Yazılı izin olmadan başkasının sistemini test etmeyin; «iyi niyetle» yapmak ve «sonradan bildirmek» suçu ortadan kaldırmaz

Maliyet

Para harcanmaz. SRC (厂商的安全应急响应中心, şirketlerin dış kaynaklı açıkları kabul ettiği güvenlik müdahale merkezi) ya da kapalı test (众测) programlarına katılmadan önce kapsamı, hedef listesini ve test yapılabilecek zaman aralığını yazılı olarak alın. Açığın gerçekten var olduğunu doğruladığınızda durun. Zor olan, «bir de şuna bakayım» dürtüsünden vazgeçmek.

Ne kazanırsınız

Sıradan şirket ve kişilerin sistemleri, devlet işleri, savunma ve ileri bilim-teknoloji alanları dışındaki bilgisayar bilgi sistemleridir. Bu tür sistemlere sızmak ya da başka teknik yollarla içindeki depolanan, işlenen ya da iletilen verilere ulaşmak: ağır durumda 3 yıla kadar hapis ya da kısa süreli hapis (拘役), para cezası ile birlikte ya da tek başına. Çok ağır durumda 3 ila 7 yıl hapis ve para cezası. «Ağır durum» için birkaç ölçüt vardır: ödeme, menkul kıymet ve vadeli işlem gibi internet finans hizmetlerinin kimlik doğrulama bilgilerinden (hesap ve şifre gibi) 10 grup ve üzeri; diğer kimlik doğrulama bilgilerinden 500 grup ve üzeri; yasa dışı denetime alınan bilgisayar bilgi sistemi sayısı 20 ve üzeri; yasa dışı kazanç 5.000 yuan ve üzeri ya da ekonomik zarar 10.000 (1 万) yuan ve üzeri. Yukarıdaki sayıların 5 katı ve üzeri «çok ağır durum» (情节特别严重) sayılır. Resmi örnek: Savcılık örnek davası No. 36 (检例第 36 号) şu ilkeyi getirdi: «Yetki kapsamı dışında hesap ve şifre kullanarak bilgisayar bilgi sistemine giriş yapmak, bilgi sistemine sızma eylemidir.» Yani hesap ve şifre elinizde olsa bile, yetki dışında kullanmak sızma sayılır. Bu davada üç kişi işte edindikleri hesap, şifre ve jetonları (令牌) kullanarak başka bir yerden şirketin iç sistemine girdi, iş kapsamı dışındaki verileri indirip internette sattı; yasa dışı kazanç 37.000 yuan oldu. Üç kişi sırasıyla 4 yıl, 3 yıl 9 ay ve 4 yıl hapis ile her biri 40.000 (4 万) yuan para cezası aldı (Çin).

Notlar

Savcılık örnek davası No. 36 (检例第 36 号) aslında veri satarak kazanç sağlayan bir davadır. Buraya alınması yalnızca «yetki kapsamı dışında giriş de sızmadır» cümlesi içindir; iyi niyetli testlerin aynı ağırlıkta cezalandırılacağı anlamına gelmez. Niyetiniz neydi ve sonradan bildirdiniz mi, suçu ortadan kaldırmaz; yalnızca ceza miktarını ve kovuşturmayı etkileyebilir. Üreticiye teşekkür edip sonra suç duyurusunda bulunmak birbiriyle çelişmez; teşekkür izin anlamına gelmez. 2016'da bir «beyaz şapkalı» (白帽子, etik bilgisayar korsanı), Shijijiayuan (世纪佳缘) sitesinin açığını üçüncü taraf bir açık bildirme platformuna gönderdi; sonra site suç duyurusunda bulundu ve bu kişi yakalandı. Site muhabirlere, suç duyurusunun veri çalındığı için yapıldığını, o sırada verileri alanın açığı bildiren kişi olduğunu bilmediklerini söyledi. Bu dava yalnızca basın haberlerinde yer aldı; mahkeme kararı ve resmi açıklama yok, sonucu hakkında resmi bir bilgi bulunmuyor. Yüksek Halk Mahkemesi ve Yüksek Halk Savcılığı'nın resmi sitelerinde, iyi niyetli test türünden ve kelimesi kelimesine doğrulanabilecek bir örnek bulunamadı; bu yüzden bu madde yalnızca kanun metni ve ceza ölçütlerine göre sınıflandırıldı. Yapacaksanız şirketin açık SRC programını ya da yazılı görevlendirmeyle yapılan bir değerlendirmeyi seçin; kapsamı, hedefleri ve zaman aralığını dosyaya yazın. Açığın varlığını kanıtlamak için en az kanıt kullanın; toplu veri çekmeyin. Suç sayılmayan düzeyde de idari ceza ve meslek yasağı uygulanabilir; para cezası miktarı ve süreler §11.8 numaralı maddedeki (başkasının makinesinde kendi programını çalıştırmamak) ile aynıdır. Bir açık bulduktan sonra ne yapılacağı için bkz. §11.10 numaralı madde (açıklar yönetmeliğe göre bildirilir).

Kanıt düzeyi

A : Meta-analizlerden, büyük kohort çalışmalarından ya da randomize denemelerden kesin rakamlar; yasa ve politikalarda resmî metin.

Kaynaklar

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Çince asıl metinden çevrilmiştir. Asıl kitap, bölüm 11, öneri 9. Bu bölüm, çoğu Çin anakarasına ait hukuki kuralları anlatır. Genel bilgidir, hukuki tavsiye değildir. İçerik güncelliğini yitirmiş olabilir ve kurallar yerden yere değişir. Bir işlem, tedavi ya da dava söz konusuysa resmî kurumun, doktorun veya avukatın söylediğine uyun. Sorumluluk reddi