar. Programda kapsam, araştırmacılara yönelik kurallar, iletişim adresi ve hedef yanıt süreleri yer alır.
Kapsam
- Zafiyet bildirim politikasının ve kapsamının yazılması
- Güvenlik iletişim adresi ve web sitenizde security.txt dosyası (RFC 9116)
- Bildirimlerin kayıt, önem derecelendirme ve sahip atama akışı
- Ürün ekipleriyle düzeltme ve sürüm planlama süreci
- Güvenlik duyurusu şablonu ve CVE yaklaşımı
- Araştırmacılarla iletişim ve teşekkür politikası
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- AB pazarına ürün sunuyorsanız. Siber Dayanıklılık Tüzüğü, 11 Aralık 2027'den itibaren koordineli zafiyet bildirim politikası ve bildirimler için bir iletişim adresi ister.
- Bir araştırmacının bildirdiği zafiyet, kimin sorumlu olduğu belli olmadığı için yanıtsız kaldığında.
- Kurumsal müşterileriniz tedarikçi değerlendirmesinde zafiyet yönetimi sürecinizi sorduğunda.
Yöntem
Nasıl çalışıyoruz?
-
Mevcut durum
Bugün bildirimlerin nereye geldiğini, kimin baktığını ve nasıl sonuçlandığını çıkarırız.
-
Politika ve kanal
Kapsamı, kuralları ve iletişim adresini yazar, yayına hazırlarız.
-
İç süreç
Değerlendirme ölçütlerini, sorumluları ve hedef yanıt sürelerini ürün ekiplerinizle belirleriz.
-
Prova
Örnek bir bildirimle süreci baştan sona işletir, aksayan adımları düzeltiriz.
Sonuç
Çalışmanın sonunda elinizde olan
Yayına hazır bir bildirim politikası, çalışan bir iletişim kanalı ve sorumluları belli bir iç süreç elinizdedir. Bir bildirim geldiğinde kimin ne yapacağı bellidir.
Sık sorulan sorular
Zafiyet bildirim programı ile ödül programı (bug bounty) aynı şey mi?
Hayır. Bildirim programı bildirim almanın kurallarını belirler ve ödeme içermez. Ödül programı bunun üzerine para ödülü ekler ve bildirim süreci oturduktan sonra daha sağlıklı yürür.
Bildirim kanalı olarak ne kullanmalıyız?
Ayrı bir güvenlik e-posta adresi ve web sitenizde yayımlanan bir politika iyi bir başlangıçtır. security.txt dosyası, araştırmacıların bu adresi kolayca bulmasını sağlar.
Programı kim yürütür?
Program sizin ekiplerinizce yürütülür. İlk dönemde gelen bildirimlerin teknik değerlendirmesinde destek verebiliriz.
Zafiyet Araştırması
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın