2023年4月，漏洞监管一个名为"DarkSide"的漏洞监管组织在暗网论坛上挂出了某省级政务云平台的数据库售卖帖，标价3个比特币。漏洞监管管理员老周发现时，漏洞监管数据已经被拖走整整四十七天——安全设备每天凌晨三点准时弹出告警，漏洞监管但值班人员把告警当成了例行噪音，漏洞监管点了"忽略"。漏洞监管

漏洞监管这事儿，漏洞监管说到底是漏洞监管在跟人性博弈。厂商发布补丁的漏洞监管速度永远赶不上攻击者利用漏洞的速度，这不是漏洞监管技术问题，是漏洞监管商业利益问题。安全研究员的漏洞监管KPI是挖到新漏洞，不是漏洞监管督促客户打补丁；运维人员的考核是系统可用性，半夜升级补丁导致业务中断，漏洞监管背锅的是运维。谁愿意为"可能发生"的风险担"必然发生"的责任？

我认识一个在银行干了十二年安全的老哥，他说现在最怕的不是漏洞多，是漏洞清单长得像超市小票，但真正能拍板打补丁的人连看都不看一眼。上个月他们行里有一个Apache Log4j2的高危漏洞，从发现到修复用了三周——不是因为技术难，是因为要等业务部门确认"不影响交易速率"。等确认完了，攻击者早把内存马挂进去又撤了。

监管的真正难点在于，它得同时管住三拨人：第一拨是造软件的不修锅，第二拨是用软件的不当回事，第三拨是中间的安全厂商——他们有时候故意把漏洞描述得天花乱坠，好卖自己的"下一代防火墙"。去年某知名安全公司被曝出，为了推销产品，把自家扫描器发现的低危问题渲染成"紧急且致命"，吓得某制造企业连夜买了七位数的高级威胁检测系统。结果呢？三个月后真正的勒索攻击进来，那套系统连日志都没留下。

但话说回来，监管也不是没法子。有个变化值得注意（好吧，这里我用了"注意"，但确实是个观察）：工信部去年开始要求云服务商每季度提交漏洞处置报告，不光是数量，还得写清楚每个漏洞的"故事"——谁发现的、谁评估的、谁决策不修、风险由谁承担。这招挺狠，把模糊的责任链条硬生生掰开摆到台面上。以前"漏洞在系统里躺半年没人管"的事儿，现在至少有人敢在报告上签字说"我负责"。

另外一个细节是，监管开始学会"抓典型"了。今年三月，某部委通报了五家单位，不是因为漏洞多，而是因为漏洞修了又复发——同一个SQL注入点，三个月内被扫出来四次。通报里直接点名了具体负责人的姓名和职务。据说那几位仁兄第二天就组织全单位重写安全编码规范，效率比任何红头文件都高。

说到底，漏洞监管不是搞出一套完美无缺的流程，而是让每个环节的人都感到"疼"。供应商不修漏洞，就取消采购资格；使用者敷衍了事，就公开亮丑；安全厂商夸大其词，就建立黑名单。这活儿糙是糙了点，但管用。毕竟，系统里的漏洞可以靠代码补，人心里的漏洞，得靠实打实的利害关系来补。