Laporkan celah sesuai aturan; sebelum diperbaiki jangan membuka detail, jangan menyebarkan alat eksploitasi, dan jangan diberikan kepada pihak luar negeri

Biaya

Tidak berbiaya. Laporkan celahnya kepada penyedia produk, atau kepada platform resmi. Sebelum pabrikan memperbaiki, jangan menyebarkan detail maupun kode verifikasinya.

Yang Anda dapat

Peraturan ini mengatur tiga jenis pihak: penyedia produk jaringan di dalam negeri, operator jaringan, dan organisasi atau perorangan yang melakukan penemuan, pengumpulan, atau penyebaran celah. Tidak ada organisasi atau perorangan yang boleh memakai celah untuk kegiatan yang membahayakan keamanan jaringan, atau secara ilegal mengumpulkan, menjual, atau menyebarkan informasi celah. Untuk menyebarkan informasi celah kepada publik, ada lima ketentuan. Pertama, tidak boleh diumumkan sebelum penyedia produk menyediakan langkah perbaikan. Kedua, tidak boleh mengumumkan detail celah pada jaringan, sistem informasi, dan perangkat yang sedang digunakan operator jaringan. Ketiga, tidak boleh sengaja melebih-lebihkan bahaya dan risiko, atau memakai informasi celah untuk spekulasi jahat atau penipuan. Keempat, tidak boleh menyebarkan atau menyediakan program dan alat khusus untuk memakai celah dalam kegiatan yang membahayakan keamanan jaringan. Kelima, saat diumumkan harus sekaligus mengumumkan langkah perbaikan atau pencegahannya. Selain itu, informasi celah yang belum diumumkan tidak boleh diberikan kepada organisasi atau perorangan luar negeri selain penyedia produk. Peraturan mendorong pelaporan celah ke empat platform resmi. Pertama, Platform Berbagi Informasi Ancaman dan Celah Keamanan Jaringan, Kementerian Industri dan Teknologi Informasi. Kedua, platform celah Pusat Pemberitahuan Informasi Keamanan Jaringan dan Informasi Nasional. Ketiga, platform celah Pusat Koordinasi Penanganan Teknis Darurat Jaringan Komputer Nasional. Keempat, basis data celah Pusat Evaluasi Keamanan Informasi China. Pengumpulan atau penyebaran informasi celah yang melanggar aturan ditangani oleh Kementerian Industri dan Teknologi Informasi dan Kementerian Keamanan Publik sesuai kewenangan masing-masing. Jika termasuk keadaan yang diatur Undang-Undang Keamanan Siber, dihukum berdasarkan undang-undang itu. Menyebarkan informasi keamanan siber seperti celah sistem kepada publik wajib mematuhi ketentuan negara. Yang melanggar, instansi terkait memerintahkan perbaikan dan memberi peringatan, dapat dikenai denda 10.000 (1万) hingga 100.000 (10万) yuan. Jika menolak memperbaiki atau keadaannya berat, denda 100.000 (10万) hingga 1.000.000 (100万) yuan. Bisa juga diperintahkan menghentikan sementara bisnis terkait, penutupan sementara, penutupan situs atau aplikasi. Bisa juga dicabut izin usaha atau dicabut lisensi bisnis. Penanggung jawab langsung dan orang lain yang bertanggung jawab langsung dikenai denda 10.000 (1万) hingga 100.000 (10万) yuan (nasional).

Catatan

Peraturan ini secara eksplisit memasukkan perorangan ke dalam objek yang diatur; alasan «saya hanya penggemar» bukan pengecualian. Mengirim celah sistem dalam negeri ke platform bug bounty luar negeri tepat jatuh pada ketentuan «celah yang belum diumumkan tidak boleh diberikan kepada pihak luar negeri». Apakah Anda berhak menguji, lihat §11.9 (jangan menguji sistem orang lain tanpa izin tertulis), dan apa yang dilakukan setelah menemukan celah harus dipisahkan. Celah yang ditemukan secara sah pun bisa dihukum jika cara publikasinya melanggar aturan; celah yang ditemukan tanpa izin memiliki masalah pada pengujian dan pada publikasinya. Di antara jalur pelaporan, platform Kementerian Industri dan Teknologi Informasi dan CNCERT yang paling sering dipakai. Peraturan tidak secara khusus membedakan keadaan «sudah memberi tahu pabrikan, tetapi pabrikan tidak memperbaiki»; dalam praktik, catat seluruh proses negosiasi dan pelaporan, dan laporkan juga ke platform resmi.

Tingkat bukti

A : Angka konkret dari meta-analisis, kohort besar, atau uji acak; untuk hukum dan kebijakan, teks resminya.

Sumber

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Diterjemahkan dari naskah asli berbahasa Tionghoa. Buku asli, bagian 11, saran 10. Bagian ini menjelaskan aturan hukum, terutama di Tiongkok daratan. Isinya informasi umum, bukan nasihat hukum. Isinya bisa sudah usang dan aturan berbeda di tiap tempat. Saat mengurus sesuatu, berobat, atau berperkara, ikuti petunjuk instansi, dokter, atau pengacara. Penafian