国家信息安全漏洞库技术支撑单位等级

拿到CNVD技术支撑单位证书的信息那天，我盯着上面那个"三级"看了很久。安全说实话，漏洞心里有点复杂——这玩意儿到底意味着什么？库技圈外人可能根本没听过，但在安全圈里，术支它确实是撑单一块实打实的招牌。

先把这个体系说清楚。信息CNVD，安全国家信息安全漏洞库，漏洞归口在CNNVD（中国信息安全测评中心）下面运行。库技它给技术支撑单位分了三个等级：一级、术支二级、撑单三级。信息三级是安全入门门槛，一级是漏洞最高级别。不是交钱就能拿的，要过材料审核、能力验证、实际漏洞报送量考核，还得有持续的技术输出。

三级：能干活，但话语权有限

三级支撑单位一般是安全创业公司、高校实验室、或者刚起步的漏洞研究团队。要求不算离谱——每年报送一定数量的高质量漏洞，有基本的研究能力，能配合CNVD做应急响应。我认识一个做IoT安全的小团队，四个人，去年拿了三级。他们的日常就是挖路由器、摄像头固件里的洞，攒够了就往CNVD报。用他们的话说，"三级就是个入场券，证明你不是野路子"。

但三级的天花板很明显。CNVD下发的某些高价值漏洞信息，三级单位看不到。联合攻关项目，基本轮不到。更多时候是在做外围支撑——帮着验证漏洞、写分析报告、参与一些标准讨论。

二级：开始进入核心圈

二级支撑单位就不一样了。通常是有一定规模的安全企业、研究院所，或者大厂的安全实验室。年漏洞报送量要求翻了几倍，而且对漏洞质量有更细的指标——高危漏洞占比、原创发现比例、响应时效。更重要的是，二级单位能拿到CNVD的部分共享数据，参与漏洞库的规则制定讨论。

有个细节值得说：二级单位有资格派代表参加CNVD的年度技术会议。别小看这个会，很多漏洞披露的节奏、厂商协调的潜规则，都是在这些场合聊出来的。我参加过一届，茶歇时间比正式议程信息量大得多。

一级：数量极少，门槛极高

一级支撑单位全国就那么几家。要求年报送漏洞数量达到相当规模，且必须有多个原创高危漏洞被CNVD收录，还要有成熟的漏洞挖掘体系和应急响应能力。基本上，能拿到一级的，要么是国家队背景，要么是头部安全厂商的核心研究团队。

一级单位能接触到的信息层级完全不同。某些0day的协调披露、关键基础设施相关的漏洞研判，一级单位是深度参与的。说白了，到了这个级别，你不再只是"报漏洞的"，而是漏洞治理体系里的一个节点。

等级背后是信任梯度

这套等级制度的本质，是CNVD对技术支撑单位的一种信任分级。三级信任你能干活，二级信任你能参与决策，一级信任你能共担责任。漏洞是敏感信息，不是谁都能看的。等级越高，看到的东西越多，承担的义务也越重。

我个人的判断是，对大多数安全团队来说，二级是个务实的目标。三级容易拿但价值有限，一级够不着也不用硬够。二级既能证明实力，又能拿到实质性的资源倾斜。当然，如果团队刚起步，先从三级做起，踏踏实实报漏洞，积累够了再往上走，这条路更稳。

证书挂在墙上只是一张纸。真正值钱的，是等级背后你积累的漏洞数据、技术口碑，以及在这个圈子里建立起来的信任关系。

本文地址：http://www.79wt.cn/news/1624f1499823.html