黄道丽

引 言

近年来，利用网络安全漏洞实施攻击的安全事件在全球范围内频发，给网络空间安全带来了不可逆的危害。网络安全漏洞披露已成为网络安全风险控制的中心环节，对于降低风险和分化风险起着至关重要的作用。强化网络安全漏洞收集、分析、报告、通报等在内的风险预警和信息通报工作已成为国家网络安全保障的重要组成部分。

国内外不同主体基于不同动机和利益驱动开展了广泛的网络安全漏洞披露实践并引发各方对不利法律后果的反思。2016年我国某“白帽子”披露世纪佳缘网站漏洞引发刑事立案，2017年相继发生的WannaCry勒索病毒全球攻击事件引发微软等厂商对美国政府机构未披露漏洞行为的严厉批评、网易向未经授权擅自公开披露漏洞细节的某“白帽子”发公开声明、国家信息安全漏洞共享平台CNVD公告称因漏洞的不当披露引发党政机关和重要行业网站受到大规模攻击威胁等事件则进一步彰显了网络安全漏洞不规范或非法披露的现实冲击，安全漏洞合法披露主体、合法披露程序、不当披露法律后果等问题成为法律和行业界共同关注的焦点。

向不特定的社会公众披露网络安全漏洞可以提升网络安全防护的实时性和有效性，但恶意或非法的网络安全漏洞披露同样为攻击者提供了可利用的攻击武器。漏洞发现之后应该由谁披露，怎样披露，何时披露等问题变得日益复杂且重要，漏洞披露制度不同，不仅对用户、提供商、协调者等利益相关方造成的影响有很大差异，更会对国家安全、企业利益及个人隐私产生深远影响。……