最新出炉！《网络安全威胁信息发布管理办法（征求意见稿）》

随着我国互联网的快速发展，网络犯罪频繁发生，在政府和非法分子之间展开一场又一场拉锯战。愈演愈烈的黑客攻击严重影响了互联网生态系统，国家对此也更加重视，采取颁布法案、条例等措施来对网络环境进行监管，近期为规范发布网络安全威胁信息的行为，有效应对网络安全威胁和风险，保障网络运行安全，国家互联网信息办公室会同公安部等有关部门起草了《网络安全威胁信息发布管理办法(征求意见稿)》。该意见稿一出，立刻引起了安全圈的强烈反响。究竟为什么会引起大众的热烈关注呢？让我们一起来看看。首先是讨论最热烈的第四条，其中提到发布网络安全威胁信息不得包含下列内容：

(一)计算机病毒、木马、勒索软件等恶意程序的源代码和制作方法；(二)专门用于从事侵入网络、干扰网络正常功能、破坏网络防护措施或窃取网络数据等危害网络活动的程序、工具；(三)能够完整复现网络攻击、网络侵入过程的细节信息；(四)数据泄露事件中泄露的数据内容本身；

让我们一起来提取四个关键词：恶意程序、恶意工具、技术解析和数据泄露。很多技术人员热衷于分享恶意程序、恶意工具、技术解析等文章及源代码，然而由于网络世界鱼龙混杂，谁都有可能看到，发布的人只是为了分享其成果，但无法把控看到的人做什么。
技术分享具有两面性。一方面，分享最新技术及其相关的解析文章，可以帮助小白成长为一名合格的网络安全研究员，但另一方面这也可以助长不法分子的火苗。
正如一把锋利的刀，可以是厨师手中的一把锋利的工具，也可以是犯罪分子手中一把锋利的凶器。技术本身无罪，而使用技术的人值得去规范。
如今少年黑客越来越多，价值观尚未成熟，容易利用网络上的技术分享展开犯罪。对此政府进行适当的监管，在一定程度上也是维护网络环境的重要举措。
然而一旦完全禁止，又会在一定程度上阻碍了攻防对抗的发展，没有交流和分享，就很难有技术上的进步。另外，对于威胁情报的发布，该意见中也有相关的规定：

第六条 任何企业、社会组织和个人发布地区性的网络安全攻击、事件、风险、脆弱性综合分析报告时，应事先向所涉及地区地市级以上网信部门和公安机关报告 第七条 未经政府部门批准和授权，任何企业、社会组织和个人发布网络安全威胁信息时，标题中不得含有“预警”字样。

任何企业和个人在发布威胁情报前都应向上级报告，且未经批准，不得包含“预警”字样。这样严格的审批制度能够保证威胁情报的真实性，避免虚假的信息造成恐慌，也能够加强政府对于网络安全威胁信息的监管。
但是，这样一来，威胁事件通告的整体延迟，逐级汇报延缓了大众获知最新消息的时间，可能导致最新网络威胁受害者范围的扩大，极大地限制了专注于威胁情报的相关公司和媒体的出路，引发了相关人员的恐慌。

互联网从来都不是一个不法之地。

需要有秩序。所谓没有规矩不成方圆。互联网有必要进行适当的管理和控制，这点是肯定的。

但是，如何把控？把控到什么程度，这个度的把握，究竟怎么样才算合适？需要在实践中进一步摸索。

但是可以肯定的是，只要开始意识到这个问题，并开始行动，就是进步的开始。

对此，你有什么看法呢？请通过电子邮件方式发送至：[e-mail]。

附件：

网络安全威胁信息发布管理办法

(征求意见稿)

　　第一条 为规范网络安全威胁信息发布行为，有效应对网络安全威胁和风险，保障网络运行安全，依据《中华人民共和国网络安全法》等相关法律法规，制定本办法。

　　第二条 发布网络安全威胁信息，应以维护网络安全、促进网络安全意识提升、交流网络安全防护技术知识为目的，不得危害国家安全和社会公共利益，不得侵犯公民、法人和其他组织的合法权益。

　　第三条 发布网络安全威胁信息，应坚持客观、真实、审慎、负责的原则，不利用网络安全威胁信息进行炒作、牟取不正当利益或从事不正当商业竞争。

　　第四条 发布的网络安全威胁信息不得包含下列内容：

　　(一)计算机病毒、木马、勒索软件等恶意程序的源代码和制作方法；

　　(二)专门用于从事侵入网络、干扰网络正常功能、破坏网络防护措施或窃取网络数据等危害网络活动的程序、工具；

　　(三)能够完整复现网络攻击、网络侵入过程的细节信息；

　　(四)数据泄露事件中泄露的数据内容本身；

　　(五)具体网络的规划设计、拓扑结构、资产信息、软件源代码，单元或设备选型、配置、软件等的属性信息；

　　(六)具体网络和信息系统的网络安全风险评估、检测认证报告，安全防护计划和策略方案；

　　(七)其他可能被直接用于危害网络正常运行的内容。

　　第五条 发布网络和信息系统被攻击破坏、非法侵入等网络安全事件信息前，应向该事件发生所在地地市级以上公安机关报告。各级公安机关应及时将相关情况报同级网信部门和上级公安机关。

　　第六条 任何企业、社会组织和个人发布地区性的网络安全攻击、事件、风险、脆弱性综合分析报告时，应事先向所涉及地区地市级以上网信部门和公安机关报告；

　　发布涉及公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的网络安全攻击、事件、风险、脆弱性综合分析报告时，应事先向行业主管部门报告；

　　发布全国性或跨地区、跨行业领域的综合分析报告时，应事先向国家网信部门和国务院公安部门报告。

　　第七条 未经政府部门批准和授权，任何企业、社会组织和个人发布网络安全威胁信息时，标题中不得含有“预警”字样。

　　第八条 发布具体网络和信息系统存在风险、脆弱性情况，应事先征求网络和信息系统运营者书面意见，以下情况除外：

　　(一)相关风险、脆弱性已被消除或修复；

　　(二)已提前30日向网信、电信、公安或相关行业主管部门举报。

　　第九条 通过下列平台发布信息的，平台运营者、主办单位接到有关部门通报、用户举报，或自行发现平台上存在违反本办法的发布行为和发布内容的，应当立即停止发布、采取消除等处置措施，防止违规内容扩散，保存有关记录，并向地市级以上网信部门、公安机关报告。

　　1. 报刊、广播电视、出版物；

　　2. 互联网站、论坛、博客、微博、公众账号、即时通信工具、互联网直播、互联网视听节目、应用程序、网络硬盘等；

　　3. 公开举行的会议、论坛、讲座；

　　4. 公开举办的网络安全竞赛；

　　5. 其他公共平台。

　　第十条 违反本办法规定发布网络安全威胁信息的，由网信部门、公安机关根据《中华人民共和国网络安全法》的规定予以处理。

　　第十一条 涉及国家秘密、涉密网络的网络安全威胁信息发布活动，按照国家有关规定执行。

　　第十二条 本办法所称网络安全威胁信息，包括：

　　(一)对可能威胁网络正常运行的行为，用于描述其意图、方法、工具、过程、结果等的信息。如：计算机病毒、网络攻击、网络侵入、网络安全事件等。

　　(二)可能暴露网络脆弱性的信息。如：系统漏洞，网络和信息系统存在风险、脆弱性的情况，网络的规划设计、拓扑结构、资产信息、软件源代码，单元或设备选型、配置、软件等的属性信息，网络安全风险评估、检测认证报告，安全防护计划和策略方案等。

　　第十三条 本办法自发布之日起实施。　

* 本文部分来源：中国网信网

推荐文章++++

﹀
﹀﹀公众号ID：ikanxue
官方微博：看雪安全商务合作：[e-mail]戳“阅读原文”一起来充电吧！