18家漏洞收集平台签署自律公约：披露与报送规则统一

18家已备案的网络产品安全漏洞收集平台在工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）牵头下签署《网络产品安全漏洞收集平台自律公约》。对安全从业者而言，这件事的分量不在签署仪式本身，而在于公约把此前分散在各平台内部规则里的备案、用户管理、收集、评估、处置、发布等环节，放到了同一套行业自律框架下讨论。漏洞从被发现到被修复，中间要经过提交、验证、通告、厂商响应多个节点，任一节点的规则不一致，都会让披露节奏和修复优先级出现偏差。

公约覆盖的是漏洞流转的全流程

从公开表述看，公约约束的环节覆盖合规备案、注册用户管理、漏洞收集、风险评估、协同处置、信息发布与披露。这几项串起来，恰好对应一个漏洞从提交到公开的完整链路：平台是否有备案资质，决定了它能否合法接收报送；注册用户如何管理，决定了提交者身份与行为是否可追溯；收集与风险评估环节决定漏洞信息在平台内部停留多久、以什么标准判断危害；协同处置和信息发布则决定厂商与用户何时知情、以何种措辞知情。

需要说明的是，目前公开渠道披露的是公约的环节范围，具体条款细则、违约处理方式、执行时间表尚未完整公开。在配套细则出台前，不宜对某一环节的强制力度作过度解读。

背景：报送路径本就不止一条

这一公约出现在漏洞报送体系持续调整的背景下。NVDB作为工信部侧的统一入口，下设多个下游数据库并共用授权体系；与此同时，CNVD、CNNVD等既有渠道仍在运行，研究者和企业安全团队长期面对多路径报送的现实。不同平台在收录标准、验证深度、公开时限上的差异，会直接转化为厂商收到漏洞信息的先后顺序和完整程度。

平台数量增加到18家并完成备案，意味着接收端已经具备规模，此时用自律公约统一流程，是体系从"建入口"转向"定规则"的自然一步。

三类角色各自要补什么

平台运营方的压力最直接。备案状态、用户实名与行为记录、漏洞验证能力、与厂商的联络通道、对外发布前的审核流程，都需要有可查证的制度文本和操作记录，而不只是口头承诺。

企业安全负责人需要重新审视自己的漏洞接收入口：是否有人定期查看各平台转来的报告，是否有明确的响应时限和内部升级路径，修复结果是否回传。多平台并行时，同一条漏洞可能被重复报送，缺少去重和台账管理容易造成响应遗漏。

提交漏洞的研究者则要关注平台对披露节奏的约定。公约强调信息发布与披露环节，意味着"先报后公开"的窗口期可能被更明确地约束，提交前确认平台的处置承诺比过去更重要。

现阶段可以做的准备

• 核对自己使用的漏洞平台是否在已备案名单内，备案信息以官方公布为准；
• 企业侧梳理漏洞接收邮箱、工单系统与责任人，建立跨平台报告的合并台账；
• 对历史报送记录做一次回溯，确认已修复漏洞是否有闭环证据；
• 关注NVDB及主管部门后续发布的配套细则，再据此调整内部流程。

自律公约不替代法规，也不等于技术标准。它的实际效果取决于后续细则的颗粒度，以及平台在用户管理和披露时限上愿意让渡多少自主空间。对读者来说，现在能确定的只有一件事：漏洞流转的规则正在从各家自定走向行业对齐，提前把内部流程对齐到可追溯、可回传的状态，比等待细则落地后再补课更从容。