美国《漏洞公平裁决政策和程序》分析及对我国启示

桂畅旎，杨婧婧，李维杰

（中国信息安全测评中心 北京 100085）

0 引言

在互联网时代，漏洞已成为一种国家级战略资源。作为网络安全的核心要素，漏洞利用对国家安全、经济发展和隐私保护带来挑战。美国政府一直将漏洞管理作为信息安全战略的关键要素，持续投入力量建立开放灵活的漏洞收集、发布等机制。特朗普当选后，美国政府更是将漏洞管控作为网络安全政策的优先项。11月15日，美国白宫网站发布报告《美国联邦政府漏洞公平裁决政策和程序》（Vulnerabilities Equities Policy and Process for the United States Government，以下简称《漏洞公平裁决政策和程序》）[1]，详细描述了特朗普政府更新漏洞公平裁决流程的原因、方法和愿景，标志着本届政府向“漏洞公平裁决程序”（Vulnerabilities Equities Process，VEP）机制建设迈出重要一步，将对全球网络治理产生重要影响。

1 “漏洞公平裁决程序”由“秘密”转为“公开”的历程

“漏洞公平裁决程序”实质上是美国政府针对信息安全漏洞，由多部门协调处理的一套行政过程[2]，目标是在决定披露或者保留漏洞时，能平衡“情报收集”、“调查事项”和“信息安全保障”三方面的影响，做出“对整体利益最好的决策”，主要规制对象是“新发现且未公开”的漏洞[3]。

1.1 兴起于小布什时代提出的联合计划

漏洞公平裁决流程最早可追溯至美国前总统小布什在2008年1月签发第54号国家安全政策指令[4]和第23号国土安全总统指令[5]，提出了“综合国家网络安全倡议”（Comprehensive National Cybersecurity Initiative，CNCI），其中要求国务院、国防部、国土安全部、司法部以及国家情报总监办公室共同制定一项“协调进攻性能力的联合计划”，以保护美国信息系统。……