供应链与漏洞

先确定本次活动和企业角色，再判断采购审查、漏洞报告与披露义务。一次上游组件漏洞，可能同时影响企业作为产品提供者和网络运营者的责任。

按当前任务进入

当前任务	先确认	阅读
采购关键网络产品或服务	关基身份、采购对象及审查触发条件	网络安全审查办法
收到自研或对外提供产品漏洞	首次获知、产品版本、影响范围、报告义务	漏洞管理规定
发现上游组件或内部系统漏洞	供应商通知、受影响资产、修复与缓解	漏洞管理规定
公开漏洞、PoC或运营SRC	披露条件、未公开信息流向及平台身份	漏洞管理规定
采购产品或评估机构声称已认证	型号、版本、范围和当前资格	产品认证检测

采购与运行共用哪些事实

建议贯通供应商、合同、产品和版本、部署资产、远程权限、支持期限及漏洞记录。采购尽调说明供应商承诺了什么，运行证据说明承诺是否落实。准入完成后，升级、控制权变化、停服或重大漏洞仍需重新判断。

示例。 一个采购组件出现漏洞，先由依赖和资产记录识别受影响系统，再判断企业是否把该组件随自身产品对外提供。内部修补、用户通知和法定报送分别建任务，不能用“上游已修复”关闭全部责任。

何时转入其他专题

漏洞已经被利用或造成系统、数据影响时，进入事件与应急并行判断报告；供应商接触个人信息或重要数据时，进入数据与隐私安全；关基采购及密码产品叠加对应专项要求。

采购审查通过、漏洞修复完成和事件报告完成是不同结论。证据可以共用，但每项适用义务保留自己的对象、时限与完成记录。