IBM Application Security on Cloud (Bulut Üzerinde IBM Uygulama Güvenliği)

Transkript

1 Hizmet Tanımı IBM Application Security on Cloud (Bulut Üzerinde IBM Uygulama Güvenliği) Bu Hizmet Tanımında, IBM tarafından Müşteriye sağlanan Bulut Hizmeti açıklanır. Müşteri, sözleşmeyi imzalayan taraf ile onun yetkili kullanıcılarını ve Bulut Hizmetinin alıcılarını ifade eder. İlgili Fiyat Teklifi ile Yetki Belgesi, ayrı İşlem Belgeleri olarak sağlanır. 1. Bulut Hizmeti IBM Application Security on Cloud, Müşteriye çeşitli uygulamalar için güvenlik açıklarının (SQL enjeksiyonu, Siteler Arası Komut Dosyası Oluşturma [Cross-Site Scripting] ve Veri Sızması [Data Leakage] gibi) belirlenmesinde yardımcı olacak tek bir yer sağlar. Bu hizmet çeşitli türlerde uygulama güvenliğini tarama tekniklerini içerir. Bu tekniklerin her biri ilgili uygulamadaki güvenlik sorunları belirler. IBM Application Security on Cloud aşağıdaki yetenekleri sağlar: Güvenlik açıkları için Mobil Uygulamaların taranması. Bu tarama işlemi, etkileşimli (glassbox) güvenlik analizi teknikleri kullanılarak gerçekleştirilir. Güvenlik açıkları için, genel kullanıma yönelik olan veya özel ağda bulunan üretim veya üretim öncesi Web sitelerinin taranması. Bu tarama işlemi, Dinamik (kara kutu (blackbox)) güvenlik analizi teknikleri kullanılarak gerçekleştirilir. Güvenlik açıkları için Web ve Masaüstü uygulamalarındaki veri akışlarının taranması. Bu tarama işlemi, Statik (beyaz kutu [whitebox]) güvenlik analizi teknikleri kullanılarak gerçekleştirilir. Bir uygulamada kullanılan ve güvenlik açığı bulunan Açık Kaynak paketlerinin belirlenmesi. Hem bulguların genel özetlerini hem de geliştiriciler tarafından izlenebilecek olan açıkları giderme adımlarını içeren ayrıntılı güvenlik açığı raporları. Çeşitli DevOps platformlarıyla bütünleştirme. Gerçek güvenlik açıklarının giderilmesinde geniş tarama kapsamı ve hız/verimlilik için kognitif yetenekler. 1.1 IBM Application Security Analyzer (IBM Uygulama Güvenliği Analizcisi) IBM Application Security Analyzer; Uygulama Eşgörünümü başına, İş (tarama) başına veya bir Eşgörünüm olarak sipariş edilebilir ve aşağıdaki türlerde tarama yapılmasını sağlar: Dynamic Analyzer Dinamik Uygulama Güvenliği Testi (DAST) teknikleri aracılığıyla teste ilişkin üretim öncesi veya üretim web siteleri Mobile Analyzer Etkileşimli Uygulama Güvenliği Testleri (IAST) aracılığıyla ios veya Android ikili kodlarının test edilmesi Static Analyzer Statik Uygulama Güvenliği Testi (SAST) teknikleri aracılığıyla bayt veya kaynak kod veri akışının test edilmesi Intelligent Finding Analytics for IBM AppScan Source AppScan Source değerlendirmeleri için yanlış pozitifler ile paraziti azaltmak ve en uygun düzeltme konumlarını belirlemek amacıyla kognitif yetenekleri kullanın. 1.2 IBM Application Security Open Source Analyzer (IBM Uygulama Güvenliği Açık Kaynak Analizcisi) IBM Application Security Open Source Analyzer, uygulama kodunda kullanılan açık kaynak paketlerini keşfeder ve saptar. Bu paketleri güvenlik açıkları için inceler ve düzeltme önerileri sağlar. IBM Application Security Open Source Analyzer, Uygulama Eşgörünümü başına ya da bir Eşgörünüm olarak sipariş edilebilir. 2. İçeriğin ve Verilerin Korunması Veri İşleme ve Veri Koruma sayfasında (Veri Sayfası), işlenmesi mümkün olan İçeriğin türü, ilgili işleme etkinlikleri, veri koruma özellikleri ve İçeriğin saklanmasına ve iadesine ilişkin Bulut Hizmetine özgü bilgiler i (05/2018) Sayfa 1 / 7

2 sağlanır. Bulut Hizmetinin ve varsa, veri koruma özelliklerinin kullanımına ilişkin herhangi bir ayrıntı ya da açıklama ve koşullar, Müşterinin sorumlulukları da dahil olmak üzere bu maddede belirtilmiştir. Müşteri tarafından seçilen seçeneklere bağlı olarak, Müşterinin Bulut Hizmetini kullanımı için geçerli olabilecek birden fazla Veri Sayfası mevcut olabilir. Veri Sayfası, yalnızca İngilizce dilinde kullanılabilir ve yerel dilde mevcut değildir. Taraflar, yerel kanunların ya da teamüllerin uygulamaları dikkate alınmaksızın, İngilizce dilini anladıklarını ve bu dilin, Bulut Hizmetlerinin satın alınmasına ve kullanımına ilişkin uygun bir dil olduğunu kabul ederler. Bulut Hizmeti ve bu kapsamda mevcut olan hizmetler için aşağıdaki Veri Sayfası/Sayfaları geçerlidir.müşteri, i) IBM'in yalnızca kendi takdirinde olmak üzere Veri Sayfasını/Sayfalarını muhtelif zamanlarda değiştirebileceğini ve ii) anılan değişikliklerin önceki sürümlerin yerini alacağını kabul eder. Veri Sayfasında/Sayfalarında yapılacak herhangi bir değişikliğin amacı, i) mevcut taahhütlerin iyileştirilmesi ya da daha açık hale getirilmesi, ii) benimsenmiş güncel standartlara ve geçerli kanunlara uygunluğun sürdürülmesi ya da iii) ek taahhütler sağlanması olacaktır. Veri Sayfasında/Sayfalarında yapılacak herhangi bir değişiklik, bir Bulut Hizmetinin veri korumasını esaslı olarak azaltmayacaktır. Geçerli Veri Sayfalarının Bağlantıları: Müşteri, bir Bulut Hizmeti için mevcut veri koruma özelliklerini sipariş etmek, etkinleştirmek ya da kullanmak üzere gerekli işlemleri gerçekleştirmekten sorumludur ve İçeriğe ilişkin herhangi bir veri koruma kanununun gereksinimlerinin ya da diğer hukuki gereksinimlerin yerine getirilmesi de dahil olmak üzere anılan işlemleri gerçekleştirmemesi durumunda Bulut Hizmetlerinin kullanımına ilişkin sorumluluğu kabul eder. İçeriğe dahil olan kişisel veriler için Avrupa Genel Veri Koruma Yönetmeliği'nin (EU/2016/679) (GVKY- GDPR) geçerli olması durumunda ve geçerli olduğu ölçüde, IBM'in adresinde yer alan Veri İşleme Ek Sözleşmesi ve Veri İşleme Ek Sözleşme Ek(ler)i geçerli olur ve atıf yoluyla Sözleşmeye dahil edilmiştir. Bu Bulut Hizmeti için geçerli olan Veri Sayfaları, Veri İşleme Ek Sözleşmesi Eki olarak geçerli olacaktır. Veri İşleme Ek Sözleşmesi uygulanıyorsa, IBM'in değişiklikleri Alt İşleyenlere bildirme yükümlülüğü ve Müşterinin söz konusu değişikliklere itiraz etme hakkı Veri İşleme Ek Sözleşmesinde belirtildiği şekilde uygulanacaktır. 2.1 Veri Kullanımı IBM, Müşterinin Bulut Hizmetinden kaynaklanan ve Müşterinin İçeriğine (Öngörüler) özgü olan veya başka bir şekilde Müşteriyi tanımlayan sonuçları kullanmayacak veya açıklamayacaktır. Bununla birlikte IBM, herhangi bir müşteriye ait ve kişisel verinin artık ek bilgiler kullanılmadan belirli bir kişiyle ilişkilendirilememesini sağlamak için müşteriye ait ve kişisel tanıtıcıların kaldırılması kaydıyla, İçeriği ve Bulut Hizmetinin sağlanması sırasında İçerikten kaynaklanan diğer bilgileri (Öngörüler hariç) kullanabilir. IBM, bu verileri yalnızca araştırma, testler ve olanak geliştirmesi amaçlarıyla kullanacaktır. 3. Hizmet Seviyesi Sözleşmesi IBM, Yetki Belgesinde belirtildiği şekilde Bulut Hizmeti için aşağıda belirtilen kullanılabilirlik hizmet seviyesi sözleşmesini sağlar. Hizmet Seviyesi Sözleşmesi bir garanti değildir. Hizmet Seviyesi Sözleşmesi yalnızca Müşteriye sağlanır ve yalnızca üretim ortamlarındaki kullanımlar için geçerli olur. 3.1 Kullanılabilirlik Alacakları Müşteri, iş üzerinde kritik etkisi olan ve Bulut Hizmetini kullanılamaz hale getiren bir sorundan ilk kez haberdar olmasını izleyen yirmi dört (24) saat içinde IBM teknik destek yardım masasına Önem Derecesi 1 olan bir destek bildirimi kaydı açtırmalıdır. Müşteri, her türlü sorun tanılama ve çözümleme sürecinde makul sınırlar içinde IBM'e yardımcı olmalıdır. Hizmet Seviyesi Sözleşmesinin koşulları karşılanamadığında, sözleşmenin yürürlükte olduğu ayın sona ermesinden itibaren 3 iş günü içerisinde bir destek bildirimi talebinin gönderilmesi gerekir. Geçerli Hizmet Seviyesi Sözleşmesi talebine ilişkin telafi ücreti, Bulut Hizmetinin sağlanmadığı üretim sistemi işlemleri boyunca geçen süre ("Kapalı Kalma Süresi") esas alınarak Bulut Hizmeti için gelecekte Müşteri tarafından düzenlenecek bir faturaya alacak olarak kaydedilecektir. Kapalı Kalma Süresi, Müşterinin kapalı kalma olayını raporladığı zamandan başlayıp Bulut Hizmetinin yeniden çalışmaya başladığı zamana kadar geçen süre esas alınarak ölçülür ve bu süreye şunlar dahil değildir: planlı ya da önceden duyurulmuş bir bakım için yapılan kesintiler, IBM'in kontrolü dışında ortaya çıkan nedenler, Müşteri ya da üçüncü kişi içeriğinin veya teknolojisinin, tasarımlarının ya da yönergelerinin yarattığı sorunlar, desteklenmeyen i (05/2018) Sayfa 2 / 7

3 sistem yapılandırmaları ve platformları ya da diğer Müşteri hataları ya da Müşteriden kaynaklanan güvenlik sorunları veya Müşterinin güvenlik testleri. IBM, aşağıdaki tabloda gösterildiği şekilde, Sözleşmenin yürürlükte olduğu her ay boyunca Bulut Hizmetinin kümülatif kullanılabilirliği doğrultusunda geçerli olan en yüksek telafi ücretini uygulayacaktır. Sözleşmenin yürürlükte olduğu herhangi bir aya ilişkin toplam telafi ücreti, Bulut Hizmetinin yıllık ücretinin on ikide birinin (1/12) yüzde onundan (%10) fazla olmayacaktır. 3.2 Hizmet Seviyeleri Bir sözleşmenin yürürlükte olduğu ay boyunca Bulut Hizmetinin kullanılabilirliği Bir sözleşmenin yürürlükte olduğu ay boyunca kullanılabilirlik Telafi ücreti (Talebe konu olan sözleşmenin yürürlükte olduğu ay için aylık abonelik ücretinin* yüzdesi) %99,9'den daha az %2 %99'dan daha az %5 %95'ten az %10 * Aylık abonelik ücreti, Bulut Hizmetinin bir IBM Çözüm Ortağından edinilmiş olması durumunda, talebe konu olan sözleşmenin yürürlükte olduğu ayda geçerli olan Bulut Hizmeti güncel liste fiyatına %50 oranında indirim uygulanarak hesaplanır. IBM, geri ödemeyi doğrudan Müşteriye yapacaktır. Kullanılabilirlik yüzdesel olarak ifade edilir ve aşağıda belirtilen şekilde hesaplanır: sözleşmenin yürürlükte olduğu ay içindeki toplam dakika sayısından sözleşmenin yürürlükte olduğu ay içindeki toplam Kapalı Kalma Süresi dakikalarının sayısı çıkartılır ve sonuç sözleşmenin yürürlükte olduğu ay içindeki toplam dakika sayısına bölünür. 4. Teknik Destek Bulut Hizmeti için teknik destek, e-posta, çevrimiçi forumlar ve çevrimiçi sorun bildirim sistemi aracılığıyla sağlanır. IBM'in adresinde bulunan hizmet olarak sunulan yazılım destek el kitabı, teknik destekle ilgili iletişim bilgilerinin yanı sıra diğer bilgi ve süreçleri içerir. Teknik Destek, Bulut Hizmetine dahildir ve ayrı bir olanak olarak sağlanmaz. 4.1 Müşteri Verilerine Erişim IBM, hizmete ilişkin sorunların tanılanması ve Müşterinin uygulamasında hizmet tarafından tarama yapılmasını kolaylaştırmak amacıyla Müşteri verilerine erişebilecektir. IBM, verilere yalnızca kusurların giderilmesi ya da IBM ürünleri veya hizmetleri için destek sağlanması amaçlarıyla erişecektir. 5. Yetki ve Faturalandırma Bilgileri 5.1 Ücret Ölçüleri Bulut Hizmeti, İşlem Belgesinde belirtilen ücret ölçüsünde sağlanır: a. İş, Bulut Hizmetin edinilebileceği bir ölçü birimidir. Bulut Hizmeti içinde yer alan ve daha fazla bölünemeyen bir nesne olan iş, tüm alt süreçleri de dahil olmak üzere, bir bilgi işlem sürecini temsil eder. Müşteri, Yetki Belgesinde ya da İşlem Belgesinde belirtilen ölçüm süresi boyunca Bulut Hizmeti tarafından işleme konan ya da yönetilen toplam İş sayısını karşılamak için yeterli sayıda yetki edinmelidir. b. Uygulama Eşgörünümü, Bulut Hizmetinin edinilebileceği bir ölçü birimidir. Bulut Hizmetine bağlı olan bir Uygulamanın her bir eşgörünümü için bir Uygulama Eşgörünümü yetkisi edinilmelidir. Bir Uygulamanın çok sayıda bileşeni varsa, ayrı bir amaca ve/veya kullanıcı tabanına hizmet veren ve Bulut Hizmetine bağlanabilen ya da Bulut Hizmeti tarafından yönetilen her bileşen ayrı bir Uygulama olarak kabul edilir. Ayrıca, bir Uygulama için test, geliştirme, hazırlık ve üretim ortamlarının her biri Uygulamanın ayrı eşgörünümleri olarak kabul edilir ve her biri için bir yetki edinilmelidir. Tek bir ortamdaki çok sayıda Uygulama Eşgörünümünün her biri, Uygulamanın ayrı eşgörünümleri olarak kabul edilir ve her biri için ayrı bir yetki edinilmelidir. Müşterinin, Yetki Belgesinde ya da İşlem Belgesinde belirtilen ölçüm süresi boyunca Bulut Hizmetine bağlanan Uygulama Eşgörünümü sayısını karşılamak için yeterli sayıda Yetki edinmesi gerekir. i (05/2018) Sayfa 3 / 7

4 Bu Bulut Hizmetinin amaçları doğrultusunda Uygulama Eşgörünümleri, aşağıda ayrıntılı olarak tanımlandığı şekilde tek bir uygulamada yapılan art arda taramalardır: Dinamik Testler için: genel veya özel URL aracılığıyla adreslenebilen bir web sitesi. Her Uygulama Eşgörünümü, tek bir etki alanında en fazla sayfalık bir site için yetki verir. Statik Testler için: tek bir yürütülebilir ortam için oluşturulmuş bir kod birimidir. Her Uygulama Eşgörünümü, satıra kadar kod birimlerini tarama yetkisi verir. Mobil Testler için: mobil aygıt üzerinde yürütülebilir ikili kod birimidir. Her farklı mobil platform (örn: ios ve Android) farklı Uygulama Eşgörünümlerini oluşturur. Açık Kaynak Testleri için: tek yürütülebilir ortam için oluşturulmuş bir kod birimidir. Her Uygulama Eşgörünümü, satıra kadar kod birimlerini tarama yetkisi verir. Intelligent Finding Analytics for IBM AppScan Source için: tek AppScan Source değerlendirme dosyasıdır. c. Eşgörünüm, Bulut Hizmetinin edinilebileceği bir ölçü birimidir. Bir Eşgörünüm, Bulut Hizmetinin belirli bir yapılandırmasına erişimdir. Müşterinin Yetki Belgesinde veya İşlem Belgesinde belirtilen ölçüm süresi içinde erişilmesine ve kullanılmasına izin verilen her Bulut Hizmeti Eşgörünümü için yeterli sayıda yetki edinilmelidir. Her Eşgörünüm yetkisi için, gerçekleştirilen İş veya Uygulama Eşgörünümü (bağlı Uygulamalar) sayısında bir sınır yoktur, ancak aynı anda en fazla 10 İş çalıştırılabilir. 5.2 Limit Aşımı Ücretleri Ölçüm süresi boyunca Bulut Hizmetinin fiili kullanımı Yetki Belgesinde belirtilen yetkiyi aşarsa, limit aşımı ücreti için, limit aşımını izleyen ayda İşlem Belgesinde belirtilen şekilde ücret üzerinden Müşteriye fatura düzenlenecektir. 5.3 Faturalama Sıklığı IBM, vade bitiminde ödenecek olan limit aşım ücretleri ve kullanım tipi ücretleri dışında, seçili faturalama sıklığına bağlı olarak, ödenmesi gereken ücretler için faturalama sıklığı süresinin başında Müşteriye fatura düzenleyecektir. 5.4 Doğrulama Müşteri, i) Müşterinin Sözleşmeye uygunluğunun IBM ile IBM'in bağımsız denetçisi tarafından doğrulanması için makul ölçüler dâhilinde gerekli olduğu şekilde kayıt ve sistem aracı çıktıları tutacak ve talep edilmesi durumunda bunları sağlayacaktır ve ii) IBM'in ilgili tarihte geçerli olan tarifeleri uyarınca gerekli yetkileri en kısa süre içinde sipariş edecek ve bunların ücretleri ile IBM tarafından bir faturada belirtilen şekilde, söz konusu doğrulama sonucunda belirlenen diğer ücretleri ve yükümlülükleri ödeyecektir. Bu uygunluk doğrulaması yükümlülükleri, bu Bulut Hizmetinin süresi ve bunu izleyen iki yıl boyunca yürürlükte kalacaktır. 6. Süre ve Yenileme Seçenekleri Bulut Hizmetinin süresi, Yetki Belgesinde belgelenmiş olduğu şekilde, Bulut Hizmetine erişiminin etkinleştirildiğinin IBM tarafından Müşteriye bildirildiği tarihte başlar. Yetki Belgesinde Bulut Hizmetinin, otomatik olarak mı yenileneceği, sürekli kullanım esasına göre mi işleneceği yoksa kullanım süresinin sonunda sona mı ereceği belirtilir. Otomatik yenileme için: Müşteri, olanağı kullanımını yenilemeyeceğini sürenin sona erme tarihinden en az otuz (30) gün önce yazılı olarak bildirmediği sürece, Bulut Hizmeti, Yetki Belgesinde belirtilen süreye uygun olarak kendiliğinden yenilenir. Sürekli kullanım için: Müşteri, olanağı kullanımını sona erdireceğine ilişkin bildirimi sürenin sona erme tarihinden otuz (30) gün önce yazılı olarak gönderinceye kadar, Bulut Hizmeti aylık kullanım esasına göre kullanılmaya devam edecektir. Bulut Hizmeti, 30 günlük bu bildirim süresinin sona ermesini izleyen takvim ayının sonuna kadar kullanılmaya devam edilebilir. i (05/2018) Sayfa 4 / 7

5 7. Ek Koşullar 7.1 Güvenlikle İlgili Olarak Göz Önünde Bulundurulması Gereken Hususlar Güvenlik taramaları, bir uygulama içindeki tüm güvenlik risklerini belirleyemeyebilir. Ayrıca, bu taramalar; güvenlik risklerinin belirlenememesi durumunda ölüm, kişisel yaralanma veya maddi zarara yol açabileceği hava taşıtı seyrüseferi, hava trafik kontrol sistemleri, silah sistemleri, yaşam destek sistemleri, nükleer tesisler veya diğer tüm uygulamalar dahil, fakat tümü bunlarla sınırlı olmamak kaydıyla hatalara karşı güvenli çalışma gerektiren tehlikeli ortamlarda kullanılmak üzere tasarlanmamış veya bu şekilde kullanılması amaçlanmamıştır. Bulut Hizmeti, Müşterinin yasaları, yasal düzenlemeleri, standartları ya da uygulamaları esas alan uyumluluk yükümlülüklerini yerine getirmesinde Müşteriye yardımcı olmak üzere kullanılabilir. Bulut Hizmeti tarafından sağlanan herhangi bir yönerge, önerilen kullanım veya rehberlik, yasal, muhasebeyle ilişkili ya da diğer bir profesyonel danışmanlık niteliğinde değildir ve Müşteri, kendisi için yasal danışmanlık veya diğer uzmanlık konularına ilişkin danışmanlık alması için uyarılır. Bu Bulut Hizmetinin kullanımı, herhangi bir yasaya, mevzuata, standarda veya uygulamaya uygunluğu garanti etmez. Bulut Hizmeti, Müşterinin taramayı seçtiği web sitesi ve web uygulaması veya mobil uygulama üzerinde yayılımcı (invasive) ve yayılımcı olmayan (non-invasive) testler gerçekleştirir. Belirli yasalar, bilgisayar sistemlerine herhangi bir yetkisiz giriş teşebbüsünü ya da erişimi yasaklamaktadır. Müşteri, Hizmetleri burada açıklandığı şekilde yerine getirmesi için IBM e yetki verir ve Hizmetlerin, Müşterinin bilgisayar sistemlerine yetkili erişimi içerdiğini onaylar. IBM, Hizmetleri gerçekleştirmek için gerekli görmesi halinde, bu yetkilendirmeyi üçüncü taraflara açıklayabilir. Testler, aşağıdakiler de dahil, ancak tamamı bunlarla sınırlı olmamak üzere belirli riskler taşımaktadır. a. Müşterinin bilgisayar sistemleri, test edilen uygulamaların çalıştırılması sırasında kilitlenebilir ya da çökebilir ve bu da sistemin geçici olarak kullanılamamasına ya da veri kaybına yol açabilir; b. Müşteri sistemlerinin performansı ve veri çıkışı, aynı zamanda ilgili yönlendiricilerin ve güvenlik duvarlarının performansı ve veri çıkışı, test sırasında geçici olarak düşebilir; c. Çok yüksek miktarda günlük iletisi oluşturulabilir ve bu da çok yüksek miktarda günlük dosyası disk alanı tüketimi ile sonuçlanabilir; d. Güvenlik açıklarının algılanması sonucunda veriler değiştirilebilir ya da silinebilir; e. İzinsiz giriş saptama sistemleri tarafından alarmlar tetiklenebilir; f. Test edilen Web uygulamasının e-posta işlevi tarafından e-postalar tetiklenebilir; ve g. Bulut Hizmeti, olayları aramak amacıyla, izlenmekte olan ağın trafiğini durdurabilir. Testlere tabi olan web siteleri veya uygulamalar ile ilgili olan ve IBM tarafından sağlanan herhangi bir hizmet seviyesi sözleşmesine ilişkin haklardan ve yasal yollardan, herhangi bir test etkinliği sırasında feragat edilir. Test edilmekte olan uygulama için kimlik doğrulaması gerçekleştirilmiş oturum açma kimlik bilgilerinin Müşteri tarafından Bulut Hizmetine girilmesi durumunda, Müşteri bu kimlik bilgilerini üretim kullanıcıları için değil, yalnızca test hesapları için girmelidir. Üretim kullanıcısı kimlik bilgilerinin kullanılması, kişisel verilerin Bulut Hizmeti aracılığıyla aktarılmasına neden olabilir. Bulut Hizmeti, üretimde kullanılan web uygulamalarını tarayacak şekilde yapılandırılabilir. Müşteri, tarama tipini "üretim" olarak ayarladığında, hizmet, taramaları yukarıda listelenen riskleri azaltacak şekilde gerçekleştirmek üzere tasarlanır, ancak belirli durumlarda IBM Hizmet Olarak Sunulan Yazılımları test edilen üretim sitelerinde veya altyapılarında performans düşüşüne veya dengesizliklere yol açabilir. IBM, IBM Hizmet Olarak Sunulan Yazılımlarının üretim sitelerini taramak üzere kullanılması için uygun olduğuna ilişkin hiçbir garanti vermez ve beyanda bulunmaz. Bulut Hizmetinin, Müşterinin web sitesi, web uygulaması, mobil uygulaması ya da teknik ortamı için uygun ya da güvenli olup olmadığını belirlemek Müşterinin sorumluluğundadır. Bulut Hizmeti, mobil ve Web uygulamalarındaki ve Web hizmetlerindeki çeşitli potansiyel güvenlik ve mevzuata uygunluk sorunlarını belirlemek üzere tasarlanmıştır. Bu olanak, tüm güvenlik açıklarını ya da uygunluk risklerini test etmez ya da güvenlik saldırıları için bir engel olarak hizmet vermez. Güvenlik tehditleri, mevzuatı ve standartları sürekli olarak değişmektedir ve Bulut Hizmeti bu değişikliklerin tamamını yansıtmayabilir. Müşterinin Web uygulamasının, sistemlerinin ve çalışanlarının güvenliği ve uyumluluğu ile herhangi bir çözüm etkinliği yalnızca Müşterinin sorumluluğundadır. Bulut Hizmeti kapsamında sağlanan bilgileri kullanmak veya kullanmamak yalnızca Müşterinin takdirindedir. i (05/2018) Sayfa 5 / 7

6 Belirli yasalar, bilgisayar sistemlerine herhangi bir yetkisiz giriş teşebbüsünü ya da erişimi yasaklamaktadır. Müşterinin bulut hizmetini kendisine ait olmayan ya da tarama yetkisine ve hakkına sahip olmadığı herhangi bir web sitesinin ve uygulamanın taranması için kullanmamasının sağlanmasından Müşteri sorumludur. Konuya açıklık getirmek amacıyla, Bulut Hizmeti Sözleşmesi veya Kullanım Koşulları - Bulut Olanakları İçin Genel Koşullar belgesinin Veri Koruma bölümünde açıklanan Müşteri içeriğinin, Uygulama Sızma Testleri sırasında IBM tarafından erişilebilir hale gelebilecek verileri içereceği de düşünülmektedir. 7.2 Etkinleştirme Yazılımı Bulut Hizmeti için, Bulut Hizmetinin kullanımını kolaylaştırmak amacıyla Müşterinin kendi sistemlerine karşıdan yüklediği etkinleştirme yazılımının kullanılması gerekebilir. Müşteri, etkinleştirme yazılımını yalnızca Bulut Hizmetinin kullanımıyla bağlantılı olarak kullanabilir. Etkinleştirme yazılımı, Müşteriye aşağıdaki koşullar kapsamında sağlanır: Etkinleştirme Yazılımı Static Analyzer Client Utility (IRX Generator) AppScan Presence Geçerli Lisans Koşulları (varsa) Kullanım için olduğu gibi sağlanır Kullanım için olduğu gibi sağlanır 7.3 Üçüncü Kişilerin Mülkiyetinde Olan Sistemler Müşteri, üçüncü kişilerin mülkiyetinde olan ve burada tanımlanan testlere tabi tutulacak sistemler (bu hükmün amacı doğrultusunda uygulamaları ve IP adreslerini kapsar, ancak tamamı bunlarla sınırlı değildir) için aşağıdakileri kabul eder: a. Müşteri, üçüncü kişilere ait bir sistem üzerinde IBM testlere başlamadan önce, her sistemin sahibinden IBM'in Hizmetleri anılan sistem üzerinde sağlamasına yetki veren ve sistem sahibinin "Testleri Gerçekleştirme İzni" (Permission to Perform Testing) başlıklı bölümde belirtilen koşulları kabul ettiğini belirten imzalı bir mektup alacak ve bu yetkinin bir kopyasını IBM'e sağlayacaktır; b. IBM in uzaktan yürüttüğü testlerin sonucunda bu sistemlerde saptanan tüm riskleri, açığa çıkarma işlemlerini ve güvenlik açıklarını sistem sahibine bildirmekten tek başına sorumlu olacaktır; ve c. IBM tarafından gerekli görüldüğü şekilde, sistem sahibi ile IBM arasındaki bilgi alışverişini düzenleyecek ve sağlayacaktır. Müşteri aşağıdakileri kabul eder: a. Bu belgede tanımlanan testlere tabi tutulan herhangi bir sistemin sahipliğinde ortaya çıkacak değişiklikleri derhal IBM e bildirecektir; b. Herhangi bir teslim edilecek malzemeyi veya Hizmetlerin IBM tarafından gerçekleştirildiğini, IBM'in önceden yazılı izni olmaksızın Müşterinin Teşebbüsü dışında açıklamayacaktır; ve c. Müşterinin Üçüncü Kişilerin Mülkiyetinde Olan Sistemler başlıklı bu bölümde yer alan şartlara uymaması nedeniyle ileri sürülen üçüncü kişi iddiaları ve (a) burada tanımlanan testlere tabi tutulan sistemlerin güvenlik riskleri, izinsiz erişim olanakları ya da güvenlik açıkları açısından test edilmesi, (b) bu testlerin sonuçlarının Müşteriye sağlanması ya da (c) Müşterinin bu sonuçları kullanması ya da açıklaması nedeniyle üçüncü kişilerce IBM e ya da IBM in alt yüklenicileri ya da aracılarına yönelik açılan davalar ya da ileri sürülen iddialar nedeniyle IBM in karşı karşıya kalacağı zararların ya da yükümlülüklerin tamamı için IBM i tazmin edecektir. i (05/2018) Sayfa 6 / 7

7 Kabul eden: Müşteri Şirketinin Ticari Unvanı adına ( Müşteri ) İmza Yetkili imza Unvan: İsim (el yazısı veya daktiloyla): Tarih: Müşteri Numarası: Müşteri Adresi: Kabul eden: <İlgili IBM Şirketinin Ticarı Unvanı adına> ( IBM ) İmza Yetkili imza Unvan: İsim (el yazısı veya daktiloyla): Tarih: Sözleşme Numarası: IBM Adresi: i (05/2018) Sayfa 7 / 7