网络安全产品漏洞管理规定

2023年，网络某大型制造企业因为一台联网的安全工业摄像头被攻破，整个内网沦陷，产品生产线停摆三天。漏洞事后排查发现，管理规定那台摄像头用的网络还是五年前出厂时的默认密码。这不是安全孤例。国家互联网应急中心的产品数据显示，每年因物联网设备漏洞导致的漏洞安全事件都在翻倍增长。但真正的管理规定问题不是设备漏洞本身，而是网络没人对漏洞负责——设备厂商说软件是第三方写的，云服务商说硬件不是安全他们做的，企业用户说他们只是产品买了台现成设备。

《网络安全产品漏洞管理规定》想解决的漏洞，就是管理规定这个踢皮球的老大难。它把漏洞管理从“出了事再补救”硬生生掰成“没出事就得管”。规定要求所有网络产品——从操作系统到路由器，从App到工控系统——必须建立全生命周期的漏洞跟踪机制。厂商不能再把产品卖出去就装死，得持续监控漏洞情报，90天内必须给出修复方案，紧急漏洞更是压缩到48小时。这等于给每个产品都配了个“售后医生”，而且是强制体检的那种。

有意思的是，规定里藏着一条容易被忽略的硬杠杠：漏洞信息不能藏着掖着。以前很多厂商发现漏洞后选择闷声修，怕公开了影响声誉。结果呢？攻击者早就通过黑市买到了漏洞详情，普通用户却一无所知。新规直接要求厂商必须向主管部门报告，同时向用户披露风险等级和补救措施。我认识一个安全研究员，他说这规定出来那天，他们圈子里好几个搞漏洞买卖的群都安静了——因为“独家漏洞”的生意做不长了。

当然，规定落地没那么轻松。小厂商抱怨成本太高，一个安全团队的年薪够他们研发好几年了。但换个角度看，这正是行业洗牌的机会。以前靠低价劣质产品冲市场的厂家，现在得掂量掂量漏洞响应的代价。我见过一家做智能门锁的小公司，为了符合规定硬是招了两个安全工程师，结果产品反而因为“敢承诺漏洞保修”打开了高端市场。你看，规矩有时候反而是生意。

最让我觉得解气的是，规定终于把责任链条焊死了。以前企业被攻击了，找厂商理论，对方一句“你使用不当”就能推干净。现在不行了——如果厂商没按时间线响应漏洞，出了事就得担责。上个月某知名路由器品牌被曝出后门漏洞，公告里第一句话就是“已按《规定》要求向主管部门报备”，这放在两年前根本不敢想。压力传导下去，那些还在用“安全免责条款”糊弄用户的小厂商，迟早得改合同。

规矩立起来只是第一步。真正难的是执行——谁来判定漏洞等级？跨地区厂商归谁管？用户报告漏洞有没有奖励机制？这些细则还没完全明晰。但至少方向对了：网络安全不该是用户自求多福的玄学，而该是产品出厂时就写进代码的底线。下次你再看到某个App弹窗说“修复了安全隐患”，不妨想想背后那套倒逼厂商的机制——它不完美，但正在让数字世界的每个角落都不得不睁大眼睛。