网信办发布《网络安全威胁信息发布管理办法(征求意见稿)》及答记者问

消息，11 月 20 日，国家互联网信息办公室发布《网络安全威胁信息发布管理办法（征求意见稿）》（简称《办法》），以下是征求意见稿全文及答记者问。

为规范发布网络安全威胁信息的行为，有效应对网络安全威胁和风险，保障网络运行安全，依据《中华人民共和国网络安全法》等相关法律法规，国家互联网信息办公室会同公安部等有关部门起草了《网络安全威胁信息发布管理办法(征求意见稿)》，现向社会公开征求意见。有关单位和各界人士可以在2019年12月19日前，通过以下方式提出意见：

1.通过电子邮件方式发送至：security@cac.gov.cn

2.通过信函方式将意见寄至：北京市西城区车公庄大街11号国家互联网信息办公室网络安全协调局，邮编100044，并在信封上注明“网络安全威胁信息发布管理办法征求意见”。

附件：网络安全威胁信息发布管理办法(征求意见稿)

国家互联网信息办公室

2019年11月20日

网络安全威胁信息发布管理办法

(征求意见稿)

第一条 为规范网络安全威胁信息发布行为，有效应对网络安全威胁和风险，保障网络运行安全，依据《中华人民共和国网络安全法》等相关法律法规，制定本办法。

第二条发布网络安全威胁信息，应以维护网络安全、促进网络安全意识提升、交流网络安全防护技术知识为目的，不得危害国家安全和社会公共利益，不得侵犯公民、法人和其他组织的合法权益。

第三条 发布网络安全威胁信息，应坚持客观、真实、审慎、负责的原则，不利用网络安全威胁信息进行炒作、牟取不正当利益或从事不正当商业竞争。

第四条 发布的网络安全威胁信息不得包含下列内容：

(一)计算机病毒、木马、勒索软件等恶意程序的源代码和制作方法；

(二)专门用于从事侵入网络、干扰网络正常功能、破坏网络防护措施或窃取网络数据等危害网络活动的程序、工具；

(三)能够完整复现网络攻击、网络侵入过程的细节信息；

(四)数据泄露事件中泄露的数据内容本身；

(五)具体网络的规划设计、拓扑结构、资产信息、软件源代码，单元或设备选型、配置、软件等的属性信息；

(六)具体网络和信息系统的网络安全风险评估、检测认证报告，安全防护计划和策略方案；

(七)其他可能被直接用于危害网络正常运行的内容。

第五条发布网络和信息系统被攻击破坏、非法侵入等网络安全事件信息前，应向该事件发生所在地地市级以上公安机关报告。各级公安机关应及时将相关情况报同级网信部门和上级公安机关。

第六条 任何企业、社会组织和个人发布地区性的网络安全攻击、事件、风险、脆弱性综合分析报告时，应事先向所涉及地区地市级以上网信部门和公安机关报告；

发布涉及公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的网络安全攻击、事件、风险、脆弱性综合分析报告时，应事先向行业主管部门报告；

发布全国性或跨地区、跨行业领域的综合分析报告时，应事先向国家网信部门和国务院公安部门报告。

第七条 未经政府部门批准和授权，任何企业、社会组织和个人发布网络安全威胁信息时，标题中不得含有“预警”字样。

第八条 发布具体网络和信息系统存在风险、脆弱性情况，应事先征求网络和信息系统运营者书面意见，以下情况除外：

(一)相关风险、脆弱性已被消除或修复；

(二)已提前30日向网信、电信、公安或相关行业主管部门举报。

第九条通过下列平台发布信息的，平台运营者、主办单位接到有关部门通报、用户举报，或自行发现平台上存在违反本办法的发布行为和发布内容的，应当立即停止发布、采取消除等处置措施，防止违规内容扩散，保存有关记录，并向地市级以上网信部门、公安机关报告。

1.报刊、广播电视、出版物；

2.互联网站、论坛、博客、微博、公众账号、即时通信工具、互联网直播、互联网视听节目、应用程序、网络硬盘等；

3.公开举行的会议、论坛、讲座；

4.公开举办的网络安全竞赛；

5.其他公共平台。

第十条 违反本办法规定发布网络安全威胁信息的，由网信部门、公安机关根据《中华人民共和国网络安全法》的规定予以处理。

第十一条 涉及国家秘密、涉密网络的网络安全威胁信息发布活动，按照国家有关规定执行。

第十二条 本办法所称网络安全威胁信息，包括：

(一)对可能威胁网络正常运行的行为，用于描述其意图、方法、工具、过程、结果等的信息。如：计算机病毒、网络攻击、网络侵入、网络安全事件等。

(二)可能暴露网络脆弱性的信息。如：系统漏洞，网络和信息系统存在风险、脆弱性的情况，网络的规划设计、拓扑结构、资产信息、软件源代码，单元或设备选型、配置、软件等的属性信息，网络安全风险评估、检测认证报告，安全防护计划和策略方案等。

第十三条 本办法自发布之日起实施。

国家互联网信息办公室有关负责人接受采访，就《办法》相关问题回答了记者提问。

1.问：请您介绍一下制定《办法》的背景?

答：当前，网络安全产业迅猛发展，许多网络安全研究者和网络安全企业出于提高公民网络安全意识、交流网络安全技术、增强用户网络安全防范能力、促进网络安全产业发展等目的，积极向社会发布网络安全威胁信息，为维护国家网络空间安全做出很大贡献。但是也应看到，网络安全威胁信息的发布仍存在很多问题，有关单位、网络运营者反映强烈。例如，有组织或个人打着研究、交流、传授网络安全技术的旗号，随意发布计算机病毒、木马、勒索软件等恶意程序的源代码和制作方法，以及网络攻击、网络侵入过程和方法的细节，为恶意分子和网络黑产从业人员提供了技术资源，降低了网络攻击的门槛；有组织或个人未经网络运营者同意，公开网络规划设计、拓扑结构、资产信息、软件代码等属性信息和脆弱性信息，容易被恶意分子利用威胁网络运营者网络安全，特别是关键信息基础设施的相关信息一旦被公开，危害更大；部分网络安全企业和机构为推销产品、赚取眼球，不当评价有关地区、行业网络安全攻击、事件、风险、脆弱性状况，误导舆论，造成不良影响；部分媒体、网络安全企业随意发布网络安全预警信息，夸大危害和影响，容易造成社会恐慌。

2.问：制定《办法》的依据是什么?

答：《网络安全法》第二十六条规定，“开展网络安全认证、检测、风险评估等活动，向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息，应当遵守国家有关规定。”目前，尚无规范网络安全威胁信息发布活动的法律法规。因此，为了进一步规范网络安全威胁信息发布行为，国家互联网信息办公室会同公安部等有关部门依据职责制定了《办法》。

3.问：为什么禁止发布恶意程序源代码、制作方法，能够完整复现网络攻击、网络侵入过程的细节信息等网络安全威胁信息?

答：上述网络安全威胁信息容易被恶意分子或网络黑产从业人员直接利用，降低了网络攻击的门槛，因此从维护网络安全的角度，要求发布网络安全威胁信息时不得包含上述内容。网络安全从业者、爱好者仍可通过多种方式加强原理和技术研究，提高网络安全能力水平。

4.问：禁止发布第四条规定的信息，是否会导致这些信息流入地下黑市?

答：为网络犯罪提供技术支持是法律明确禁止的违法犯罪行为，依法要承担相应的法律责任。我们相信，作为遵纪守法、有道德操守的网络安全工作者、爱好者，以前不会为网络黑产提供技术支持，今后同样也不会。

5.问：是否会对网络安全产业发展造成影响?

答：我们鼓励和支持网络安全企业向社会展示技术能力，促进网络安全意识提升，传播普及网络安全防护技术知识，提供网络安全服务。要求安全企业不向社会发布恶意程序的制作技术、网络攻击技术，并不意味着企业不能研究网络攻击技术，企业仍可通过研究网络攻防技术，不断提升网络安全防护能力，不但不影响安全产业发展，对提高网络安全产业发展水平还产生积极的促进作用。

6.问：媒体今后还能报道网络安全事件新闻吗?

答：媒体可以正常报道网络安全事件新闻，但需满足两个条件，一是如果属于办法第五条提到的网络和信息系统网络安全事件，首次披露前要向所在地区地市级以上公安机关报告，以便有关部门及时掌握事件情况，采取处置措施，降低危害；二是不得包含网络安全事件泄露的数据内容本身，以免扩大事件的危害。

7.问：向网信部门、公安机关、行业主管部门等报告是否属于行政许可?

答：不属于行政许可，完成报告即为履行义务。

8.问：为什么发布具体网络和信息系统存在风险、脆弱性的情况时，需要事先征得其运营者书面同意?

答：如果随意发布上述信息，恶意分子有可能利用这些信息入侵相关网络和信息系统，导致网络和信息系统运营者利益受损。但如果根据发布的网络安全威胁信息，无法定位到具体网络和信息系统，如不涉及网络和信息系统的名字、位置、域名、IP地址等信息，就不需要征求其运营者同意。此外，如果相关风险、脆弱性已被消除或修复，或已提前30日向网信、电信、公安或相关行业主管部门举报，发布上述信息也可不经其运营者同意。

9.问：为什么发布网络安全威胁信息，标题中不得含有“预警”字样?

答：根据《国家网络安全事件应急预案》，网络安全预警是一种特定信息，具有权威性，应由政府部门按权限发布。但目前有的组织和个人随意发布预警，夸大事实，进行炒作，事实上破坏了预警的效力和权威性，所以我们要求发布网络安全威胁信息，标题中不得含有“预警”字样。相关组织和个人可通过风险提示、威胁情报等方式提醒公众加强风险防范。

**