Báo lỗ hổng theo quy định; trước khi vá không công bố chi tiết, không phát công cụ khai thác, không chuyển cho bên nước ngoài

Chi phí

Không tốn tiền. Báo lỗ hổng cho nhà cung cấp sản phẩm, hoặc cho nền tảng chính thức. Trước khi nhà cung cấp sửa xong, không phát chi tiết, cũng không phát mã kiểm chứng.

Bạn được gì

Quy định này quản 3 đối tượng: nhà cung cấp sản phẩm mạng ở Trung Quốc, đơn vị vận hành mạng, và tổ chức hoặc cá nhân tham gia phát hiện, thu thập, công bố lỗ hổng. Không tổ chức hay cá nhân nào được lợi dụng lỗ hổng để làm hại an ninh mạng, cũng không được thu thập, bán, công bố thông tin lỗ hổng trái phép. Khi công bố thông tin lỗ hổng ra xã hội phải tuân theo 5 điều. Một, không được công bố trước khi nhà cung cấp đưa ra biện pháp vá. Hai, không công bố chi tiết lỗ hổng của mạng, hệ thống thông tin và thiết bị mà đơn vị vận hành đang dùng. Ba, không được cố ý thổi phồng tác hại và rủi ro, không lợi dụng thông tin lỗ hổng để đầu cơ ác ý hoặc lừa đảo. Bốn, không được công bố hay cung cấp chương trình, công cụ chuyên dùng để khai thác lỗ hổng gây hại an ninh mạng. Năm, khi công bố phải đồng thời công bố biện pháp vá hoặc phòng ngừa. Ngoài ra, thông tin lỗ hổng chưa công khai không được cung cấp cho tổ chức, cá nhân nước ngoài, trừ nhà cung cấp sản phẩm. Quy định khuyến khích báo lỗ hổng lên 4 nền tảng chính thức: một là Nền tảng chia sẻ thông tin lỗ hổng và mối đe dọa an ninh mạng của Bộ Công nghiệp và Tin học Trung Quốc (工业和信息化部); hai là nền tảng lỗ hổng của Trung tâm Thông báo An ninh mạng và Thông tin Quốc gia (国家网络与信息安全信息通报中心); ba là nền tảng lỗ hổng của Trung tâm Phối hợp Xử lý Ứng cứu Kỹ thuật Mạng Máy tính Quốc gia (国家计算机网络应急技术处理协调中心); bốn là kho lỗ hổng của Trung tâm Đánh giá An ninh Thông tin Trung Quốc (中国信息安全测评中心). Thu thập, công bố thông tin lỗ hổng trái quy định thì Bộ Công nghiệp và Tin học cùng Bộ Công an (公安部) xử lý theo chức năng của mình. Nếu cấu thành trường hợp mà Luật An ninh mạng (网络安全法) quy định thì xử theo luật đó. Công bố thông tin lỗ hổng hệ thống ra xã hội phải tuân thủ quy định của Nhà nước. Vi phạm thì cơ quan chủ quản yêu cầu sửa đổi, cảnh cáo, có thể phạt 10.000 đến 100.000 nhân dân tệ (1 万元以上 10 万元以下). Từ chối sửa hoặc tình tiết nghiêm trọng thì phạt 100.000 đến 1.000.000 nhân dân tệ (10 万元以上 100 万元以下). Có thể yêu cầu tạm dừng nghiệp vụ liên quan, đình chỉ hoạt động để chỉnh đốn, đóng website hoặc ứng dụng. Cũng có thể thu hồi giấy phép kinh doanh liên quan hoặc giấy phép kinh doanh. Đối với người phụ trách trực tiếp và người chịu trách nhiệm trực tiếp khác, phạt 10.000 đến 100.000 nhân dân tệ (1 万元以上 10 万元以下) (toàn Trung Quốc)

Ghi chú

Quy định nêu rõ cá nhân nằm trong đối tượng quản lý, «tôi chỉ là người nghiệp dư» không thuộc ngoại lệ. Gửi lỗ hổng của hệ thống ở Trung Quốc lên nền tảng săn thưởng lỗ hổng ở nước ngoài đúng vào điều «lỗ hổng chưa công khai không được cung cấp cho bên nước ngoài». Có đủ tư cách kiểm thử hay không, xem §11.9 (không kiểm thử hệ thống của người khác khi chưa có văn bản ủy quyền); còn xử lý lỗ hổng sau khi tìm thấy thì phải xét riêng. Lỗ hổng tìm được hợp pháp vẫn có thể bị phạt nếu cách công bố vi phạm; lỗ hổng tìm được khi chưa được ủy quyền thì cả việc kiểm thử lẫn việc công bố đều có vấn đề. Trong các kênh báo, nền tảng của Bộ Công nghiệp và Tin học và Trung tâm Ứng cứu Khẩn cấp Internet Quốc gia (国家互联网应急中心, CNCERT) được dùng nhiều nhất. Quy định không tách riêng trường hợp «đã thông báo cho nhà cung cấp mà họ không vá»; trên thực tế nên lưu lại quá trình trao đổi và báo cho nền tảng chính thức.

Mức bằng chứng

A : Số liệu cụ thể từ phân tích gộp, nghiên cứu đoàn hệ lớn hoặc thử nghiệm ngẫu nhiên; với luật và chính sách, là văn bản chính thức.

Nguồn

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Dịch từ bản gốc tiếng Trung. Sách gốc, phần 11, mục 10. Phần này mô tả các quy định pháp luật, chủ yếu của Trung Quốc đại lục. Đây là thông tin chung, không phải tư vấn pháp lý. Nội dung có thể đã cũ và quy định mỗi nơi một khác. Khi làm thủ tục, khám bệnh hay kiện tụng, hãy theo hướng dẫn của cơ quan nhà nước, bác sĩ hoặc luật sư. Miễn trừ trách nhiệm