Segnalare le falle secondo le regole, senza rivelarne i dettagli prima della correzione, senza pubblicare strumenti di sfruttamento e senza consegnarle a soggetti esteri

Costo

Non costa nulla. Segnala la falla al fornitore del prodotto o a una piattaforma ufficiale. Finché il fornitore non l'ha corretta, non diffondere dettagli né codice di verifica.

Cosa ci guadagni

Queste norme riguardano tre categorie: i fornitori di prodotti di rete in Cina, i gestori di reti e le organizzazioni o persone che scoprono, raccolgono o pubblicano falle. Nessuno può sfruttare una falla per attività che mettano a rischio la sicurezza di rete, né raccogliere, vendere o pubblicare illegalmente informazioni sulle falle. Per pubblicare informazioni sulle falle ci sono cinque regole. Primo, non pubblicare prima che il fornitore abbia reso disponibile una correzione. Secondo, non pubblicare i dettagli di falle presenti in reti, sistemi informativi o apparecchiature in uso dai gestori di rete. Terzo, non esagerare i danni e i rischi, né usare le informazioni per speculazioni dannose o frodi. Quarto, non pubblicare né fornire programmi e strumenti specificamente destinati a sfruttare falle per attività dannose per la sicurezza di rete. Quinto, pubblicare contestualmente le correzioni o le misure di prevenzione. Inoltre, le informazioni su falle non ancora rese pubbliche non possono essere fornite a organizzazioni o persone straniere diverse dal fornitore del prodotto. La norma invita a segnalare le falle a quattro piattaforme ufficiali: la piattaforma di condivisione delle informazioni su minacce e falle del Ministero dell'industria e dell'informatizzazione (工业和信息化部网络安全威胁和漏洞信息共享平台); la piattaforma per le falle del Centro nazionale di comunicazione delle informazioni su sicurezza di rete (国家网络与信息安全信息通报中心); la piattaforma per le falle del Centro nazionale di coordinamento per il trattamento delle emergenze informatiche (国家计算机网络应急技术处理协调中心); il database delle falle del Centro cinese di valutazione della sicurezza informatica (中国信息安全测评中心). Chi raccoglie o pubblica informazioni sulle falle in violazione delle norme è perseguito dal Ministero dell'industria e dell'informatizzazione e dal Ministero della pubblica sicurezza (公安部), secondo le rispettive competenze. Se rientra nei casi previsti dalla legge sulla cybersicurezza, si applica quella legge. Chi pubblica informazioni su falle di sistema o di sicurezza di rete deve rispettare le norme nazionali. Chi viola le regole è corretto e ammonito dalle autorità competenti, e può essere multato da 10.000 a 100.000 CNY (1 万元以上 10 万元以下). Se rifiuta di correggersi o il caso è grave, la multa è da 100.000 a 1.000.000 CNY (10 万元以上 100 万元以下). Possono inoltre ordinare la sospensione delle attività, la ristrutturazione, la chiusura del sito o dell'app, la revoca delle licenze o della licenza commerciale. Per i responsabili diretti e gli altri responsabili diretti si applica una multa da 10.000 a 100.000 CNY (1 万元以上 10 万元以下).

Note

La norma cita esplicitamente anche i privati: «sono solo un appassionato» non è un'eccezione. Inviare a una piattaforma di bug bounty straniera una falla di un sistema cinese ricade nel divieto di passare a soggetti esteri falle non ancora rese pubbliche. Se la falla è stata trovata legalmente, la pubblicazione può comunque essere sanzionata per le modalità; se è stata trovata senza autorizzazione, i problemi sono due, nel test e nella pubblicazione. Tra le piattaforme di segnalazione, quelle più usate sono quella del Ministero dell'industria e dell'informatizzazione e il Centro nazionale di risposta alle emergenze di internet (国家互联网应急中心, CNCERT). Chi può fare test è regolato da §11.9 (non testare sistemi altrui senza autorizzazione scritta), e come gestire una falla già trovata è un discorso separato. La norma non distingue esplicitamente il caso «ho già avvisato il produttore e non corregge»: nella pratica conviene conservare la traccia di negoziazioni e segnalazioni, e inviare la falla anche alle piattaforme ufficiali.

Livello delle prove

A : Numeri precisi da meta-analisi, grandi studi di coorte o studi randomizzati; per leggi e politiche, il testo ufficiale.

Fonti

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Tradotto dall’originale cinese. Libro originale, sezione 11, consiglio 10. Questa sezione descrive regole giuridiche, soprattutto della Cina continentale. Sono informazioni generali, non un parere legale. Il contenuto può essere superato e le regole cambiano da luogo a luogo. Per una pratica, una visita medica o una causa, segui quello che dicono l’ente, il medico o l’avvocato. Avvertenze