网络产品安全漏洞管理规定
本文把漏洞发现、接收、验证、报送、修补和披露要求转成企业可执行的漏洞治理控制。重点不是“有漏洞管理制度”，而是任何一条真实漏洞都能沿时间线证明该收的收到了、该报的报了、该修的修了、该限制披露的没有提前扩散。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《网络产品安全漏洞管理规定》 |
| 生效日期 | 2021年9月1日 |
| 主要适用对象 | 境内网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布活动的组织或个人 |
| 核心问题 | 漏洞接收、验证评估、2日内报送、及时修补、用户通知、漏洞披露、漏洞平台备案和信息保护 |
| 关键硬约束 | 漏洞信息接收日志不少于6个月；网络产品提供者发现或获知漏洞后2日内向工信部网络安全威胁和漏洞信息共享平台报送 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。企业同时具有产品提供者、网络运营者、漏洞研究或漏洞平台等多个身份时，应分别满足对应义务，不能用一套内部漏洞流程笼统覆盖。
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 漏洞接收 | 外部和内部发现的漏洞都有稳定入口并可追溯 |
| 验证与定级 | 获知后立即验证，能够判断危害、影响产品与版本 |
| 法定报送 | 产品漏洞能从“获知时间”自动约束2日报送时限 |
| 修补与用户通知 | 补丁、防范措施和受影响用户通知形成闭环 |
| 漏洞披露 | 未修复漏洞不被违规提前公开或跨境提供 |
| 漏洞平台 | 自建收集平台完成备案并保护未公开漏洞信息 |
建立统一、持续可用的漏洞接收机制
法规要求｜第5—6条。 网络产品提供者、网络运营者和漏洞收集平台应建立健全漏洞信息接收渠道并保持畅通，漏洞信息接收日志留存不少于6个月。
落实与验收。
- 建立对外漏洞报告入口，并覆盖安全邮箱、漏洞平台、客服转交、监管通报、供应链通知和内部发现等实际来源。
- 每条漏洞记录首次获知时间、来源、产品/系统、版本、报告人、原始内容、受理人和后续状态，原始接收记录至少保存6个月。
- 对客服、业务、研发等非安全入口建立转交SLA，避免“公司已经收到，但安全团队几天后才知道”。
- 定期测试邮箱、表单、平台账号和告警通知是否真实可用。
验收证据。
- 现场向公开漏洞邮箱或表单发送测试报告，是否有人收到、建单并形成原始时间戳？
- 从客服工单、GitHub Issue、供应商通知和安全邮箱反查漏洞台账，是否存在收到但未进入治理流程的漏洞？
- 随机抽取6个月前后的接收记录，验证日志留存是否满足最低期限。
- 问一个产品负责人：外部研究员直接联系你报告漏洞时，你会把它交给谁，多久进入正式流程？
从“首次获知”开始验证、评估和计时
法规要求｜第7—8条。 产品提供者发现或获知漏洞后应立即采取措施，组织验证并评估危害程度和影响范围；网络运营者发现或获知自身网络、系统及设备存在漏洞后，应立即采取措施并及时验证、修补。
落实与验收。
- 以企业首次实际获知漏洞为时间起点，而不是以安全团队确认、正式建单或完成复现为起点。
- 建立快速验证机制，明确产品、版本、组件、利用条件、影响范围、暴露面和临时缓解措施。
- 对上游组件漏洞建立SBOM/依赖或等效追踪能力；确认属于上游产品或组件时立即通知相关提供者。
- 对高风险漏洞允许验证与止损并行，不能等根因完全确认后才隔离、下线或增加临时防护。
验收证据。
- 随机抽一条漏洞，对比邮件/工单首次时间、建单时间、首次验证时间和定级时间，有没有人为把计时起点后移？
- 给出“第三方组件0day，暂时无法稳定复现”的场景，团队会先做哪些暴露面排查和临时控制？
- 从软件依赖反查公开高危漏洞，是否存在组件已受影响但内部长期不知道使用位置的情况？
- 抽取一个上游组件漏洞，能否证明何时通知了上游提供者以及内部哪些产品受到影响？
把2日报送做成硬时限控制
法规要求｜第7条第（二）项。 网络产品提供者应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息，包括产品名称、型号、版本、技术特点、危害和影响范围等。
落实与验收。
- 对属于“所提供网络产品”的漏洞单独标识法定报送义务，并从首次获知时间自动计算2日截止时间。
- 明确报送责任人、复核人、备用人员、平台账号和失败后的备用处置路径。
- 信息尚不完整时，不把“还没完全复现/还在评估”作为无限期延迟报送的内部理由；在法定要求下组织已有信息并持续补充。
- 保存提交内容、提交时间、平台回执及后续补充记录，使每条漏洞都可重建报送时间线。
验收证据。
- 从产品漏洞台账随机抽样，逐条用原始接收时间重新计算2日时限，再对平台回执时间。
- 反向从代码仓库修复记录、CVE/CNVD/CNNVD等外部线索和客户安全通知中找漏洞，看是否全部进入法定报送判断。
- 模拟负责人休假、平台账号不可用或周末获知漏洞，是否仍能在时限内完成报送？
- 对未报送样本逐条要求给出“不属于产品漏洞/不适用”的明确判断依据，不能只有“内部认为不用报”。
及时修补并把防范措施送达受影响用户
法规要求｜第7—8条。 产品提供者应及时组织修补；需要用户或下游厂商升级时，应及时告知漏洞风险及修补方式并提供必要技术支持。网络运营者应及时完成自身漏洞修补。
落实与验收。
- 漏洞处置任务必须关联修复版本、补丁、临时缓解措施、负责人、目标时间和实际完成时间。
- 能识别受影响客户、下游厂商或内部系统范围，并建立安全公告、升级通知和技术支持渠道。
- 对无法立即升级的场景提供可执行的临时缓解措施，并持续跟踪剩余暴露面。
- 修复完成后验证漏洞不可再利用，同时确认补丁没有只覆盖单一版本或单一部署形态。
验收证据。
- 随机抽一条已关闭高危漏洞，现场在修复版本复测；如果仍可利用，就不能因为工单已关闭认定完成。
- 从客户/下游清单反查安全通知，实际受影响对象是否都收到可操作的升级或缓解指引？
- 查看仍未升级客户或系统清单，谁在承担剩余风险，是否有持续跟踪？
- 从补丁提交反查同源代码、分支和历史版本，是否存在“主版本修了，长期支持版本漏了”的情况？
控制漏洞公开披露和未公开信息流向
法规要求｜第9条。 漏洞信息发布应必要、真实、客观并有利于风险防范；原则上不得在提供者给出修补措施前公开，不得发布在用系统漏洞细节、专门危害网络安全的利用程序和工具；发布时应同步修补或防范措施；重大活动期间及未公开漏洞向境外提供等还有专项限制。
落实与验收。
- 对博客、会议、公众号、社区、漏洞库、研究报告和公开PoC等建立漏洞披露评审机制。
- 未公开漏洞信息按受控敏感信息管理，限制访问、下载、转发和跨境提供，记录必要共享对象。
- 在补丁发布、用户覆盖和公开披露之间建立协调机制，避免公告先于可用修复方案。
- 涉及提前披露、重大活动期间发布或向境外组织提供未公开漏洞时，必须进入法务/合规和监管判断流程。
验收证据。
- 从过去一年公开技术文章、会议演讲和漏洞库记录反查，是否有内容在补丁可用前公开关键利用细节？
- 随机抽一条未公开漏洞，列出谁访问过原始报告、PoC和调试信息，是否存在无业务必要的外发？
- 模拟境外供应商要求发送未公开漏洞PoC，团队是否会直接发送，还是先判断法规限制和必要的合规路径？
- 对公开公告检查是否同时提供真实可执行的修补或防范措施，而不是只有风险描述。
管理自建漏洞收集平台及研究活动
法规要求｜第10—11条。 设立网络产品安全漏洞收集平台应向工业和信息化部备案；从事漏洞发现、收集的组织应加强内部管理，防范漏洞信息泄露和违规发布。
落实与验收。
- 判断企业自建SRC、众测平台、漏洞库等是否构成漏洞收集平台，适用时完成备案并维护主体信息。
- 建立研究员、运营人员、外包人员的最小权限、保密、操作审计和离职回收机制。
- 对PoC、利用代码、未公开漏洞详情设置分级权限和下载/外发控制。
- 明确合法漏洞研究边界，禁止利用漏洞实施危害网络安全活动或为此提供帮助。
验收证据。
- 如果企业运营SRC或漏洞平台，现场拿出备案信息并与当前域名、主体、负责人核对。
- 抽查离职研究员或外包人员账号，是否仍能访问未公开漏洞和PoC？
- 从下载、分享和邮件日志反查未公开漏洞文件流向，是否存在平台外长期散落副本？
- 随机访谈研究人员：发现生产系统漏洞后允许验证到什么程度、哪些行为必须立即停止并升级？
法规原文
以下保留原文用于逐条核对。实际工作还应叠加《网络安全法》、行业监管规则以及企业作为关键信息基础设施运营者、网络产品提供者等其他身份产生的义务。
查看法规原文
- 第一条 为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险，根据《中华人民共和国网络安全法》，制定本规定。
- 第二条 中华人民共和国境内的网络产品（含硬件、软件）提供者和网络运营者，以及从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人，应当遵守本规定。
- 第三条 国家互联网信息办公室负责统筹协调网络产品安全漏洞管理工作。工业和信息化部负责网络产品安全漏洞综合管理，承担电信和互联网行业网络产品安全漏洞监督管理。公安部负责网络产品安全漏洞监督管理，依法打击利用网络产品安全漏洞实施的违法犯罪活动。
- 有关主管部门加强跨部门协同配合，实现网络产品安全漏洞信息实时共享，对重大网络产品安全漏洞风险开展联合评估和处置。
- 第四条 任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动，不得非法收集、出售、发布网络产品安全漏洞信息；明知他人利用网络产品安全漏洞从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
- 第五条 网络产品提供者、网络运营者和网络产品安全漏洞收集平台应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全漏洞信息接收日志不少于6个月。
- 第六条 鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞。
- 第七条 网络产品提供者应当履行下列网络产品安全漏洞管理义务，确保其产品安全漏洞得到及时修补和合理发布，并指导支持产品用户采取防范措施：
- （一）发现或者获知所提供网络产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。
- （二）应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。
- （三）应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户，并提供必要的技术支持。
- 工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。
- 鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。
- 第八条 网络运营者发现或者获知其网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，及时对安全漏洞进行验证并完成修补。
- 第九条 从事网络产品安全漏洞发现、收集的组织或者个人通过网络平台、媒体、会议、竞赛等方式向社会发布网络产品安全漏洞信息的，应当遵循必要、真实、客观以及有利于防范网络安全风险的原则，并遵守以下规定：
- （一）不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息；认为有必要提前发布的，应当与相关网络产品提供者共同评估协商，并向工业和信息化部、公安部报告，由工业和信息化部、公安部组织评估后进行发布。
- （二）不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况。
- （三）不得刻意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。
- （四）不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。
- （五）在发布网络产品安全漏洞时，应当同步发布修补或者防范措施。
- （六）在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息。
- （七）不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
- （八）法律法规的其他相关规定。
- 第十条 任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收集平台，并对通过备案的漏洞收集平台予以公布。
- 鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络产品安全漏洞信息。
- 第十一条 从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。
- 第十二条 网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十条规定情形的，依照该规定予以处罚。
- 第十三条 网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定情形的，依照该规定予以处罚。
- 第十四条 违反本规定收集、发布网络产品安全漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十二条规定情形的，依照该规定予以处罚。
- 第十五条 利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的，由公安机关依法处理；构成《中华人民共和国网络安全法》第六十三条规定情形的，依照该规定予以处罚；构成犯罪的，依法追究刑事责任。
- 第十六条 本规定自2021年9月1日起施行。