Relatar vulnerabilidades conforme a regra; antes do conserto, não divulgar detalhes, não publicar ferramentas de exploração e não entregar a estrangeiros

Custo

Não custa nada. Reporte a falha ao fornecedor do produto ou a uma plataforma oficial. Até o fornecedor corrigir, não divulgue detalhes nem códigos de verificação.

O que você ganha

A norma regula três tipos de sujeitos: fornecedores de produtos de rede dentro do país, operadores de rede e organizações ou pessoas que descobrem, coletam ou divulgam vulnerabilidades. Nenhuma organização ou pessoa pode usar vulnerabilidades para atividades que prejudiquem a segurança de rede, nem coletar, vender ou divulgar informações de vulnerabilidades de forma ilegal. Ao divulgar informações sobre vulnerabilidades ao público, há cinco regras. Primeiro, não divulgar antes de o fornecedor oferecer a medida de correção. Segundo, não divulgar detalhes de vulnerabilidades em redes, sistemas de informação ou equipamentos que um operador de rede esteja usando. Terceiro, não exagerar intencionalmente o dano e o risco, nem usar as informações para especulação maliciosa ou fraude. Quarto, não divulgar nem fornecer programas e ferramentas feitos especificamente para explorar vulnerabilidades e prejudicar a segurança de rede. Quinto, a divulgação deve vir acompanhada das medidas de correção ou de prevenção. Além disso, informações de vulnerabilidades não divulgadas não podem ser fornecidas a organizações ou pessoas estrangeiras que não sejam o fornecedor. A norma incentiva que as vulnerabilidades sejam reportadas a quatro plataformas oficiais. Uma é a Plataforma de Compartilhamento de Informações sobre Ameaças e Vulnerabilidades de Segurança de Rede do Ministério da Indústria e Tecnologia da Informação. A segunda é a plataforma de vulnerabilidades do Centro Nacional de Comunicação de Informações de Segurança de Redes e Informações. A terceira é a plataforma de vulnerabilidades do Centro Nacional de Coordenação de Resposta Técnica de Emergências de Redes de Computadores. A quarta é a base de vulnerabilidades do Centro Chinês de Avaliação de Segurança da Informação. Quem coletar ou divulgar informações de vulnerabilidades em violação da norma será tratado nos termos da lei pelo Ministério da Indústria e Tecnologia da Informação e pelo Ministério da Segurança Pública, conforme suas competências. Se a conduta estiver nas situações previstas na lei de segurança de rede, será punida segundo essa lei. Divulgar ao público informações de segurança, como vulnerabilidades de sistemas, deve observar as normas nacionais. Quem descumprir será advertido e poderá receber multa de 10.000 a 100.000 yuans. Se não corrigir ou a situação for grave, multa de 100.000 a 1 milhão de yuans. Pode haver ainda suspensão de negócios, reorganização, fechamento do site ou do aplicativo, cassação de licenças e revogação do registro comercial. Os responsáveis diretos recebem multa de 10.000 a 100.000 yuans (nacional).

Observações

A norma menciona expressamente pessoas físicas no alcance; «sou só um amador» não é uma exceção. Reportar a uma plataforma estrangeira de recompensas por vulnerabilidades uma falha de sistema chinês cai exatamente na regra de não entregar falhas não divulgadas a estrangeiros. Se pode testar, veja §11.9 (não testar sistemas de terceiros sem autorização escrita); quanto ao que fazer com a falha encontrada, são coisas separadas. Uma falha encontrada de forma legal também pode levar a punição se a divulgação for irregular; uma falha encontrada sem autorização tem problemas tanto no teste quanto na divulgação. Entre os canais de envio, os mais usados são a plataforma do Ministério da Indústria e Tecnologia da Informação e o Centro Nacional de Resposta a Emergências de Internet (CNCERT). A norma não distingue expressamente o caso em que você já notificou o fornecedor e ele não corrige; na prática, convém registrar o processo de negociação e reportar à plataforma oficial.

Nível de evidência

A : Números concretos de metanálises, grandes coortes ou ensaios randomizados; em leis e políticas, o texto legal ou oficial.

Fontes

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Traduzido do original em chinês. Livro original, seção 11, dica 10. Esta seção descreve regras jurídicas, sobretudo da China continental. São informações gerais, não orientação jurídica. O conteúdo pode estar desatualizado e as regras mudam de lugar para lugar. Ao resolver um trâmite, ir ao médico ou entrar na Justiça, siga o que disserem o órgão público, o médico ou o advogado. Aviso legal