网络安全漏洞披露规则及其体系设计-暨南大学学报.PDFVIP

暨南学报（哲学社会科学版） 年 月 总第 期 ９４ 　　　 　  网络法 网络安全漏洞披露规则及其 体系设计 黄道丽 ［摘　要］网络安全漏洞披露已成为网络安全风险控制的中心环节。不规范或非法的网络 安全漏洞披露危害网络空间整体安全，凸显法律规定的灰色地带。实践中网络安全漏洞 披露表现为不披露、完全披露、负责任披露和协同披露等类型。美国从法律和政策层面 分别构建网络安全漏洞披露规则，并根据形势不断进行调整，规则设计呈现从负责任披 露到协同披露的变化趋势，国家层面统一的网络安全漏洞披露协调和决策机制也在进一 步完善中。我国现行立法从产品和服务提供者、第三方和国家三个层面提出了网络安全 漏洞合法披露的基本要求，可借鉴域外经验，以协同披露为导向，围绕披露主体、披露 对象、披露方式和披露的责任豁免论证和设计网络安全漏洞披露规则体系，为安全漏洞 披露行为提供明确指引。 ［关键词］网络安全漏洞；披露；类型；规则；协同 ［中图分类号］Ｄ９　［文献标识码］Ａ　［文章编号］１０００－５０７２（２０１８）０１－００９４－１３ 引　言 近年来，利用网络安全漏洞实施攻击的安全事件在全球范围内频发，给网络空间安全带来了 不可逆的危害。网络安全漏洞披露已成为网络安全风险控制的中心环节，对于降低风险和分化风 险起着至关重要的作用。强化网络安全漏洞收集、分析、报告、通报等在内的风险预警和信息通 ① 报工作已成为国家网络安全保障的重要组成部分。 作者简介：黄道丽，西安交通大学法学院，公安部第三研究所副研究员。 基金项目：国家社会科学基金重大项目“网络社会治理创新研究”（１５ＺＤＡ０４７）；上海市科技创新行动计划“数据安全评估规范方 案”（１１７ＤＺ１１０１００４）；公安理论及软科学研究计划“我国关键信息基础设施保护的法律对策研究”（２０１６ＬＬＹＪＧＡＳＳ０２０）；公安部第 三研究所所选项目“２０１７年度网络安全政策法律问题”（Ｃ１７２５３）。 本文在撰稿过程中受到西安交通大学法学院马民虎教授的指导。 ①２０１１年《关于加强工业控制系统信息安全管理的通知》（工信部协〔２０１１〕４５１号）规定“建立信息安全漏洞信息发布制度。开展 工业控制系统信息安全漏洞信息的收集、汇总和分析研判工作，及时发布有关漏洞、风险和预警信息”，２０１２年《国务院关于 大力推进信息化发展和切实保障信息安全的若干意见》（国发〔 ２０１２〕２３号）强调“保障工业控制系统安全。实行安全风险和漏洞 通报制度”，２０１６年我国《国家信息化发展战略纲要》明确提出“提升全天候全方位感知网络安全态势能力，做好等级保护、风 险评估、漏洞发现等基础性工作”，２０１６年《国家网络空间安全战略》也明确要求“做好漏洞发现等基础性工作”。 黄道丽 网络安全漏洞披露规则及其体系设计 ９５ 国内外不同主体基于不同动机和利益驱动开展了广泛的网络安全漏洞披露实践并引发各方对 ① 不利法律后果的反思。２０１６年我国某“白帽子”披露世纪佳缘网站