漏洞按规定报送，修补前不公开细节、不发利用工具、不交给境外

谁该做，谁先别做

发现漏洞的安全研究者、运维和产品团队，包括只在业余时间挖洞的人。只在自己的产品里测、报给自家厂商的，流程也照样要走完。

花掉什么

换回什么

这份规定管三类对象：境内的网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布等活动的组织或者个人。任何组织或者个人，不得利用漏洞从事危害网络安全的活动，不得非法收集、出售、发布漏洞信息。向社会发布漏洞信息要守五条。第一，不得在产品提供者提供修补措施之前发布。第二，不得发布网络运营者在用的网络、信息系统及其设备存在漏洞的细节情况。第三，不得刻意夸大危害和风险，不得利用漏洞信息实施恶意炒作或者诈骗。第四，不得发布或者提供专门用于利用漏洞从事危害网络安全活动的程序和工具。第五，发布时应当同步发布修补或者防范措施。另外，未公开的漏洞信息，不得提供给产品提供者之外的境外组织或者个人。规定鼓励把漏洞报给四个官方平台。一是工业和信息化部网络安全威胁和漏洞信息共享平台。二是国家网络与信息安全信息通报中心漏洞平台。三是国家计算机网络应急技术处理协调中心漏洞平台。四是中国信息安全测评中心漏洞库。违反规定收集、发布漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理。构成网络安全法规定情形的，依该法处罚。向社会发布系统漏洞等网络安全信息，应当遵守国家有关规定。违反的，由有关主管部门责令改正、给予警告，可以处 1 万元以上 10 万元以下罚款。拒不改正或者情节严重的，处 10 万元以上 100 万元以下罚款。还可以责令暂停相关业务、停业整顿、关闭网站或者应用程序。也可以吊销相关业务许可证或者吊销营业执照。对直接负责的主管人员和其他直接责任人员，处 1 万元以上 10 万元以下罚款（全国）

怎么做 · 三步

1. 把漏洞报给产品提供者，或者报给工信部等四个官方平台
2. 厂商修好之前不公开细节，也不发验证代码和利用工具
3. 要公开发布就同步写清修补办法，别把未公开漏洞交给境外

关键数字

1 万元

违反规定发布漏洞信息时的罚款下限

100 万元

拒不改正或情节严重时的罚款上限

四个

规定鼓励报送的官方漏洞平台数量

常见坑

「只是个业余爱好者」不在例外里：规定把个人明确写进了管的对象，往境外赏金平台提交国内系统的洞，正落在不得提供给境外这一条。

作者备注

规定把个人明确写进了管的对象里，「我只是个业余爱好者」不在例外里。往境外的漏洞赏金平台提交国内系统的洞，正落在「未公开的漏洞不得提供给境外」这一条上。有没有资格去测，见第 9 条（没有书面授权不测别人的系统），和拿到漏洞后怎么处置要分开看。合法发现的漏洞，也可能因为发布方式违规被罚；未经授权测出来的漏洞，测和发布两头都有问题。规定没有专门区分「已经通知厂商、厂商却不修」这种情况。作者的建议是把协商和报告的过程留下记录，同时报给上面四个官方平台。

出处