特斯拉上海超级工厂监控系统被黑，骗子破解人脸识别系统虚开5亿发票，视频会议工具Zoom频频曝安全漏洞...随着数字时代的加速，漏洞的危害与日俱增。据统计，平均每千行代码中就有4-6个漏洞，软件系统越复杂，漏洞就越多。发现和修复无处不在的安全漏洞，不仅需要企业的意识和行动，国家漏洞管理平台的响应和责任，更需要广发民间技术力量的支持和参与，才能用好白帽群体与第三方平台价值的脆弱性社会化。今年两会期间，全国政协委员、360集团创始人兼董事长周鸿祎呼吁为白帽黑客正名，并提供一系列出台激励政策，吸引他们为网络强国建设贡献力量。3月31日，360集团主办的第一期“盘锦圆桌会议”正式召开。来自苏州市信息安全法研究所、北京市朝阳区人民检察院、中国信息安全测评中心、中国信息安全法大会专委会等机构的多位专家学者献计献策。360集团在会上发布了《白帽子安全漏洞挖掘与披露行为规范研究》和《安全漏洞生态治理的法治保障研究》两份报告。立足国内外现状，立足行业痛点，给出了很多促进行业生态建设的设计思路。漏洞生态治理需要民间力量和白帽黑客成为“路先生”。360集团副总裁兼首席法务顾问张伟表示，一期“盘金”直接针对“人为因素”360集团副总裁兼总法律顾问张伟据了解，在新技术、新模式、新产业的推动下，数字经济正在快速发展。网络安全问题也日益突出，对社会的平稳运行提出了新的挑战。“从研究的角度来看，安全漏洞是网络空间系统建设的必然结果，缺陷是安全的第一特征。漏洞。”对于漏洞乱象及治理建议，工信部第三研究所信息安全法研究中心主任公安部研究员黄道立这样说。在黄道立看来，“漏洞乱象”不仅与安全漏洞本身的多重属性有关，还叠加迭代了多个利益相关方、多种治理理念的诉求。因此，应建立以挖矿为起点的全循环，建立以挖掘机、平台、厂商、监管为主体的治理结构，形成普遍规则、例外规则和公开、限制、禁止的系统治理生态。.公安部第三研究所信息安全法研究中心主任、研究员黄道立介绍，据《安全漏洞生态治理的法治保障研究》介绍，由于漏洞披露正处于“由暗到明”的特殊阶段，在漏洞生命周期中，应利用市场化的披露主体进行收集、披露和修复，甚至实现漏洞利用，将漏洞披露作为治理的逻辑起点。在漏洞披露的“把握环节”，白帽黑客功不可没。360BugCloud是国内第一个开源的漏洞响应平台。自2019年上线以来，已收到大量白帽黑客提交的开源高危漏洞。目前累计发放漏洞赏金超过5000万。比例达98%，涉及政府、企事业单位等上百家单位，涵盖能源、金融、交通、医疗、电信、教育等多个重点行业，在全球范围内挽救了数亿价值损失。360安全大脑漏洞云负责人胡晓娜直言，“白帽子”作为民间重要的网络安全力量，备受业界关注。更重要的作用。正如360集团法律事务中心主任孙艳玲所说，“白帽个人和群体的存在有其必然性和合理性。如果说漏洞披露是生态治理中最敏捷的工具，那么白帽就是其中最活跃的元素。”》引导、规范、激励专家为白帽黑客生态建设开“药方”。白帽黑客的合理存在为网络安全构筑了重要屏障，但需要看到的是，网络空间也是网络空间之外的地方。北京市朝阳区人民检察院检察官王爱强表示，刑法实际上已经预留了一个相对自由的空间，白帽子应该也可以充分了解自己的手段和方式。北京市朝阳区人民检察院检察官王爱强，在规则和指引方面，《白帽子安全漏洞挖掘与披露行为规范研究》360集团首次强调和划分白帽行为的红线和蓝线，是白帽Pos的合法合规发展提供了主动指导。中国信息安全测评中心助理研究员杨世玉表示，鉴于国内外漏洞治理的相关经验，发展国家、社会、企业等多平台“协同”机制将也为白帽子等实体提供更广阔的发展空间。中国信息安全测评中心助理研究员杨世玉，针对渗透测试的法律边界，360法学研究院高级研究员马克分析，物联网和人工智能的发展将导致建立渗透测试的授权模型，不仅需要考虑传统的资产测试和保护边界，还需要加入人身安全等更复杂的测试环境。另外，网络安全是一个整体，你有我，我有他，通过第三方漏洞平台和平台注册白帽的一系列多级资质认证和认可，最终形成对白帽和漏洞的信任平台机制，或许是一个值得关注和努力的正确方向。除了对规范和边界的探索，激励制度和适度容忍空间的赋予也促进了白帽正面评价的形成。胡晓娜补充说，做好对“白帽子”群体的扶持和激励，提高全行业对白帽子的待遇，对构建良性漏洞生态将起到积极作用。基于此，360集团不断通过各种渠道发声，希望建立可实施、可执行的漏洞标准和管理办法，为行业提供必要的引导和规范，以应对更加多样化、复杂和严峻的挑战。未来网络空间安全隐患。今年两届期间，360集团创始人兼董事长周鸿祎也带来了《关于网安特殊人才认定和激励政策的提案》的一本。他建议，通过特殊的人才认定和激励政策，提高社会对这一群体的了解和认可，也增强他们对国家的认同感，鼓励他们为网络强国建设贡献力量。漏洞是一个永恒的话题，漏洞的发现更多的是靠人去解决。因此，只有限制对正面激励政策和白帽子负面行为的评价，对行业进行必要的引导和规范，才能应对未来更加多样、复杂、严峻的网络安全风险。
