漏洞处罚
去年冬天，漏洞处罚某市政务云平台被曝出一个SQL注入漏洞，漏洞处罚攻击者能直接读取后台数据库里的漏洞处罚居民社保记录。厂商的漏洞处罚响应速度不慢，48小时内推了补丁。漏洞处罚但事后复盘时，漏洞处罚真正让甲方头疼的漏洞处罚不是技术问题，而是漏洞处罚合同里那条“漏洞处罚”条款——厂商被扣了全年服务费的15%，约莫七十多万。漏洞处罚安全负责人私下跟我吐槽：“漏洞是漏洞处罚我们自己扫出来的，厂商也连夜修了，漏洞处罚结果罚得跟故意留后门似的漏洞处罚。”
这事听着荒诞，漏洞处罚但翻翻近几年的漏洞处罚安全服务合同，类似的漏洞处罚处罚条款越来越常见。某银行2022年的一份渗透测试合同里写着：高危漏洞每个扣款5000元，中危2000，低危500。测试团队干了两周，报告交上去，甲方安全部按图索骥数了数，一共扣了八万三。项目经理后来在饭局上说，那项目本来利润就薄，扣完等于白干，还倒贴了差旅。
处罚的逻辑起点是“倒逼质量”。甲方觉得，不罚钱，乙方就不会上心。这话搁在十年前可能成立，那时候安全服务市场鱼龙混杂，确实有人拿扫描器跑一遍就交差。但现在情况变了。头部安全厂商的交付流程早就标准化了，漏洞漏报更多是能力边界问题，不是态度问题。你让一个团队去测一个用了十年、代码屎山一样的遗留系统，他们能把已知的高危漏洞挖出来就不错了，指望零遗漏？不现实。
更麻烦的是，处罚条款往往把“漏洞数量”和“服务质量”直接挂钩。这俩是一回事吗？我见过一个案例，某电商平台在促销前做安全测试，合同里约定高危漏洞超过三个就扣款。结果测试团队发现了一个逻辑漏洞，能通过并发请求薅走优惠券，利用条件苛刻，但一旦被利用就是资损。按CVSS评分，它算中危。团队犹豫了半天，最后按高危报了——因为不报，万一出事，责任更大；报了，甲方扣钱。最后甲方安全总监拍板：这个不扣，但下次合同得改评分标准。你看，连甲方自己都觉得条款拧巴。
还有一层隐性的东西：处罚条款在悄悄改变乙方的心态。以前做渗透测试，发现一个边缘漏洞，顺手就写进报告了，反正不费事。现在得先想想，这个漏洞算不算“有效漏洞”？会不会触发扣款？有些团队干脆把低危漏洞合并描述，或者放在附录里一笔带过。甲方拿到报告，表面上漏洞少了，实际风险没变。这叫“处罚驱动的信息隐藏”，跟当年煤矿瞒报伤亡一个道理——不是人坏了，是制度把人的行为扭曲了。
那怎么办？我观察到的几个务实做法，都不是在“罚不罚”上打转。一家券商的做法是：把处罚改成“质量保证金”，合同里留10%的尾款，半年后根据实际漏洞修复情况和漏报率再结算。漏报的定义也改了——不是看报告里写了几个，而是看甲方自己后续的红队演练或外部通报里，有没有出现乙方没发现的同类漏洞。另一个甲方更直接：不扣钱，但把漏洞发现能力写进供应商评级，连续两次漏报高危，下一轮招标直接降档。这比扣几万块钱疼多了。
说到底，漏洞处罚条款的本质，是甲方想把安全风险的部分责任转嫁给乙方。但安全这玩意，责任转嫁不了。系统是你的，数据是你的，真出了事，监管罚的是你，用户骂的是你。乙方能做的，是在合同范围内尽力，不是替你兜底。把处罚条款设计得再精巧，也换不来一个绝对安全的系统。能换来的是乙方在写报告时多犹豫几分钟——这几分钟，可能值几十万，也可能一文不值。