网络安全漏洞管理规定

2023年，网络某金融机构因未及时修补一个VPN设备的安全漏洞，被黑客拖走了数百万条客户数据。漏洞事后追责时发现，管理规定该漏洞早在半年前就被厂商公告，网络但内部流程卡在“审批”环节整整四个月。安全这不是漏洞孤例。

《网络安全漏洞管理规定》的管理规定出台，本质上就是网络要把漏洞管理从“良心活”变成“硬规矩”。它要求运营者建立漏洞发现、安全报告、漏洞修复、管理规定验证的网络全流程机制——听起来像常识，但现实中能做到的安全企业凤毛麟角。我见过太多公司，漏洞安全部门发现漏洞后提交工单，运维部门排期到下个季度，中间再碰上业务上线、人员变动，漏洞就石沉大海了。

规定里最扎眼的一条，是要求漏洞信息必须向主管部门报告，并且对关键信息基础设施的漏洞修补时限做了硬性约束。有人抱怨“管得太宽”，可你想想，一个电力系统或者交通调度平台的漏洞，如果被利用，影响的不是一家公司，而是整个城市甚至国家的运转。这种时候，谈“企业自主权”就有点矫情了。

但规定也有让人挠头的地方。比如漏洞披露的边界问题——白帽黑客发现漏洞后，该先通知厂商还是先公开？如果厂商不搭理，研究人员能不能发博客？规定里语焉不详，实际执行中很容易变成“报告了没人管，公开了又怕担责”。我认识几个做安全研究的朋友，现在发现漏洞都先发邮件给厂商，等两周没回复就直接放弃，宁可烂在手里也不碰红线。这反而让漏洞更隐蔽了。

另一个现实困境是中小企业。规定要求配备专职安全人员、建立应急响应机制，可很多小公司连专职IT都没有，更别提安全团队了。硬性达标意味着要么花钱买第三方服务，要么违规运营。这就像让一个骑自行车的人必须考汽车驾照才能上路——方向没错，但步子迈得太急，路上会倒一片。

话说回来，规定本身不是目的，减少漏洞被利用才是。我见过最有效的做法，是一家互联网公司的内部“漏洞赏金计划”——员工发现漏洞直接奖励现金，从发现到修复平均不超过72小时。这种激励机制，比任何强制规定都管用。可惜现在很多单位还在用“通报批评”来对待漏洞发现者，搞得好像漏洞是员工捅出来的篓子，而不是系统本身的问题。

漏洞管理本质上是对不确定性的管理。你永远无法消灭所有漏洞，但可以缩短漏洞暴露的时间窗口。规定的价值在于把这件事从“可做可不做”变成“必须做”，但具体怎么做，还需要更细的指引和更灵活的执行空间。别让纸面规则变成僵硬的教条，也别让安全变成一句空喊的口号。