Güven merkezi

Ne söz veriyorsak, yazılı.

Barındırma, hizmet sürekliliği, zafiyet bildirimi ve eşlediğimiz çerçeveler. Bu sayfada yoksa sorun, buraya koyalım.

Kurallar

Dört kural ve her birini nasıl denetlersiniz.

  1. Dün orada olduğu için hiçbir şeye güvenilmez.

    İlk tarama, sunucuda zaten duran her ikiliyi, kütüphaneyi ve paketi orijinaliyle tartar. Referans orada olanı kaydeder, onu aklamaz.

    Nasıl denetlenir

    Bir pilotta ilk alarmı beklemeyin, ilk taramayı okuyun: kurulumdan önce değiştirilmiş bir dosya ilk gün ortaya çıkar.

    Kanıtı görün: Dün orada olduğu için hiçbir şeye güvenilmez.

  2. Kanıt bize sormadan doğrulanır.

    Kanıt kendi doğrulayıcısıyla birlikte imzalı bir paket olarak çıkar; hesapsız, çevrimdışı ve sunucularımıza bağlanmadan denetlenir.

    Nasıl denetlenir

    Bir denetim paketi dışa aktarın ve doğrulayıcısını ağa bağlı olmayan bir makinede çalıştırın. Manifestoyu, Ed25519 imzasını ve her kanıt dosyasını denetler; sonuç PASS ya da FAIL olur.

    Kanıtı görün: Kanıt bize sormadan doğrulanır.

  3. Değişiklik bir sorudur, alarm değil.

    Her değişiklik önce tartılır: orijinal mi, hangi paket getirdi, hangi süreç yazdı, değişiklik penceresinde mi. Bir Windows güncellemesi sunucu başına tek alarma katlanır.

    Nasıl denetlenir

    Bir pilotta tek bir yama gününü izleyin. Güncelleme her sunucuda bir kez, dosya sayısı ve kanıtıyla görünür; kontrolü geçemeyen bir dosya yine kendi başına durur.

    Kanıtı görün: Değişiklik bir sorudur, alarm değil.

  4. Her tespit kapalı ağınızda da çalışır.

    Kendi barındırdığınız kurulum aynı üründür: çevrimdışı imzalı lisans, elle taşınan imzalı güncellemeler, meşruiyet veritabanının yerel kopyası. Dışarıya yol isteyenler adıyla yazılır ve kapalıdır: itibar sorguları ve güvenilir zaman damgası.

    Nasıl denetlenir

    Bir kurulumu çevrimdışına alın ve karşılaştırın. Her tespit çalışmaya devam eder; itibar sorguları ve güvenilir zaman damgası susar, zafiyet verisi de içeri taşıdığınız bir sonraki güncellemeyi bekler.

    Kanıtı görün: Her tespit kapalı ağınızda da çalışır.

Barındırma, verinin yeri ve saklama

AB'de SaaS

Zero Door SaaS, Zerone tarafından Avrupa Birliği içindeki OVHcloud altyapısında işletilir; hedef bölge Paris. Kesin veri merkezi sipariş formunuzda yazar.

Kendi kurulumunuz ve kapalı ağ

Kendi kurulumunuz ve kapalı ağ sürümleri tüm veriyi çalıştırdığınız yerde tutar.

Saklama

Saklama süreleri kiracı bazında, sürümle yükselen bir tavanın altında belirlenir. Yasal saklama kararı silmeyi geçersiz kılar ve neyin silindiği bir uygulama kaydına yazılır.

Hizmet sürekliliği ve olay bildirimi

%99,5

aylık hizmet sürekliliği

Aylık hizmet sürekliliği %99,5, her kademede aynı.

48 saat

müşteriye ihlal bildirimi

Müşteriye ihlal bildirimi 48 saat içinde, her kademede.

  • Sorumluluk tavanı: son 12 ayda ödenen bedel; veri korumada iki katı.

Hizmet durumu

Henüz herkese açık bir durum sayfası yok. Olaylar ve bakım pencereleri sipariş formundaki teknik kişiye e-posta ile duyurulur.

Alt işleyenler

Alt işleyen listesi, standart sözleşmeler denetim makamına kaydedildikten sonra yayımlanır. O zamana kadar müşterilere gizlilik sözleşmesi altında talep üzerine verilir.

Eşlediğimiz çerçeveler

  • ISO/IEC 27001:2022
  • NIST SP 800-53 Rev 5
  • NIST CSF 2.0
  • PCI DSS v4.0
  • SOC 2
  • HIPAA Güvenlik Kuralı
  • GDPR
  • CIS Controls v8
  • NATO kataloğu (örnek)
  • 7545 Sayılı Siber Güvenlik Kanunu
  • KVKK Kişisel Veri Güvenliği Rehberi
  • BDDK Bilgi Sistemleri Yönetmeliği
  • Bilgi ve İletişim Güvenliği Rehberi

On üç çerçeve hazır gelir. Eşleme, denetim izinin ve raporların bu kontrollere göre düzenlendiği anlamına gelir. Zerone'un her çerçeve için sertifika taşıdığı anlamına gelmez; sertifikalar alındığında burada listelenir.

Zafiyet bildirimi

Zafiyetleri security@zeronesecurity.com adresine bildirin. İki iş günü içinde teyit ederiz ve iyi niyetli araştırmacıları kovuşturmayız. Tam politika ve güvenli liman koşulları yasal metinlerdedir.

Teşekkür listesi

Henüz teşekkür edilen bir zafiyet bildirimi yok. Doğruladığımız bildirimlerin sahipleri burada, seçtikleri adla ya da adsız olarak anılır.

security.txt/.well-known/security.txt adresinde yayında
# Zerone Security vulnerability reporting (RFC 9116)# Please do not report security issues in public channels.Contact: mailto:security@zeronesecurity.comEncryption: https://zeronesecurity.com/.well-known/pgp-key.txtAcknowledgments: https://zeronesecurity.com/trust#acknowledgementsPolicy: https://zeronesecurity.com/trust#disclosureExpires: 2027-09-01T00:00:00.000ZPreferred-Languages: en, trCanonical: https://zeronesecurity.com/.well-known/security.txt

Erişilebilirlik

WCAG 2.2 AA seviyesine göre geliştiriyor ve bunu yılda bir değil her değişiklikte denetliyoruz. Her sayfa otomatik taranır; aracın karar veremediği ölçütlerin birkaçı (yeniden akış, örtülen odak, durdurma denetimi) tarayıcıda çalışan betikli testlerle sınanır.

  • Her değişiklikte, iki dilde, bütün sayfalarda otomatik denetim.
  • 320 piksel genişlikte yeniden akış ve yapışkan başlığın hiçbir zaman örtmediği odak.
  • Hareket, işletim sistemindeki azaltılmış hareket ayarına uyar; süren her animasyonun durdurma denetimi vardır.

Gözümüzden kaçan bir şey mi buldunuz? Yazın, düzeltelim.

Bu sayfa, doğrulanmış.

Bu sayfadaki her satır içi betik güvenlik başlığındaki özetle eşleşir

Tarayıcı, o listede özeti bulunmayan hiçbir satır içi betiği çalıştırmaz; sayfa sunulduktan sonra eklenen satır içi bir betik de çalışmaz. Aşağıdaki özetler bu sayfadan okundu ve sayfa kaynağında duruyor.