谁负责网络产品安全漏洞综合管理

2023年，负责某知名车企的网络智能网联汽车被白帽黑客远程破解了车门锁和启动系统。漏洞上报后，产品车企、安全国家工信部、漏洞公安部门、综合第三方漏洞平台，管理甚至保险公司都介入了。负责这事拖了整整两周才定下谁来牵头修复——不是网络技术难，是产品责任链断了。

网络产品漏洞的安全综合管理，在中国现行体系里，漏洞工信部是综合明面上的“总协调人”。依据《网络产品安全漏洞管理规定》，管理工信部负责漏洞发现、负责披露、修复的监督指导，公安部门管利用漏洞实施的违法犯罪，国家互联网应急中心（CNCERT）干活——接收报告、验证危害、通知厂商。这套架构看着清晰，可实际运行中，扯皮的点从来不在“谁管”，而在“谁先管”。

漏洞管理链条上有四个角色：发现者、厂商、监管者、用户。发现者可能是安全公司、独立研究员或国家机构，他们报给谁？多数人先扔到CNVD（国家信息安全漏洞共享平台）或CNNVD（国家信息安全漏洞库），这两个平台分属工信部和中国信息安全测评中心。问题来了——同一个漏洞，两边都报，两边都发编号，厂商该听谁的？有个做安全应急的朋友跟我吐槽：“我们得同时维护两套上报接口，字段格式还不一样，纯手工重复劳动。”这种割裂不是技术问题，是部门职责边界的历史遗留。

厂商侧的漏洞管理更微妙。大厂有SRC（安全响应中心），能自己收漏洞、定级、修。中小厂商没这能力，漏洞通知到了，连个能拍板的安全负责人都不一定有。工信部规定厂商在2日内确认、10日内修复，可真遇到没人认领的“孤儿漏洞”呢？比如某开源组件被曝出远程执行漏洞，影响上百家下游产品，组件维护者不响应，下游厂商各自为战，最后只能靠CNCERT逐一打电话催。这活儿，工信部干得挺苦，但确实在干。

还有个容易被忽略的角色——行业主管部委。金融、电力、医疗的专有网络产品，漏洞管理得听银保监会、能源局、卫健委的。工信部的规定再细，管不到行业内部系统。去年某省医院HIS系统漏洞，卫健委要求内部消化，不上报CNVD，怕引起公众恐慌。结果漏洞被境外情报机构利用了三个月才被发现。你说这事该怪谁？工信部没权限查医院内网，卫健委不懂技术防护，漏洞就悬在两头之间的真空里。

我的判断是：综合管理不该追求“一个部门全管”，而该打通“上报—分诊—督办”的信息流。谁发现漏洞不重要，重要的是漏洞数据能否在一个池子里汇聚、按行业自动路由给对应监管者。现在CNCERT已经在做类似的事，但数据共享的权限和激励机制还没理顺。厂商怕漏洞被竞争对手知道，监管部门怕数据外流担责，安全公司怕白干活没名分——这些顾虑不解决，光靠行政命令压，漏洞管理的综合效率就永远提不上去。

说到底，漏洞管理像救火。火警电话只有一个，消防队调度统一，才能按火灾类型派对车。现在我们有多个报警号码，每个号码背后站着不同指挥员，火还得分着救——这局面，该改改了。