《中国互联网协会漏洞信息披露和处置自律公约》在京签署
- 发布时间:2015-06-19 18:30:20 来源:工信部网站 责任编辑:罗伯特
为进一步规范网络安全漏洞的信息披露和处置工作,在工业和信息化部的指导下,中国互联网协会网络与信息安全工作委员会组织有关单位起草了《中国互联网协会漏洞信息披露和处置自律公约》(以下简称公约),并于6月19日组织乌云、补天、漏洞盒子等民间漏洞平台、重要行业部门、基础电信企业、软硬件厂商、网络安全企业与国家计算机网络应急技术处理协调中心(CNCERT)等32家单位举行了签约仪式。
随着互联网的迅速发展和普及,网络安全事件日益增多,其中信息系统存在高危漏洞已经成为诱发网络安全事件的重要因素。根据国家信息安全漏洞共享平台(CNVD)收录的情况,近三年来新增通用软硬件漏洞的数量年均增长20%左右,漏洞数量呈现快速增长趋势。关键基础设施和重要信息系统存在漏洞会带来极大的安全隐患,一旦被黑客利用,不仅可能威胁到网络数据和用户个人信息的安全,甚至可能会危害整个信息系统的安全运行。
近年来,国内民间漏洞平台开始出现并迅速发展,对于调动社会力量发现漏洞隐患,及时提醒和督促漏洞所属单位修补漏洞、防范风险,避免漏洞信息地下扩散等具有积极的意义。为充分发挥这些漏洞平台的作用,工业和信息化部指导CNCERT与乌云、补天、漏洞盒子等民间漏洞平台建立了工作联系,重点处置涉及党政机关、重要行业单位的漏洞信息。近三年,CNCERT从各漏洞平台上接收和处置的涉及党政机关、重要行业单位漏洞信息超过1.3万起,及时协助相关单位排除了安全隐患。但民间漏洞平台在发挥积极作用的同时,在漏洞披露方面也带来一些问题,披露漏洞之前未及时通知涉事单位、披露信息过于详细易被黑客组织利用、漏洞信息描述不准确或漏洞披露信息夸大造成社会恐慌等等,对漏洞信息的披露亟待进一步规范。另外,对漏洞的处置也有待各方共同努力,提高应急响应和处置效率,降低漏洞对党政机关、行业单位和用户造成的威胁和经济损失。
公约签订是首次以行业自律的方式规范漏洞信息的接收、处置和发布工作。公约规定了CNCERT、漏洞报告平台以及软硬件生产厂商、信息系统管理方在漏洞披露和处置方面的责任和自律条款,提出漏洞信息披露的“客观、适时、适度”三原则,并要求各方加强协同配合,积极做好漏洞的验证、评估、修复和用户的主动响应工作。公约强调要遵守国家政策法规和政府主管部门规定,重点做好涉及政府和重要信息系统部门的漏洞披露和处置工作,同时也要积极保障用户的漏洞知情权和安全利益。
工业和信息化部、人力资源和社会保障部、水利部、银监会、证监会、国家能源局等有关单位以及银行、电信运营商、非经营性互联单位、民间漏洞报告平台、互联网企业、安全企业、软硬件厂商等近40家单位出席本次签约仪式。