10 Lỗ hổng báo theo đúng quy định; trước khi vá không công khai chi tiết, không phát công cụ khai thác, không giao cho phía nước ngoài
Quy định quản lý lỗ hổng cũng quản cá nhân. Trước khi hãng vá, bạn không được công khai lỗ hổng. Bạn không được phát công cụ chuyên khai thác, và khi công khai phải nói luôn cách vá. Lỗ hổng chưa công khai không được giao cho phía nước ngoài, trừ hãng.
Xem chi tiết
- Chi phí
Không tốn tiền. Bạn báo lỗ hổng cho bên cung cấp sản phẩm, hoặc báo lên nền tảng chính thức. Trước khi hãng vá xong, bạn không phát chi tiết, cũng không phát code chứng minh
- Lợi ích
Quy định này quản ba loại đối tượng: bên cung cấp sản phẩm mạng, bên vận hành mạng trong nước, và tổ chức hay cá nhân làm hoạt động phát hiện, thu thập, công bố lỗ hổng. Tổ chức hay cá nhân nào cũng không được dùng lỗ hổng làm hoạt động nguy hại an ninh mạng, không được thu thập, bán, công bố thông tin lỗ hổng trái phép. Khi công bố thông tin lỗ hổng ra xã hội, bạn phải giữ năm điều. Thứ nhất, không được công bố trước khi bên cung cấp sản phẩm đưa ra biện pháp vá. Thứ hai, không được công bố tình hình chi tiết lỗ hổng tồn tại trên mạng, hệ thống thông tin và thiết bị mà bên vận hành mạng đang dùng. Thứ ba, không được cố ý thổi phồng nguy hại và rủi ro, không được dùng thông tin lỗ hổng để thổi phồng ác ý hay lừa đảo. Thứ tư, không được công bố hay cung cấp chương trình và công cụ chuyên dùng khai thác lỗ hổng để làm hoạt động nguy hại an ninh mạng. Thứ năm, khi công bố phải đồng thời công bố biện pháp vá hoặc phòng ngừa. Ngoài ra, bạn không được cung cấp thông tin lỗ hổng chưa công khai cho tổ chức hay cá nhân nước ngoài, trừ bên cung cấp sản phẩm. Quy định khuyến khích báo lỗ hổng về bốn nền tảng chính thức. Một là nền tảng chia sẻ thông tin uy hiếp và lỗ hổng an ninh mạng của Bộ Công nghiệp và Tin học hóa. Hai là nền tảng lỗ hổng của Trung tâm Thông báo Thông tin An ninh mạng và An toàn Thông tin Quốc gia. Ba là nền tảng lỗ hổng của Trung tâm Phối hợp Xử lý Kỹ thuật Ứng phó Khẩn cấp Mạng Máy tính Quốc gia. Bốn là kho lỗ hổng của Trung tâm Đánh giá An toàn Thông tin Trung Quốc. Nếu bạn vi phạm quy định thu thập, công bố thông tin lỗ hổng, Bộ Công nghiệp và Tin học hóa và Bộ Công an xử lý theo luật, mỗi bên theo chức trách riêng. Nếu hành vi khớp với trường hợp Luật An ninh mạng đã quy định thì phạt theo luật đó. Khi công bố ra xã hội thông tin an ninh mạng như lỗ hổng hệ thống, bạn phải tuân theo quy định có liên quan của nhà nước. Nếu vi phạm, cơ quan quản lý lệnh sửa, cảnh cáo, có thể phạt từ 1 vạn đến 10 vạn nhân dân tệ. Không chịu sửa hoặc tình tiết nặng thì phạt từ 10 vạn đến 100 vạn nhân dân tệ. Còn có thể lệnh tạm ngừng nghiệp vụ liên quan, buộc nghỉ kinh doanh để chấn chỉnh, đóng site hoặc app. Cũng có thể thu hồi giấy phép nghiệp vụ liên quan hoặc thu hồi giấy phép kinh doanh. Với người quản lý chịu trách nhiệm trực tiếp và người chịu trách nhiệm trực tiếp khác, mức phạt là từ 1 vạn đến 10 vạn nhân dân tệ (cả nước TQ)
- Mức chứng cứ
A
- Nguồn
工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
- Ghi chú
Chỉ tham khảo TQ: Quy định ghi rõ cá nhân thuộc đối tượng bị quản. "Tôi chỉ là người chơi nghiệp dư" không nằm trong ngoại lệ. Nếu bạn nộp lỗ hổng của hệ thống trong nước lên nền tảng thưởng lỗ hổng nước ngoài, việc đó rơi đúng vào điều "lỗ hổng chưa công khai không được cung cấp ra nước ngoài". Bạn có tư cách đi test hay không thì xem mục 9 (không có ủy quyền văn bản thì không test hệ thống người khác), và phải tách việc đó với việc xử lý lỗ hổng sau khi lấy được. Lỗ hổng phát hiện hợp pháp vẫn có thể bị phạt vì cách công bố vi phạm. Còn lỗ hổng test ra khi chưa được ủy quyền thì có vấn đề ở cả hai đầu, test lẫn công bố. Trong các kênh báo, nền tảng của Bộ Công nghiệp và Tin học hóa và trung tâm ứng phó khẩn cấp internet quốc gia (CNCERT) được dùng nhiều nhất. Quy định không tách riêng tình huống "đã báo hãng mà hãng không vá". Tác giả khuyên lưu lại hồ sơ quá trình thương lượng và báo cáo, đồng thời báo lên bốn nền tảng chính thức nói trên.