Güvenlik Açığı Bildirimi Nedir?

Güvenlik açığı bildirimi bir sistemde, uygulamada veya ağda bulunan zafiyetin, onu düzeltme yetkisi olan kişiye ya da kuruma zarar vermeden, kanıtlarıyla ve sorumlu bir dille iletilmesidir. Örneğin bir e-ticaret sitesinde yetkisiz erişime izin veren bir hata bulduğunuzda, bu hatayı herkese açıklamadan önce ilgili ekibe bildirmek hem kullanıcıları korur hem de sizi ciddi yasal risklerden uzak tutar. Bu rehberde güvenlik açığı bildirimi nedir, güvenlik açığı nasıl bildirilir, sorumlu açıklama süreci nasıl işler ve bildirimi alan şirket ne yapmalı sorularına sade ve uygulanabilir yanıtlar bulacaksınız. Amaç suçlu aramak değil, zafiyeti kapatmak ve kullanıcıları korumaktır. Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.

Güvenlik Açığı Bildirimi Nedir ve Neden Önemlidir?

Güvenlik açığı bildirimi, bir yazılım, web uygulaması, ağ cihazı veya bulut sisteminde tespit edilen zafiyetin, düzeltme yetkisi olan üreticiye ya da sistem sahibine iletilmesidir. Buradaki temel amaç, hatayı yaymak veya istismar etmek değil; kullanıcıları ve sistemleri korumak için düzeltme sürecini başlatmaktır. Sorumlu açıklama olarak da bilinen bu yaklaşım, bildirimi yapan kişiye yasal ve etik bir çerçeve kazandırır. Koordineli açıklama modelinde üretici, bildirim sahibi ve gerekirse CERT gibi üçüncü taraflar zaman planı üzerinde anlaşır. Tam açıklama modelinde zafiyet, düzeltme beklemeden kamuya duyurulur; bu yöntem baskı oluştursa da kullanıcılar için ciddi risk taşır. Bug bounty programları, ödül karşılığında güvenlik açığı bildirimi yapılmasını teşvik eder. CVE, bilinen güvenlik açıklarına uluslararası kimlik veren sistemdir. CVSS ise bir zafiyetin ciddiyetini puanlayan standarttır. Güvenlik açığı bildirimi neden önemlidir diye sorulduğunda, ilk yanıt veri ihlallerinin önlenmesidir. Zamanında yapılan bildirim, milyonlarca kullanıcının verisinin çalınmasını engelleyebilir. Ayrıca şirket itibarı, müşteri güveni ve yasal uyumluluk açısından kritik bir savunma hattıdır. Güvenlik açığı bildirimi yasal mı sorusunun yanıtı, testin izinli olup olmadığına bağlıdır; izinsiz sızma testi birçok ülkede suç kapsamına girebilir.

Güvenlik açığı bildirimi, kullanıcı verilerini korumak için atılan ilk adımdır.
Sorumlu açıklama, üreticiye düzeltme için makul süre tanır.
Koordineli açıklama, tarafların ortak takvim ve içerik üzerinde anlaşmasını sağlar.
Tam açıklama, düzeltme yoksa veya süreç tıkanırsa zafiyetin kamuya duyurulmasıdır.
Bug bounty, araştırmacıları ödül karşılığında bildirim yapmaya teşvik eder.
CVE, zafiyetlere uluslararası kimlik verir.
CVSS, zafiyetin ciddiyetini puanlar.
İzinsiz test, yasal sorunlara yol açabilir.

Güvenlik Açığı Nasıl Bildirilir?

Güvenlik açığı nasıl bildirilir sorusunun yanıtı, teknik kanıt kadar etik ve hukuki çerçeveye dayanır. Aşağıdaki adımlar, güvenlik açığı bildirimi örneği oluştururken uygulanabilir bir yol haritası sunar. Önce kapsamı doğrulayın. Hangi sistemlerin test edilmesine izin verildiğini, hangi verilerin yasak olduğunu yazılı olarak kontrol edin. Sonra minimum kanıt toplayın. Zafiyeti kanıtlayacak en az sayıda ekran görüntüsü, istek/yanıt kaydı veya log parçası alın; gereksiz veri kopyalamayın. İletişim kanalını bulun. security.txt, security@, hata ödülü platformu veya kurumsal iletişim sayfası üzerinden doğru muhatabı belirleyin. Şifreli iletişim kullanın. Mümkünse PGP anahtarı ile şifrelenmiş e-posta gönderin; hassas kanıtları açık kanallardan paylaşmayın. Raporu yazın. Başlık, özet, etki, adımlar, PoC, ekran görüntüsü, log ve önerilen düzeltme bölümlerini ekleyin. Gönderin ve takip numarası isteyin. Bildirimin alındığına dair yazılı teyit ve bir takip numarası talep edin. Makul süre tanıyın. Genellikle 90 gün kabul edilir; kritik sistemlerde bu süre uzayabilir veya kısalabilir. CVE başvurusu yapın. Üretici istemiyorsa veya süreç tıkanırsa CVE Numbering Authority üzerinden CVE başvurusu değerlendirin. Koordineli açıklama planlayın. Kamuya açıklama tarihini, içeriğini ve teknik detay seviyesini üreticiyle birlikte belirleyin. Kayıt tutun. Tüm e-posta, rapor ve zaman çizelgesini saklayın; olası hukuki ihtilaflarda bu kayıtlar koruma sağlar.

Kapsamı doğrulamadan teste başlamayın.
Minimum kanıtla yetinin ve gereksiz veri toplamayın.
Doğru güvenlik iletişim kanalını bulun.
Mümkünse PGP ile şifreli iletişim kurun.
Raporda özet, etki, adımlar ve PoC bölümlerini eksiksiz verin.
Bildirimin alındığına dair yazılı teyit isteyin.
Düzeltme için makul süre tanıyın.
Gerekirse CERT/TR veya USOM’a başvurun.
Kamuya açıklama tarihini üreticiyle planlayın.
Tüm yazışmaları ve kanıtları saklayın.

Güvenlik Açığı Bildirimi Alan Şirket Ne Yapmalı?

Bir güvenlik açığı bildirimi alan şirket ne yapmalı sorusu, olay müdahalesinin en kritik aşamasıdır. İlk yapılması gereken, bildirimi kayıt altına almak ve bildiren kişiye teşekkür etmektir. Ardından triyaj ekibi zafiyeti doğrular, CVSS skoru ile ciddiyetini belirler. Etki analizi yapılır; hangi sistemler, veriler ve kullanıcılar etkileniyor tespit edilir. Geçici önlemler devreye alınır: erişim kısıtlama, WAF kuralı, yapılandırma değişikliği veya ilgili servisin geçici olarak kapatılması. Kalıcı yama geliştirilir, test ortamında doğrulanır ve üretime alınır. Müşterilere ve gerekiyorsa düzenleyici kurumlara bildirim yapılır. Koordineli açıklama için bildirim sahibiyle iletişim sürdürülür; açıklama tarihi ve içeriği ortaklaşa belirlenir. Ödül veya teşekkür politikası uygulanır; bu, gelecekteki bildirimleri teşvik eder. Kök neden analizi yapılır ve SDLC süreçleri iyileştirilir. Önemli uyarı: Bildirimi görmezden gelmek veya bildiren kişiyi tehdit etmek, itibar kaybı ve yasal yaptırımlarla sonuçlanabilir. SLA ve iletişim kanalları önceden tanımlanmalıdır.

Bildirimi hemen kayıt altına alın.
Bildiren kişiye teşekkür edin.
Triyaj ve doğrulama yapın.
CVSS ile ciddiyet puanı belirleyin.
Etki analizini tamamlayın.
Geçici önlemleri devreye alın.
Kalıcı yamayı test edip üretime alın.
Müşterilere ve gerekli kurumlara bildirim yapın.
Koordineli açıklama takvimi belirleyin.
Ödül veya teşekkür politikası uygulayın.
Kök neden analizi yapın.
Süreçleri sürekli iyileştirin.

Bu rehberdeki adımlar, güvenlik açığı bildirimi sürecini hem araştırmacı hem de şirket tarafında daha öngörülebilir hale getirir. Amaç suçlu aramak değil, zafiyeti kapatmak ve kullanıcıları korumaktır. Bu içerik genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.