為貫徹落實《中華人民共和國網絡安全法》，加強網絡安全漏洞管理，工業(yè)和信息化部會同有關部門起草了《網絡安全漏洞管理規(guī)定(征求意見稿)》，擬以規(guī)范性文件形式印發(fā)。
6月18日-7月18日，工信部對《中華人民共和國網絡安全法》公開征求意見。 以下為征求意見稿全文：
網絡安全漏洞管理規(guī)定
(征求意見稿)
第一條 為規(guī)范網絡安全漏洞(以下簡稱漏洞)報告和信息發(fā)布等行為，保證網絡產品、服務、系統(tǒng)的漏洞得到及時修補，提高網絡安全防護水平，根據(jù)《國家安全法》《網絡安全法》，制定本規(guī)定。
第二條 中華人民共和國境內網絡產品、服務提供者和網絡運營者，以及開展漏洞檢測、評估、收集、發(fā)布及相關競賽等活動的組織(以下簡稱第三方組織)或個人,應當遵守本規(guī)定。
第三條 網絡產品、服務提供者和網絡運營者發(fā)現(xiàn)或獲知其網絡產品、服務、系統(tǒng)存在漏洞后，應當遵守以下規(guī)定：
(一)立即對漏洞進行驗證，對相關網絡產品應當在90日內采取漏洞修補或防范措施，對相關網絡服務或系統(tǒng)應當在10日內采取漏洞修補或防范措施;
(二)需要用戶或相關技術合作方采取漏洞修補或防范措施的，應當在對相關網絡產品、服務、系統(tǒng)采取漏洞修補或防范措施后5日內，將漏洞風險及用戶或相關技術合作方需采取的修補或防范措施向社會發(fā)布或通過客服等方式告知所有可能受影響的用戶和相關技術合作方，提供必要的技術支持，并向工業(yè)和信息化部網絡安全威脅信息共享平臺報送相關漏洞情況。
第四條 工業(yè)和信息化部、公安部和有關行業(yè)主管部門按照各自職責組織督促網絡產品、服務提供者和網絡運營者采取漏洞修補或防范措施。
第五條 工業(yè)和信息化部、公安部、國家互聯(lián)網信息辦公室等有關部門實現(xiàn)漏洞信息實時共享。
第六條 第三方組織或個人通過網站、媒體、會議等方式向社會發(fā)布漏洞信息，應當遵循必要、真實、客觀、有利于防范和應對網絡安全風險的原則，并遵守以下規(guī)定：
(一)不得在網絡產品、服務提供者和網絡運營者向社會或用戶發(fā)布漏洞修補或防范措施之前發(fā)布相關漏洞信息;
(二)不得刻意夸大漏洞的危害和風險;
(三)不得發(fā)布和提供專門用于利用網絡產品、服務、系統(tǒng)漏洞從事危害網絡安全活動的方法、程序和工具;
(四)應當同步發(fā)布漏洞修補或防范措施。
第七條 第三方組織應當加強內部管理，履行下列管理義務，防范漏洞信息泄露和內部人員違規(guī)發(fā)布漏洞信息：
(一)明確漏洞管理部門和責任人;
(二)建立漏洞信息發(fā)布內部審核機制;
(三)采取防范漏洞信息泄露的必要措施;
(四)定期對內部人員進行保密教育;
(五)制定內部問責制度。
第八條 網絡產品、服務提供者和網絡運營者未按本規(guī)定采取漏洞修補或防范措施并向社會或用戶發(fā)布的，由工業(yè)和信息化部、公安部等有關部門按職責依據(jù)《網絡安全法》第五十六條、第五十九條、第六十條等規(guī)定組織對其進行約談或給予行政處罰。
第九條 第三方組織違反本規(guī)定向社會發(fā)布漏洞信息，由工業(yè)和信息化部、公安部等有關部門組織對其進行約談，或依據(jù)《網絡安全法》第六十二條、第六十三條等規(guī)定給予行政處罰；構成犯罪的，依法追究刑事責任；給網絡產品、服務提供者和網絡運營者造成經濟或名譽損害的，依法承擔民事責任。
第十條 鼓勵第三方組織和個人獲知網絡產品、服務、系統(tǒng)存在的漏洞后，及時向國家信息安全漏洞共享平臺、國家信息安全漏洞庫等漏洞收集平臺報送有關情況。漏洞收集平臺應當遵守本規(guī)定第六條、第七條規(guī)定。
第十一條 任何組織或個人發(fā)現(xiàn)涉嫌違反本規(guī)定的情形，有權向工業(yè)和信息化部、公安部舉報。
第十二條 本規(guī)定自印發(fā)之日起施行。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產業(yè)前沿產品、技術及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經驗，提供媒體、活動、展會等整合營銷服務。
粵公網安備 44030402000264號
