Güvenlik Bildirimi

DenizBank Finansal Hizmetler Grubu, müşterilerimizin ve işletmelerimizin güvenliğini ve gizliliğini en üst düzeyde tutmayı amaçlamaktadır. Güvenlik topluluğu ile çalışarak güvenlik açıklarını bulmak, bu açıkları gidermek ve sistemlerimizi daha güvenli hale getirmek için çaba sarf etmekteyiz. Bu politika, güvenlik açıklarının sorumlu bir şekilde bildirilmesine yönelik rehberlik sağlar ve DenizBank Finansal Hizmetler Grubu ile güvenlik araştırmacıları arasındaki iş birliğini teşvik eder.

DenizBank Finansal Hizmetler Grubu, bu politikanın koşullarına uygun olarak güvenlik araştırmalarını gerçekleştiren araştırmacıların faaliyetlerini yetkilendirir. Araştırmacılar, yalnızca politikada belirtilen sistemler ve hizmetler üzerinde test yapmaya yetkilidirler. Bu faaliyetler sırasında DenizBank Finansal Hizmetler Grubu 'ın veya üçüncü tarafların sistemlerine zarar vermek, kişisel verilere erişmek veya işleyişini kesintiye uğratmak kesinlikle yasaktır.

DenizBank Finansal Hizmetler Grubu 'nun aşağıdaki teknoloji varlıkları ve hizmetleri, bu politikanın kapsamındadır:

• DenizBank Web Uygulamaları,
• DenizBank Mobil Uygulamaları (iOS ve Android platformları için),
• DenizBank API'leri,
• DenizBank Viyana Web ve Mobil Uygulamaları,
• DenizBank Moskova Web Uygulamaları,
• DenizLeasing,
• DenizFactoring,
• DenizYatırım,
• DenizPortföy,
• DenizBank Bahreyn,
• Intertech.

Bu güvenlik açıklama politikası kapsamında, aşağıdaki test türleri ve bulgular kabul edilmemektedir.

• Üçüncü taraf hizmetleri ve uygulamaları üzerinde yapılan testler
• Fiziksel saldırılar veya sosyal mühendislik yöntemleri (örneğin, çalışanlara yönelik phishing denemeleri)
• Hizmet kesintisine yol açacak saldırılar (örneğin, ağ üzerinde aşırı yük oluşturacak testler, DDoS saldırıları)
• Kamu erişimine açık bilgilere dayalı raporlar (örneğin, sürüm bilgisi açıklamaları, banner grabbing)
• Yeniden yapılandırılmış veya tekrarlanmış güvenlik açıkları
• Otomatik tarama araçlarından elde edilen bulgular veya düşük etkili bulgular (örneğin, clickjacking, CSRF token'ının eksikliği gibi)
• Kuruluşun ağ altyapısına yönelik testler, dahil ancak bunlarla sınırlı olmamak üzere, iç ağa veya fiziksel veri merkezlerine erişim sağlamayı amaçlayan testler
• DenizBank Finansal Hizmetler Grubu sistemlerine yetkisiz erişim sağlamayı amaçlayan veya zarar verebilecek her türlü araştırma (örneğin, kullanıcı hesaplarını ele geçirme girişimleri, zararlı yazılım yüklemek)
• SSL sertifikaları ve TLS konfigürasyonları ile ilgili zayıflıklar (örneğin, güçsüz şifreleme algoritmalarının kullanımı),
• Yalnızca belirli eski tarayıcı veya platformlar üzerinde etkili olan zayıflıklar,
• Kullanıcı arabirimi eksiklikleri veya kullanıcı deneyimini etkileyen ancak güvenliği doğrudan etkilemeyen sorunlar,
• E-posta konfigürasyon eksiklikleri (SPF, DKIM, DMARC kayıtlarının eksikliği gibi),
• Yeniden yapılandırma veya bilinen üçüncü taraf zafiyetlerine dayalı raporlar,
• DenizBank'ın önceden haberdar olduğu veya düzeltme sürecinde olduğu güvenlik açıkları,
• Kullanıcı arayüzü (UI) hataları, yazım hataları veya navigasyonla ilgili sorunlar gibi, güvenlikle doğrudan ilişkili olmayan konular,
• Rate limit ve brute force koruma mekanizmalarının yokluğu veya etkisizliği gibi, yaygın olarak bilinen ve düşük risk taşıyan zafiyetler.
• Kullanılan kütüphanelere ve bunların sürümlerine ilişkin güvenlik zafiyetleri, etkileyici bir Kanıtlayıcı Örnek (Proof of Concept - PoC) veya etkin bir sömürü yöntemi sağlanabiliyorsa, değerlendirme kapsamımıza alınabilir. Bu tür bulguların, sistemlerimiz üzerinde gerçek bir güvenlik riski oluşturabileceğinin gösterilmesi gerekmektedir.

Güvenlik araştırmacıları tarafından bulunan ve bu kapsam dışı listesine dahil olmayan ciddi güvenlik açıkları, DenizBank Finansal Hizmetler Grubu 'ın takdirine bağlı olarak dikkate alınacak ve gerekli düzeltici aksiyonlar alınacaktır. Bu tür raporların, DenizBank Finansal Hizmetler Grubu 'ın güvenlik duruşunu önemli ölçüde iyileştirebileceği ve DenizBank Finansal Hizmetler Grubu 'ın müşteri ve iş ortaklarının güvenliğini daha da güçlendirmesine katkıda bulunabileceği için, bu tür raporlar özel bir dikkat ve öncelikle değerlendirilecektir. Bu süreçte, güvenlik araştırmacılarıyla yakın işbirliği içinde çalışarak, bulguların doğrulanması, etkisinin anlaşılması ve gerekli düzeltmelerin yapılması için hızlı adımlar atılacaktır.

DenizBank Finansal Hizmetler Grubu, güvenlik topluluğu ile sürdürülebilir ve yapıcı bir ilişki kurmayı hedeflemekte ve bulunan güvenlik açıklarının raporlanması konusunda şeffaflık ve açık iletişim prensiplerine bağlı kalmaktadır. Bu doğrultuda, güvenlik araştırmacılarının katkıları, sadece güvenlik açıklarının kapatılmasına değil, aynı zamanda DenizBank Finansal Hizmetler Grubu'ın güvenlik kültürünün ve süreçlerinin sürekli iyileştirilmesine de yardımcı olmaktadır.

Araştırmacılar, güvenlik açıklarını tespit etmek için beyaz şapkalı hacker prensiplerine uygun test yöntemlerini kullanmalıdır. Testler sırasında elde edilen verilerin gizliliğine saygı gösterilmeli ve bu veriler üçüncü taraflarla paylaşılmamalıdır. Denizbank Finansal Hizmetler Grubu, testler sırasında oluşabilecek olumsuz durumlardan haberdar edilmelidir.

Güvenlik açıkları, aşağıdaki adımlar takip edilerek Denizbank Finansal Hizmetler Grubu 'a bildirilmelidir:

1. Güvenlik açığı, detaylı bir açıklama, etkilenen sistemler, potansiyel etkileri ve mümkünse güvenlik açığını gidermek için öneriler içerecek şekilde raporlanmalıdır.

2. Raporlar, Denizbank Finansal Hizmetler Grubu 'ın güvenlik ekibine özel olarak belirlenen iletişim kanalı üzerinden iletilecektir (guvenlikbildirimi@denizbank.com).

3. Denizbank Finansal Hizmetler Grubu, raporları değerlendirip gerekli önlemleri alacak ve araştırmacıya süreç hakkında bilgi verecektir.

DenizBank Finansal Hizmetler Grubu olarak, güvenlik açığı raporlama sürecinde şeffaflık ve etkin iletişimi esas alırız. Raporlanan güvenlik açıklarının incelenmesi ve geri dönüş yapılması aşağıdaki adımlar çerçevesinde gerçekleştirilir:

Rapor Alınması: Güvenlik açığı raporları, belirlenen iletişim kanalları aracılığıyla alınır. Her rapor, benzersiz bir takip numarası alır.

Önceliklendirme ve Değerlendirme: Raporlanan güvenlik açıkları, etkilerine göre önceliklendirilir. Etki oluşturan PoC veya somut sömürü yöntemi içeren raporlar, acil olarak değerlendirilir.

İletişim: Raporun alındığına dair araştırmacıya bir onay mesajı gönderilir. Bu, raporun incelenmeye başlandığını ve süreç hakkında bilgilendirme yapılmaya devam edileceğini belirtir.

Soruşturma ve Analiz: Güvenlik ekibimiz, raporlanan zafiyeti detaylı bir şekilde inceler, etkisini değerlendirir ve gerekli düzeltici önlemleri belirler.

Geri Dönüş ve Bilgilendirme: Araştırmaya dair bulgular ve alınan aksiyonlar hakkında araştırmacıya bilgi verilir. Bu süreçte, raporun durumu, alınan veya planlanan düzeltici önlemler hakkında araştırmacılarla açık bir iletişim sürdürülür.

Düzeltme ve Kapatma: Güvenlik açığının giderilmesinin ardından, rapor kapatılır ve gerektiğinde, sistemlerin ve süreçlerin iyileştirilmesine yönelik ek önlemler alınır.

DenizBank Finansal Hizmetler Grubu, güvenlik açığı bulan araştırmacılara teşekkür eder ve güvenlik topluluğu ile iş birliği içinde, sistemlerimizin ve hizmetlerimizin güvenliğini sürekli olarak geliştirmeyi hedefler.

DenizBank Finansal Hizmetler Grubu, bu politika kapsamında bildirilen güvenlik açıklarını araştıran kişilere karşı hukuki işlem başlatmayacaktır. Ancak, politikanın koşullarına uymayan veya zarar verici faaliyetlerde bulunan kişiler hakkında yasal işlem yapma hakkını saklı tutar.

DenizBank Finansal Hizmetler Grubu, bu politikayı herhangi bir zamanda güncelleme hakkını saklı tutar. Güvenlik açıkları hakkında bildirimde bulunacak araştırmacıların, raporlama öncesinde güncel politikayı gözden geçirmeleri önemlidir.