网络产品安全漏洞管理规定奖励机制

很多公司嘴上说重视安全，网络真到给漏洞发现者发钱的产品时候，财务流程能拖三个月。安全去年有个白帽子跟我吐槽，漏洞他提交了一个某知名厂商的管理规定远程代码执行漏洞，对方确认了，奖励机制也承诺给奖励，网络结果走流程走到他快忘了这事，产品最后到账的安全金额还打了七折，理由是漏洞“内部评级调整”。这种事在圈子里不算新鲜，管理规定但它恰恰说明一个问题：奖励机制写在纸面上是奖励机制一回事，跑起来是网络另一回事。

《网络产品安全漏洞管理规定》里对奖励机制有明确要求，产品产品提供者要建立漏洞奖励制度，安全鼓励发现者主动报送。这条规定的出发点很直接——与其让漏洞在黑市上流通，不如用钱把它拽回阳光下。但规定没有写清楚的是，奖励标准谁定、多久兑现、发现者不满意怎么办。这些空白，恰恰是实际执行中最容易出问题的环节。

我翻过几家头部厂商的漏洞奖励页面。有的写得很细，按漏洞等级、影响范围、利用难度分档，最高能给到六位数。有的就一句话，“视漏洞情况给予适当奖励”，这种模糊表述基本等于没写。白帽子提交之前心里没底，提交之后更没有议价权。时间一长，愿意走正规渠道的人就少了，这不是靠喊口号能解决的。

奖励机制要跑通，至少得解决三个层面的问题。钱从哪来，谁来评，怎么发。大厂有专门的安全响应中心，预算独立，流程相对成熟。中小厂商往往没有这个能力，安全团队可能就一两个人，还要兼顾业务上线。让他们拿出真金白银做漏洞奖励，现实阻力很大。所以规定落地的时候，不能一刀切，得考虑不同规模企业的承受能力。比如可以允许行业协会或第三方平台统一托管奖励资金，厂商按年费或单次提交付费，降低单独建池子的门槛。

评级标准也得有个参考系。现在的情况是，同一个漏洞，A厂商评高危，B厂商评中危，发现者拿到的钱差好几倍。这种差异不完全是合理的，更多是因为缺乏统一的评估框架。CVSS评分可以用，但不能只看CVSS。业务场景、数据敏感度、利用链条长短，这些都得算进去。我见过一个逻辑漏洞，CVSS打分不高，但能直接绕过支付验证，这种漏洞的实际危害远超分数体现的级别。评级的人如果只盯着表格，就会漏掉真正要命的东西。

兑现周期是个更隐蔽的问题。拖得越久，发现者的信任消耗越大。国外有些平台承诺72小时内给初步反馈，两周内完成评级和付款。国内能做到这个节奏的很少。不是技术做不到，是内部审批链条太长。安全部门确认了，法务要审，财务要批，层层签字下来，一个月算快的。要改这个，得把漏洞奖励纳入常规采购或服务外包流程，而不是当成特殊事项走特批。

还有一个容易被忽略的点：发现者的隐私保护。有些厂商在致谢名单里把提交者的真实姓名、公司、邮箱全列出来，美其名曰“公开致谢”。但人家可能不想让雇主知道自己在外头挖洞。奖励机制里必须包含匿名选项，而且默认应该是匿名。这一点规定里提了，但执行得参差不齐。

说到底，漏洞奖励不是做慈善，是风险定价。厂商花一万块买一个漏洞，可能省下的是百万级的修复成本和品牌损失。这笔账算得过来，机制才能持续。算不过来的，要么是没被漏洞打疼过，要么是觉得发现者好打发。后一种想法，迟早要吃亏。