如何更好地践行《网络产品安全漏洞管理规定》？

如何更好地践行《网络产品安全漏洞管理规定》？ – 作者:绿盟科技

近日，工业和信息化部、国家互联网信息办公室、公安部近日联合印发《网络产品安全漏洞管理规定》（以下简称《规定》）。该《规定》的发布对于安全漏洞的发现、报告、修复、收集等多个行为进行了规范和约束，能够促使网络安全行业更快更健康的发展，同时也说明了国家对于网络安全的重视程度，强调了网络安全的发展和建设应以不损害国家安全为前提。绿盟科技基于网络安全攻防技术研究二十一年的经验，对如何更好地遵守并实践该《规定》整理了自己的理解以飨读者。

《规定》的法律依据

《网络安全法》中，对网络安全产品和网络运营者做了要求，这是《规定》制定依据，细化管理对象的规范要求。第二十二条　网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

第二十五条　网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

《规定》管理对象

《规定》的管理对象包括：网络产品提供者、网络运营者、从事漏洞发现、收集、披露等活动的组织或个人。网络产品提供者和网络运营者是自身产品和系统漏洞的责任主体，需要建立畅通的漏洞信息接收渠道，及时对漏洞进行验证并完成漏洞修补。对于从事漏洞发现、收集、发布等活动的组织和个人，《规定》明确了其经评估协商后可提前披露产品漏洞、不得发布网络运营者在用系统的漏洞细节、同步发布修补防范措施、不得将未公开漏洞提供给产品提供者之外的境外组织或者个人等八项具体要求。

绿盟科技的实践

绿盟科技八大实验室之一天机实验室，专注于漏洞挖掘和分析等攻防对抗的研究，同时，绿盟科技面向市场提供的60余款网络安全产品也经过高度严格的安全检查。此二者，都是《规定》中所提到的管理对象，需要满足《规定》之要求。绿盟科技对外发布的威胁信息一直坚持客观、真实、审慎、负责的原则，并且内部有一套成熟的情报生态体系做支撑。我们基于事件和情报的运营体系，以绿盟科技安全运营中心的专家团队为核心，集成了SOAR和威胁情报能力的集成平台，依托遍布全国的安全服务团队，为客户提供准确高效的情报和应急处置服务。

从绿盟科技内部的管理规定和日常要求出发，成立了安全委员会，加强产品安全管理，并制订并实施了一系列的工作制度与流程来满足《网络安全法》中对漏洞的要求，也契合《规定》中的细则。

首先，从网络产品提供者角度，绿盟科技成立了PSIRT（产品安全事件响应工作组）小组，专门负责产品安全漏洞的应急处置工作。覆盖公司交付客户的所有软件、硬件和在线服务产品。