Уязвимости сдавать по правилам: до исправления не публиковать детали, не выпускать эксплойты и не передавать за рубеж

Частные лица тоже подпадают под (网络产品安全漏洞管理规定). Пока производитель не дал способ исправления, нельзя публиковать уязвимость и детали дыр в уже используемых системах. Нельзя выпускать программы и инструменты специально для эксплуатации; при публикации сразу писать, как чинить. Неопубликованные уязвимости нельзя отдавать зарубежным организациям и лицам помимо производителя.

Стоимость

Не стоит денег. Сообщить провайдеру продукта или на официальную платформу. Пока производитель не починил — не публиковать детали и проверочный код.

Эффект

Положение охватывает три круга: отечественных провайдеров сетевых продуктов, операторов сетей и организации или лиц, которые ищут, собирают и публикуют уязвимости. Никто не вправе использовать уязвимости во вред сетевой безопасности, а также незаконно собирать, продавать и публиковать сведения о них. При публичной публикации — пять правил. Первое: не публиковать до мер исправления от провайдера. Второе: не публиковать детали уязвимостей сетей, информационных систем и оборудования, которые оператор уже использует. Третье: не раздувать вред и риск, не использовать сведения для злонамеренного хайпа или мошенничества. Четвёртое: не публиковать и не предоставлять программы и инструменты специально для эксплуатации уязвимостей во вред сетевой безопасности. Пятое: при публикации одновременно давать меры исправления или защиты. Кроме того, неопубликованные сведения нельзя передавать зарубежным организациям или лицам помимо провайдера продукта. Положение поощряет сдачу на четыре официальные платформы: платформа обмена угрозами и уязвимостями Минпромторга (МИИТ); платформа уязвимостей Национального центра оповещения о сетевой и информационной безопасности; платформа уязвимостей Национального координационного центра реагирования на компьютерные инциденты; база уязвимостей Китайского центра оценки информационной безопасности. Нарушения сбора и публикации обрабатывают МИИТ и МВД по своим полномочиям. Если есть состав по закону о кибербезопасности — санкции по нему. Публикация сведений о системных уязвимостях и иной информации по сетевой безопасности должна соответствовать госнормам. Нарушение: предписание исправить, предупреждение, штраф от 10000 до 100000 юаней. При отказе или тяжких обстоятельствах — от 100000 до 1000000 юаней; также могут приостановить деятельность, закрыть сайт или приложение, отозвать лицензию или свидетельство о регистрации. Для прямо ответственных руководителей и иных прямо ответственных лиц — штраф от 10000 до 100000 юаней (по всей стране).

Примечания

Положение прямо включает частных лиц; «я просто любитель» в исключениях нет. Сдача дыр отечественных систем на зарубежные баунти‑платформы как раз подпадает под «неопубликованное — не отдавать за рубеж». Право ли тестировать — в пункте 9 (без письменного разрешения не тестировать чужие системы); это отдельно от того, как распорядиться уже найденной дырой. Законно найденную уязвимость всё равно могут оштрафовать за способ публикации; найденную без полномочий бьют и за тест, и за публикацию. Отдельной нормы «уже уведомил производителя, а он не чинит» нет. Автор советует сохранять переписку и отчёты и параллельно сдавать на четыре официальные платформы выше.

Источники · 2

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. cac.gov.cn/2025-12/29/c_1768735112911946.htm