内容摘要：《网络产品安全漏洞管理规定》在2021年9月1日正式施行。这份文件由工信部、国家网信办、公安部三部门联合发布，从征求意见到落地，节奏不算慢。它要解决的核心问题很具体：漏洞从被发现到被利用，中间那段灰色

《网络产品安全漏洞管理规定》在2021年9月1日正式施行。网络这份文件由工信部、产品出台国家网信办、安全公安部三部门联合发布，漏洞从征求意见到落地，管理规定节奏不算慢。网络它要解决的产品出台核心问题很具体：漏洞从被发现到被利用，中间那段灰色地带，安全过去基本没人管得住。漏洞

搞过安全的管理规定人都知道，漏洞信息本身是网络把双刃剑。白帽子发现了，产品出台提交给厂商，安全厂商修了，漏洞皆大欢喜。管理规定但现实往往没这么顺。有人发现漏洞后挂到境外平台出售，有人直接联系黑产报价，还有厂商自己知道了却拖着不修——这些事不是假设，是过去几年反复发生的真实场景。2020年某国产OA系统被曝出远程命令执行漏洞，补丁还没发，利用代码已经在圈子里传开了，大量政企内网被扫穿。这种事多了，监管层不可能坐视不管。

规定出台的第一个直接目的，是把漏洞的发现、报告、修复、披露这条链条上的责任主体全部框定清楚。谁发现了漏洞该报给谁，多长时间内必须报，厂商在多长时间内必须修，修完之后什么时候能公开披露——这些过去靠“行业惯例”和“道德自觉”维系的东西，现在变成了白纸黑字的义务。比如规定明确要求，发现漏洞后应当在2日内向工信部平台报送，厂商收到漏洞信息后应当在90日内完成修复。90天这个数字不是拍脑袋来的，它参考了国际上通行的漏洞披露窗口期，但结合国内实际情况做了调整。时间给得不算宽裕，但也留了余地。

更深一层的目的，是把漏洞信息纳入国家层面的统一管理。过去漏洞库分散在各个平台，厂商有厂商的，第三方有第三方的，数据不互通，标准不统一。规定要求建立统一漏洞库，所有报送的漏洞信息汇聚到一个口子上。这不仅仅是方便统计，更重要的是让监管层能看清全局——哪些产品漏洞多，哪些厂商修得慢，哪些漏洞正在被积极利用。有了这些数据，才能做精准的预警和处置。打个不太准确的比方，以前是各人自扫门前雪，现在是要把整条街的积雪情况汇总到一张图上。

还有一个容易被忽略的目的：切断漏洞的黑产交易链条。规定里有一条很关键——任何组织和个人不得在漏洞修补之前发布漏洞信息，不得向境外组织或个人提供未公开的漏洞信息。这两句话指向很明确。前者堵住了“先公开再修补”的莽撞做法，后者堵住了漏洞外流的口子。过去有些漏洞被卖到境外，转几手之后又回来打国内目标，这种迂回路线现在被明确禁止了。当然，执行层面肯定有难度，但至少法律依据有了，追责的时候不会无法可依。

从实际效果看，规定施行两年多，厂商的响应速度确实在变快。以前一个高危漏洞拖几个月不修是常事，现在超过90天没动静，监管那边可能就要过问了。白帽子的提交渠道也更规范了，SRC平台和工信部平台之间的衔接比过去顺畅。不过也有槽点，比如2日内报送的要求对独立研究者来说有点紧，有时候验证漏洞真实性都不止两天。这种细节上的摩擦，可能还需要在实践中慢慢调。

说到底，这份规定不是在管漏洞本身，漏洞是管不住的，代码写出来就可能有问题。它管的是人——发现漏洞的人、掌握漏洞的人、利用漏洞的人、负责修补的人。把人的行为约束住了，漏洞从被发现到被利用之间的那扇门，才算真正关上了一道缝。