搜索

[14249] 2019-06-19_谈谈《网络安全漏洞管理规定（征求意见稿）》释放的信息

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2019-06-19_谈谈《网络安全漏洞管理规定（征求意见稿）》释放的信息 谈 谈 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 释 放 的 信 息 原 创   默 安 科 技 宇 宸   F r e e B u f   2 0 1 9 - 0 6 - 1 9 摘 要 摘 要 当 各 位 还 在 期 盼 自 己 当 各 位 还 在 期 盼 自 己 6 1 8 快 递 状 态 的 时 候 ， 工 信 部 发 布 了 这 样 一 部 网 络 安 全 漏 洞 管 理 规 定 ， 也 是 给 了 一 个 惊 喜 。 快 递 状 态 的 时 候 ， 工 信 部 发 布 了 这 样 一 部 网 络 安 全 漏 洞 管 理 规 定 ， 也 是 给 了 一 个 惊 喜 。 正 文 正 文 6 月 1 8 日 ， 为 贯 彻 落 实 《 中 华 人 民 共 和 国 网 络 安 全 法 》 ， 加 强 网 络 安 全 漏 洞 管 理 ， 工 业 和 信 息 化 部 会 同 有 关 部 门 起 草 了 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 （ 以 下 简 称 规 定 ） ， 拟 以 规 范 性 文 件 形 式 印 发 ， 现 面 向 社 会 公 开 征 求 意 见 。 规 定 内 容 不 算 太 多 ， 只 有 十 二 条 ， 看 过 之 后 感 觉 ， 还 是 有 一 定 信 息 量 的 。 以 后 对 于 挖 洞 和 修 复 操 作 有 约 束 了 ， 不 能 再 开 开 心 心 的 挖 了 。 规 定 的 全 文 可 以 在 网 上 找 到 ， 这 里 不 贴 了 ， 说 下 其 中 几 条 存 在 信 息 量 的 规 定 。 规 定 涵 盖 中 国 境 内 所 有 组 织 和 个 体 规 定 涵 盖 中 国 境 内 所 有 组 织 和 个 体 第 二 条 第 二 条   中 华 人 民 共 和 国 境 内 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 ， 以 及 开 展 漏 洞 检 测 、 评 估 、 收 集 、 发 布 及 相 中 华 人 民 共 和 国 境 内 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 ， 以 及 开 展 漏 洞 检 测 、 评 估 、 收 集 、 发 布 及 相 关 竞 赛 等 活 动 的 组 织 （ 以 下 简 称 第 三 方 组 织 ） 或 个 人 ， 应 当 遵 守 本 规 定 。 关 竞 赛 等 活 动 的 组 织 （ 以 下 简 称 第 三 方 组 织 ） 或 个 人 ， 应 当 遵 守 本 规 定 。 开 篇 先 把 范 围 确 定 好 ， 也 就 是 说 中 国 境 内 的 所 有 人 、 所 有 组 织 、 公 司 、 机 构 和 团 体 ， 都 必 须 遵 守 ， 说 白 了 只 要 是 个 人 就 得 这 么 做 ， 即 使 是 具 备 一 定 智 能 的 A I 也 要 遵 守 。 发 现 漏 洞 必 须 上 报 ， 禁 止 私 自 发 布 和 利 用 发 现 漏 洞 必 须 上 报 ， 禁 止 私 自 发 布 和 利 用 第 三 条 第 三 条   发 现 发 现 / 获 知 存 在 漏 洞 后 ： 获 知 存 在 漏 洞 后 ： （ 一 ） 立 即 对 漏 洞 进 行 验 证 ， 对 相 关 网 络 产 品 应 当 在 （ 一 ） 立 即 对 漏 洞 进 行 验 证 ， 对 相 关 网 络 产 品 应 当 在 9 0 日 内 采 取 漏 洞 修 补 或 防 范 措 施 ， 对 相 关 网 络 服 日 内 采 取 漏 洞 修 补 或 防 范 措 施 ， 对 相 关 网 络 服 务 或 系 统 应 当 在 务 或 系 统 应 当 在 1 0 日 内 采 取 漏 洞 修 补 或 防 范 措 施 ； 日 内 采 取 漏 洞 修 补 或 防 范 措 施 ； （ 二 ） 需 要 用 户 或 相 关 技 术 合 作 方 采 取 漏 洞 修 补 或 防 范 措 施 的 ， 应 当 在 对 相 关 网 络 产 品 、 服 务 、 系 统 （ 二 ） 需 要 用 户 或 相 关 技 术 合 作 方 采 取 漏 洞 修 补 或 防 范 措 施 的 ， 应 当 在 对 相 关 网 络 产 品 、 服 务 、 系 统 采 取 漏 洞 修 补 或 防 范 措 施 后 采 取 漏 洞 修 补 或 防 范 措 施 后 5 日 内 ， 将 漏 洞 风 险 及 用 户 或 相 关 技 术 合 作 方 需 采 取 的 修 补 或 防 范 措 施 向 社 日 内 ， 将 漏 洞 风 险 及 用 户 或 相 关 技 术 合 作 方 需 采 取 的 修 补 或 防 范 措 施 向 社 会 发 布 或 通 过 客 服 等 方 式 告 知 所 有 可 能 受 影 响 的 用 户 和 相 关 技 术 合 作 方 ， 提 供 必 要 的 技 术 支 持 ， 并 向 会 发 布 或 通 过 客 服 等 方 式 告 知 所 有 可 能 受 影 响 的 用 户 和 相 关 技 术 合 作 方 ， 提 供 必 要 的 技 术 支 持 ， 并 向
工 业 和 信 息 化 部 网 络 安 全 威 胁 信 息 共 享 平 台 报 送 相 关 漏 洞 情 况 。 工 业 和 信 息 化 部 网 络 安 全 威 胁 信 息 共 享 平 台 报 送 相 关 漏 洞 情 况 。 验 证 漏 洞 是 指 的 产 品 供 应 商 、 系 统 开 发 方 、 运 营 服 务 方 ， 设 备 或 系 统 的 提 供 者 / 开 发 者 来 进 行 验 证 ， 可 不 是 说 第 三 方 服 务 或 企 业 自 己 去 搞 验 证 ， 原 文 的 主 语 称 为 也 很 明 确 ， 所 以 对 于 漏 洞 验 证 的 活 ， 就 由 相 关 责 任 方 去 做 ， 其 他 无 关 人 员 不 要 伸 手 ， 以 免 造 成 不 必 要 风 险 。 这 次 明 确 给 出 了 修 复 和 防 范 期 限 ， 对 于 产 品 类 ， 比 如 F W 存 在 漏 洞 被 发 现 了 ， 那 么 厂 商 就 要 在 9 0 天 内 修 好 漏 洞 或 者 提 供 同 等 防 护 能 力 的 有 效 措 施 ， 而 对 于 系 统 则 必 须 在 1 0 日 内 进 行 修 补 。 修 补 或 防 护 方 案 做 好 了 ， 接 着 就 要 和 客 户 或 技 术 合 作 方 进 行 实 施 和 公 告 了 ， 要 求 规 定 采 取 措 施 后 5 日 内 ， 将 漏 洞 的 细 节 、 修 补 方 式 、 影 响 程 度 公 开 发 布 或 者 自 行 发 送 给 所 有 可 能 受 影 响 的 用 户 及 先 关 技 术 合 作 方 ， 并 且 要 报 告 到 工 信 部 网 络 安 全 威 胁 信 息 共 享 平 台 （ h t t p : / / c s t i s . o r g . c n / ） 。 这 里 的 时 间 是 正 常 时 间 ， 而 不 是 工 作 日 。 各 监 管 部 门 施 行 各 自 监 管 方 式 各 监 管 部 门 施 行 各 自 监 管 方 式 第 四 条 第 四 条   工 业 和 信 息 化 部 、 公 安 部 和 有 关 行 业 主 管 部 门 按 照 各 自 职 责 组 织 督 促 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 工 业 和 信 息 化 部 、 公 安 部 和 有 关 行 业 主 管 部 门 按 照 各 自 职 责 组 织 督 促 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 采 取 漏 洞 修 补 或 防 范 措 施 。 者 采 取 漏 洞 修 补 或 防 范 措 施 。 看 到 了 吧 ， 企 业 要 接 受 至 少 3 家 的 检 查 ， 而 且 每 家 的 检 查 方 式 和 重 点 都 会 有 所 不 同 ， 要 求 的 流 程 和 规 范 也 会 有 细 微 差 别 。 不 过 换 个 角 度 看 ， 这 样 综 合 各 家 的 要 求 ， 能 把 一 些 细 节 或 者 考 虑 不 到 的 问 题 也 检 查 到 ， 对 于 企 业 来 说 也 是 好 事 ， 是 好 事 ， 好 事 。 对 个 人 和 第 三 方 提 出 新 要 求 对 个 人 和 第 三 方 提 出 新 要 求 再 来 看 看 ， 对 于 个 人 和 组 织 的 要 求 （ 第 六 条 中 ） ： （ 一 ） 不 得 在 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 向 社 会 或 用 户 发 布 漏 洞 修 补 或 防 范 措 施 之 前 发 布 相 （ 一 ） 不 得 在 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 向 社 会 或 用 户 发 布 漏 洞 修 补 或 防 范 措 施 之 前 发 布 相 关 漏 洞 信 息 ； 关 漏 洞 信 息 ； （ 二 ） 不 得 刻 意 夸 大 漏 洞 的 危 害 和 风 险 ； （ 二 ） 不 得 刻 意 夸 大 漏 洞 的 危 害 和 风 险 ； （ 三 ） 不 得 发 布 和 提 供 专 门 用 于 利 用 网 络 产 品 、 服 务 、 系 统 漏 洞 从 事 危 害 网 络 安 全 活 动 的 方 法 、 程 序 （ 三 ） 不 得 发 布 和 提 供 专 门 用 于 利 用 网 络 产 品 、 服 务 、 系 统 漏 洞 从 事 危 害 网 络 安 全 活 动 的 方 法 、 程 序 和 工 具 。 和 工 具 。 第 一 点 就 提 出 来 ， 个 人 或 第 三 方 不 可 以 于 厂 家 或 开 发 商 、 运 营 者 公 布 漏 洞 之 前 私 自 公 开 ， 以 前 为 了 彰 显 个 人 或 服 务 方 的 能 力 ， 经 常 有 这 么 干 的 ， 以 后 不 行 了 ， 兄 弟 ， 你 违 法 了 。
对 ， 自 己 搬 砖 自 己 赚 钱 不 行 了 ， 或 者 去 S R C 或 者 提 交 给 相 关 方 或 漏 洞 平 台 。 对 于 漏 洞 的 危 害 要 实 事 求 是 ， 真 实 客 观 ， 不 能 为 了 推 广 自 己 的 产 品 或 服 务 有 意 夸 大 事 实 。 键 盘 侠 和 喜 欢 忽 悠 客 户 的 ， 这 回 玩 不 转 了 。 再 就 是 一 些 风 险 较 大 的 漏 洞 ， 会 有 人 出 一 些 P o C 工 具 ， 验 证 和 利 用 漏 洞 ， 大 多 数 是 出 于 好 意 ， 发 布 到 网 上 。 这 些 工 具 、 漏 洞 利 用 方 法 以 后 不 能 再 发 了 ， 你 可 以 发 送 给 相 关 方 、 相 关 机 构 或 国 家 漏 洞 平 台 ， 个 人 或 第 三 方 自 行 发 布 漏 洞 验 证 工 具 的 ， 要 进 行 约 谈 ， 造 成 影 响 的 ， 要 罚 款 ， 严 重 影 响 的 ， 要 追 究 刑 事 责 任 。 风 险 管 理 日 趋 重 要 风 险 管 理 日 趋 重 要 对 于 漏 洞 管 理 ， 也 提 出 了 一 些 管 理 要 求 （ 第 七 条 中 ） ： （ 一 ） 明 确 漏 洞 管 理 部 门 和 责 任 人 ； （ 一 ） 明 确 漏 洞 管 理 部 门 和 责 任 人 ； （ 二 ） 建 立 漏 洞 信 息 发 布 内 部 审 核 机 制 ； （ 二 ） 建 立 漏 洞 信 息 发 布 内 部 审 核 机 制 ； （ 三 ） 采 取 防 范 漏 洞 信 息 泄 露 的 必 要 措 施 。 （ 三 ） 采 取 防 范 漏 洞 信 息 泄 露 的 必 要 措 施 。 安 全 问 题 越 来 越 受 重 视 （ 某 些 企 业 ） ， 内 部 风 险 管 理 也 日 渐 显 现 其 重 要 性 。 再 用 常 规 的 漏 扫 打 补 丁 ， 封 端 口 的 操 作 ，
无 法 应 对 以 后 的 互 联 网 安 全 态 势 。 企 业 应 梳 理 自 身 业 务 ， 关 注 最 新 技 术 趋 势 和 漏 洞 情 况 ， 结 合 实 际 情 况 量 身 定 制 内 控 管 理 。 规 定 中 明 确 要 求 要 建 立 漏 洞 管 理 部 门 和 负 责 人 ， 而 且 对 于 漏 洞 信 息 发 布 要 进 行 内 控 ， 要 有 流 程 。 除 了 漏 洞 管 理 ， 还 要 做 好 漏 洞 信 息 泄 露 工 作 。 这 里 个 人 理 解 应 该 是 ， 企 业 系 统 当 前 存 在 的 漏 洞 情 况 ， 应 该 只 有 相 关 部 门 或 责 任 人 知 道 ， 其 他 无 关 人 员 不 能 通 过 其 他 渠 道 获 取 系 统 的 漏 洞 情 况 ； 另 一 方 面 ， 漏 洞 中 可 能 包 含 的 敏 感 信 息 ， 应 尽 量 避 免 此 类 信 息 泄 露 事 件 。 明 确 违 规 处 罚 力 度 明 确 违 规 处 罚 力 度 最 后 就 是 强 调 对 于 不 遵 守 规 定 的 ， 未 按 本 规 定 采 取 漏 洞 修 补 或 防 范 措 施 并 向 社 会 或 用 户 发 布 的 ， 要 对 其 进 行 处 罚 ， 包 括 约 谈 、 罚 款 、 判 刑 等 方 式 。 具 体 处 罚 额 度 是 参 照 网 安 法 来 的 。 总 结 总 结 那 么 ， 总 结 一 下 ， 规 定 中 强 调 的 一 些 重 点 ： 1 . 本 规 定 适 用 国 内 所 有 企 业 、 组 织 和 个 人 ； 2 . 发 现 的 漏 洞 ， 在 限 定 时 间 内 ， 相 关 厂 商 、 第 三 方 、 运 营 方 等 必 须 做 出 修 补 ， 并 公 开 漏 洞 细 节 和 应 对 措 施 ； 3 . 发 现 漏 洞 必 须 提 交 给 相 关 企 业 、 厂 商 或 漏 洞 平 台 ， 不 得 自 行 发 表 ；
4 . 各 监 管 部 门 检 查 的 重 点 可 能 会 有 所 不 同 ； 5 . 不 允 许 夸 大 漏 洞 危 害 ， 不 得 私 自 发 布 漏 洞 验 证 工 具 和 方 法 ； 6 . 期 限 内 不 能 整 改 的 ， 要 接 受 监 管 部 门 处 罚 。 总 的 来 说 ， 国 内 安 全 相 关 的 法 制 在 逐 步 健 全 ， 对 企 业 和 个 人 的 约 束 也 会 越 来 越 多 ， 从 杂 乱 无 章 向 有 条 不 紊 过 度 ， 这 是 一 个 网 络 大 国 、 网 络 强 国 必 须 要 做 到 的 。 P S ： 文 中 为 个 人 观 点 ， 仅 供 参 考 。 * 本 文 原 创 作 者 ： 默 安 科 技 宇 宸 ， 本 文 属 于 本 文 原 创 作 者 ： 默 安 科 技 宇 宸 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理