工业和信息化部、国家互联网信息办公室、公安部近日印发《网络产品安全漏洞管理规定》(以下简称《规定》)，自2021年9月1日起施行。《规定》要求，从事网络产品安全漏洞发现、收集的组织或者个人通过网络平台、媒体、会议、竞赛等方式向社会发布网络产品安全漏洞信息的,应当遵循必要、真实、客观以及有利于防范网络安全风险的原则,明确不得刻意夸大网络产品安全漏洞的危害和风险,不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动等8项具体要求。
《规定》明确了网络产品提供者和网络运营者是自身产品和系统漏洞的责任主体，要建立畅通的漏洞信息接收渠道，及时对漏洞进行验证并完成漏洞修补。同时，《规定》还对网络产品提供者提出了漏洞报送的具体时限要求，以及对产品用户提供技术支持的义务。
对于从事漏洞发现、收集、发布等活动的组织和个人，《规定》还明确不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息;认为有必要提前发布的，应当与相关网络产品提供者共同评估协商，并向工业和信息化部、公安部报告，由工业和信息化部、公安部组织评估后进行发布。不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况。不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具等。
当前，不少专业机构、企业和社会组织等建立了从事漏洞发现和收集的平台，在实际工作中部分漏洞收集平台也暴露出内部运营不规范、擅自发布漏洞等问题，亟需加强管理。为此，《规定》要求，任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。 从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。