《网络产品安全漏洞管理规定》2021年7月12日已由工业和信息化部、国家互联网信息办公室、公安部三部门联合印发，现予公布，自2021年9月1日起施行。

一、解读《网络产品安全漏洞管理规定》

制定目的

为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险。

法律依据

《中华人民共和国网络安全法》

三类责任主体

① 网络产品（含硬件、软件）提供者。

② 网络运营者。

③ 从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人。

三项管理职责及分工

① 国家互联网信息办公室：负责统筹协调网络产品安全漏洞管理工作。

② 工业和信息化部：负责网络产品安全漏洞综合管理，承担电信和互联网行业网络

产品安全漏洞监督管理。

③ 公安部：负责网络产品安全漏洞监督管理，依法打击利用网络产品安全漏洞实施

的违法犯罪活动。

三项活动不得从事

① 任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动。

② 不得非法收集、出售、发布网络产品安全漏洞信息。

③ 明知他人利用网络产品安全漏洞从事危害网络安全的活动的，不得为其提供技术

支持、广告推广、支付结算等帮助。

三类责任主体管理要求：

●网络产品提供者

接收：应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全

漏洞信息接收日志不少于6个月。

发现或者获知所提供网络产品存在安全漏洞后：

验证：应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影

响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品

提供者。

报送：应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏

洞信息。

修补：应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）

采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式

告知可能受影响的产品用户，并提供必要的技术支持。

同步：工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全

信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。

鼓励：鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所

提供网络产品安全漏洞的组织或者个人给予奖励。

  • 网络运营者

接收：应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全

漏洞信息接收日志不少于6个月。

修补：发现或者获知其网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，

及时对安全漏洞进行验证并完成修补。

  • 任何组织和个人

备案：任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部

备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收

集平台，并对通过备案的漏洞收集平台予以公布。

鼓励：鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和

漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机

网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络

产品安全漏洞信息。

  • 八项漏洞发布要求
  1. 不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况
  2. 不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息。
  3. 不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。
  4. 不得刻意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。
  5. 在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息。
  6. 在发布网络产品安全漏洞时，应当同步发布修补或者防范措施。
  7. 不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
  8. 法律法规的其他相关规定。

从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。

法律罚则：

网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十条规定情形的，依照该规定予以处罚。

网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定情形的，依照该规定予以处罚。

违反本规定收集、发布网络产品安全漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十二条规定情形的，依照该规定予以处罚。

利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的，由公安机关依法处理；构成《中华人民共和国网络安全法》第六十三条规定情形的，依照该规定予以处罚；构成犯罪的，依法追究刑事责任。

二、《网络产品安全漏洞管理规定》全文学习

第一条 为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险，根据《中华人民共和国网络安全法》，制定本规定。

第二条 中华人民共和国境内的网络产品（含硬件、软件）提供者和网络运营者，以及从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人，应当遵守本规定。

第三条 国家互联网信息办公室负责统筹协调网络产品安全漏洞管理工作。工业和信息化部负责网络产品安全漏洞综合管理，承担电信和互联网行业网络产品安全漏洞监督管理。公安部负责网络产品安全漏洞监督管理，依法打击利用网络产品安全漏洞实施的违法犯罪活动。

有关主管部门加强跨部门协同配合，实现网络产品安全漏洞信息实时共享，对重大网络产品安全漏洞风险开展联合评估和处置。

第四条 任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动，不得非法收集、出售、发布网络产品安全漏洞信息；明知他人利用网络产品安全漏洞从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

第五条 网络产品提供者、网络运营者和网络产品安全漏洞收集平台应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全漏洞信息接收日志不少于6个月。

第六条 鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞。

第七条 网络产品提供者应当履行下列网络产品安全漏洞管理义务，确保其产品安全漏洞得到及时修补和合理发布，并指导支持产品用户采取防范措施:

（一）发现或者获知所提供网络产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。

（二）应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。

（三）应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户，并提供必要的技术支持。

工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。

鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。

第八条 网络运营者发现或者获知其网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，及时对安全漏洞进行验证并完成修补。

第九条 从事网络产品安全漏洞发现、收集的组织或者个人通过网络平台、媒体、会议、竞赛等方式向社会发布网络产品安全漏洞信息的，应当遵循必要、真实、客观以及有利于防范网络安全风险的原则，并遵守以下规定：

（一）不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息；认为有必要提前发布的，应当与相关网络

产品提供者共同评估协商，并向工业和信息化部、公安部报告，由工业和信息化部、公安部组织评估后进行发布。

（二）不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况。

（三）不得刻意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。

（四）不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。

（五）在发布网络产品安全漏洞时，应当同步发布修补或者防范措施。

（六）在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息。

（七）不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。

（八）法律法规的其他相关规定。

第十条 任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收集平台，并对通过备案的漏洞收集平台予以公布。

鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络产品安全漏洞信息。

第十一条 从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。

第十二条 网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十条规定情形的，依照该规定予以处罚。

第十三条 网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定情形的，依照该规定予以处罚。

第十四条 违反本规定收集、发布网络产品安全漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十二条规定情形的，依照该规定予以处罚。

第十五条 利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的，由公安机关依法处理；构成《中华人民共和国网络安全法》第六十三条规定情形的，依照该规定予以处罚；构成犯罪的，依法追究刑事责任。

第十六条 本规定自2021年9月1日起施行。

三、任子行漏洞安全解决方案

任子行信息安全服务定位于帮助用户以较低的成本实现高效的信息安全体系，致力成为一家具有前瞻性的信息安全解决方案和服务提供商，提供包含从高端的全面安全体系到细节的技术解决措施，为企业、政府提供全面或部分信息安全解决方案的服务，包括娴熟高效的安全技术、精准专业的安全工具以及资深信息安全专家的专业服务。另外任子行还会为客户量身量身制定服务，从网络安全、应用安全、主机安全、数据安全等方面提供包括信息安全风险评估、等级保护咨询、渗透测试、安全巡检、安全加固、安全培训、应急响应、安全咨询、攻防演练及重保值守等服务内容，尽最大能力满足所有客户的安全需求。

风险（安全）评估服务

风险（安全）评估是对信息系统和IT基础设施进行安全风险评估，包括明确风险评估范围、识别重要资产、识别脆弱性和威胁、现有安全控制措施、应用系统漏洞扫描、分析和计算风险状况、制定不可接受风险处置方案和风险评估报告和总结。协助完成对风评过程中发现的问题进行整改，整改完成后测试是否整改完毕。

风险评估，可带来如下收益：

风险评估服务通过信息资产的识别与赋值、威胁评估、

弱点评估、现有安全措施评估、综合风险分析等若干环

节，对信息系统的安全风险进行风险分析，清晰地展现

信息系统当前的安全现状，提供公正、客观、翔实的数

据作为决策参考，为组织下一步控制和降低安全风险、

改善安全状况、实施信息系统的风险管理提供依据。

安全加固服务

在能百分百规避风险的情况下，针对系统渗透测试，漏洞扫描，风险评估等项目的实施结果，提供详细可行的漏洞修补及系统加固方案，协调系统运维人员进行安全加固，跟进安全加固进度，确保信息系统的安全。系统安全加固服务，可带来如下收益：

有效修复、减少系统中存在的高、中危漏

洞，降低安全漏洞和隐患带来的安全风险。

有效提升系统自身的安全防护能力。

最大程度保障系统的持续、安全、稳定运行。

应急响应服务

根据用户实际情况，提供信息安全应急响应服务，包括应急预案、事件处置及问题修复、报告输出。提供7*24小时重大安全事件的应急响应工作，应急响应主要针对突发的网站安全故障、网络安全事件、应用系统安全事件、主机安全事件、黑客攻击事件等进行诊断，分析并协助解决。

应急响应服务，可带来如下收益：

还原攻击事件，收集由于安全故障造成的入侵记录、破坏情况、直接损失情况等证据。提升安全事件处理效率，及时解决安全故障，恢复系统正常运行，尽可能挽回或减少安全事件带来的损失。对安全故障发生的系统作安全检查和清理，保证信息系统安全。弥补安全故障发生系统上的安全漏洞，加强安全保护措施，防止类似事件的再次发生。评估网站被入侵的可能性，并在入侵者发起攻击前封堵可能被利用的攻击途径。

《网络产品安全漏洞管理规定》解读相关推荐

  1. 《森林防火视频监控系统技术规范》解读

    <森林防火视频监控系统技术规范>(以下简称"标准")经过全国森林消防标准化技术委员会和编制组及相关单位两年的不懈努力,于2016年1月18日由国家林业局发布,于2016 ...

  2. 解读《森林防火视频监控系统技术规范》

    新近发生的加拿大.俄罗斯森林火灾令人揪心,火灾肆虐.席卷蔓延.损失惨重,令政府头疼不已.熊熊烈火遮天蔽日.惨不忍睹.尽管当今世界科学发展日新月异,但是,人类在控制森林火灾上却并未能取得实质性进展,森林 ...

  3. 林业局制定的《森林防火视频监控系统技术规范》

    迎革新,标准实施促森林防火迈向现代化 水火无情. 新近发生的加拿大.俄罗斯森林火灾令人揪心,火灾肆虐.席卷蔓延.损失惨重,令政府头疼不已.熊熊烈火遮天蔽日.惨不忍睹. 尽管当今世界科学发展日新月异,但 ...

  4. SkeyeARS全景AR增强监视系统助力林业部门打造森林防火视频监控网

    森林火灾是一种突发性强.破坏性大.处置救助较为困难的自然灾害,危害极大.杜绝森林防火,提前预警是关键.森林防灭火工作必须时刻紧绷安全弦,严防死守,严格火源管控,加大巡护力度,严格卡口设置和管理,坚决管 ...

  5. 粮食行业视频监控系统互联互通技术规范

    前言 本规范按照GB/T 1.1-2009给出的规则起草. 本规范由国家粮食和物资储备局提出. 本规范由全国粮油标准化技术委员会(SAC/TC 270)归口. 本规范起草单位: 本规范主要起草人: 范 ...

  6. 【论文】铁路综合视频监控系统图像质量诊断技术研究

    本文转载自<中文科技期刊数据库(全文版)工程技术> 作者:林海 单位:中铁十七局集团电气化工程有限公司 声明:本文仅用于学术分享,不做商业用途,如有侵权,联系即删除 摘要 随着铁路管理从粗 ...

  7. 油田智能化远程监控系统_十种远程无线视频监控系统拓扑图

    有人问,既然无线视频监控系统如此普及,是不是所有地方都能用到无线视频监控设备呢? 例如在大街上.学校里,工厂中.写字楼内,建筑工地上.公园中.住宅小区里.江河岸边.港口码头.甚至是森林.戈壁滩等等.只 ...

  8. inventor扳手制作视频_弱电工程视频监控系统施工方案，可作施工组织设计

    1 工程概况 1.1 编制<工程总体实施方案> 主要包括:结合高清监控系统设计方案作配套的深化设计,编制高清监控系统实施计划,并提出相关的配合要求.根据总体方案,对高清监控系统工程的技术设 ...

  9. cad监控图标_干货！多种不同环境的无线视频监控系统拓扑图

    有人问,既然无线视频监控系统如此普及,是不是所有地方都能用到无线视频监控设备呢? 例如在大街上.学校里,工厂中.写字楼内,建筑工地上.公园中.住宅小区里.江河岸边.港口码头.甚至是森林.戈壁滩等等.只 ...

  10. GPS授时服务器在电厂视频监控系统中的应用

    GPS授时服务器在电厂视频监控系统中的应用 GPS授时服务器在电厂视频监控系统中的应用 前言 近几年来,随着变电站自动化水平的提高,在综自变电站中计算机监控系统.微机保护装置.微机故障录波装置以及各类 ...

最新文章

  1. R语言ggplot2可视化：可视化斜率图、对比同一数据对象随着时间推移多个状态的差异（Slope Chart）、例如、对比不同癌症5年期、10年期、15年期存活率的差异
  2. 社区v2022.3版上线：发帖、看直播、评论体验升级，并支持机构号申请
  3. Spark Scala语言学习系列之完成HelloWorld程序（三种方式）
  4. 2017年9月16日普级组 在食人百货绽放的蓝蔷薇
  5. ubuntu镜像下载地址（国内镜像源）
  6. SVN：This client is too old to work with working copy…解决方法
  7. JustOj 2038: 叶神的字符串
  8. mysql游标触发器批量_MySQL游标和触发器
  9. 使用OpenCV-python实现颜色特征跟踪视频中的物体
  10. 从0-1教你大屏制作！实时数据处理+零代码，它的可视化堪比python
  11. 转换成CSV文件、Word、Excel、PDF等的方法--读取CSV文件的方法
  12. KindEditor上传图片word
  13. 计算机毕业论文java毕业设计成品源码网站基于SSM实现的仓库管理系统
  14. 微信小程序开发工具能正常请求后台数据，手机预览请求失败
  15. python英文分句_英文分句
  16. 3D Models (3D 模型)
  17. 长沙学院计算机二级报名,湖南计算机等级考试报名地点
  18. 文献分析-对3个重要数据库的认识
  19. 科研｜学生举报导师和院长剽窃其本科论文，校方处理结果令人失望！
  20. Redis 配置不当致使 root 被提权漏洞

热门文章

  1. SJCAM发力CES展 推出可触摸屏4K运动相机
  2. Java项目------收银小助手
  3. 用 镜像劫持 技术 对付一些小病毒
  4. API的认证方法（OpenAPI标准解析 - 1）
  5. IT图书出版的一些思路
  6. 观某可乐营销手段有感，微商这么做也能发财
  7. Cadence Allegro 17.4学习记录开始19-PCB Editor 17.4软件测量距离和查询操作
  8. 基于旅行商模型的碎纸片拼接复原
  9. JavaScript 中的作用域（scope）是指什么？
  10. React Native: Unexpected token ‘:‘. Expected a ‘)‘ or a ‘,‘ after a parameter declaration