Comunicar las vulnerabilidades según la norma; antes de que se parchen, no hacer públicos los detalles, no difundir herramientas de explotación ni entregárselas a extranjeros

Coste

No cuesta nada. Comunica la vulnerabilidad al proveedor del producto o a una plataforma oficial. Hasta que el fabricante la corrija, no des detalles ni código de verificación.

Qué ganas

Esta normativa regula tres tipos de sujetos: los proveedores de productos de red en China, los operadores de redes, y las organizaciones o personas que se dedican a descubrir, recoger o publicar vulnerabilidades. Ninguna organización ni persona puede usar vulnerabilidades para actividades que pongan en peligro la ciberseguridad, ni recoger, vender o publicar información sobre vulnerabilidades de forma ilegal. Al publicar información sobre vulnerabilidades hay que cumplir cinco reglas. Primera: no publicar antes de que el proveedor ofrezca medidas de corrección. Segunda: no publicar detalles de vulnerabilidades de redes y sistemas que un operador esté usando. Tercera: no exagerar el daño ni el riesgo, ni usar la información sobre vulnerabilidades para hacer publicidad maliciosa o estafar. Cuarta: no publicar ni proporcionar programas ni herramientas diseñados específicamente para explotar vulnerabilidades y atacar la ciberseguridad. Quinta: publicar al mismo tiempo las medidas de corrección o prevención. Además, la información sobre vulnerabilidades no publicada no puede facilitarse a organizaciones o personas extranjeras distintas del proveedor del producto. La normativa anima a comunicar las vulnerabilidades a cuatro plataformas oficiales: la plataforma de intercambio de información sobre amenazas y vulnerabilidades de la red del Ministerio de Industria y Tecnologías de la Información (工业和信息化部); la plataforma de vulnerabilidades del Centro Nacional de Información de Seguridad de Redes (国家网络与信息安全信息通报中心); la plataforma de vulnerabilidades del Centro Nacional de Coordinación de Respuesta a Emergencias Técnicas de Redes Informáticas (国家计算机网络应急技术处理协调中心); y la base de datos de vulnerabilidades del Centro de Evaluación de la Seguridad de la Información de China (中国信息安全测评中心). Quien recoja o publique información sobre vulnerabilidades en contra de la normativa será tratado por el Ministerio de Industria y Tecnologías de la Información y el Ministerio de Seguridad Pública (公安部), según sus competencias. Si se cumplen los supuestos de la Ley de Ciberseguridad, se aplica esa ley. Quien publique información sobre vulnerabilidades del sistema u otra información de ciberseguridad debe cumplir las normas nacionales. Si incumple, la autoridad competente ordenará corregirlo y dará un apercibimiento, y puede imponer una multa de 10.000 a 100.000 yuanes (1 万 a 10 万). Si no corrige o la infracción es grave, multa de 100.000 a 1.000.000 yuanes (10 万 a 100 万). También puede ordenar suspender actividades, paralizar la empresa para reorganizarla, o cerrar el sitio o la aplicación. Puede además revocar la licencia del negocio o la licencia comercial. Y a los responsables directos y demás personal con responsabilidad directa, multa de 10.000 a 100.000 yuanes (1 万 a 10 万) (en todo el país).

Notas

La norma menciona expresamente a los particulares, así que «soy aficionado» no es una excepción. Enviar a una plataforma de recompensas por fallos en el extranjero una vulnerabilidad de un sistema de China encaja en la prohibición de entregarla a extranjeros antes de hacerla pública. Si puedes hacer las pruebas está en §11.9 (no probar sistemas ajenos sin autorización por escrito), y qué hacer con la vulnerabilidad una vez encontrada es otra cuestión. Una vulnerabilidad encontrada legalmente también puede acarrear sanción si se publica de forma irregular; una encontrada sin autorización tiene problemas tanto en la prueba como en la publicación. Entre los canales de comunicación, la plataforma del Ministerio de Industria (工信部) y el centro de emergencia informática CNCERT (国家计算机网络应急技术处理协调中心) son los más usados. La norma no distingue expresamente el caso de «ya avisé al fabricante y no lo corrige»; en la práctica conviene dejar constancia escrita del proceso de negociación y comunicarlo también a la plataforma oficial.

Nivel de evidencia

A : Cifras concretas de metaanálisis, grandes cohortes o ensayos aleatorizados; en leyes y políticas, el texto legal u oficial.

Fuentes

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Traducido del original en chino. Libro original, sección 11, consejo 10. Esta sección describe normas legales, sobre todo de China continental. Es información general, no asesoramiento jurídico. El contenido puede estar desactualizado y las normas cambian según el lugar. Cuando hagas un trámite, vayas al médico o a juicio, sigue lo que te digan la administración, el médico o el abogado. Aviso legal