12月22日，據(jù)21世紀(jì)經(jīng)濟(jì)報(bào)道消息，近期，工信部網(wǎng)絡(luò)安全管理局通報(bào)稱，阿里云計(jì)算有限公司（下稱：阿里云）發(fā)現(xiàn)阿帕奇（Apache）Log4j2組件嚴(yán)重安全漏洞隱患后，未及時(shí)向電信主管部門(mén)報(bào)告，未有效支撐工信部開(kāi)展網(wǎng)絡(luò)安全威脅和漏洞管理。

　　通報(bào)指出，阿里云是工信部網(wǎng)絡(luò)安全威脅信息共享平臺(tái)合作單位。經(jīng)研究，工信部網(wǎng)絡(luò)安全管理局決定暫停阿里云作為上述合作單位6個(gè)月。暫停期滿后，根據(jù)阿里云整改情況，研究恢復(fù)其上述合作單位。

　　觀察者網(wǎng)日前曾對(duì)該事件做過(guò)詳細(xì)報(bào)道，11月24日，阿里云發(fā)現(xiàn)這個(gè)可能是“計(jì)算機(jī)歷史上最大的漏洞”后，率先向阿帕奇軟件基金會(huì)披露了這一漏洞，但并未及時(shí)向中國(guó)工信部通報(bào)相關(guān)信息。

　　隨后，奧地利和新西蘭官方的計(jì)算機(jī)應(yīng)急小組率先對(duì)這一漏洞進(jìn)行了預(yù)警，而中國(guó)工信部是在收到有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)報(bào)告后，才發(fā)現(xiàn)阿帕奇Log4j2組件存在嚴(yán)重安全漏洞。

　　工信部官網(wǎng)截圖

　　觀察者網(wǎng)注意到，工信部網(wǎng)絡(luò)安全管理局12月17日曾發(fā)布《關(guān)于阿帕奇Log4j2組件重大安全漏洞的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)提示》。

　　其中提到，阿帕奇（Apache）Log4j2組件是基于Java語(yǔ)言的開(kāi)源日志框架，被廣泛用于業(yè)務(wù)系統(tǒng)開(kāi)發(fā)。近日，阿里云發(fā)現(xiàn)阿帕奇Log4j2組件存在遠(yuǎn)程代碼執(zhí)行漏洞，并將漏洞情況告知阿帕奇軟件基金會(huì)。

　　12月9日，工信部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)收到有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)報(bào)告，阿帕奇Log4j2組件存在嚴(yán)重安全漏洞。

　　隨后，工信部立即組織有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)開(kāi)展漏洞風(fēng)險(xiǎn)分析，召集阿里云、網(wǎng)絡(luò)安全企業(yè)、網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)等開(kāi)展研判，通報(bào)督促阿帕奇軟件基金會(huì)及時(shí)修補(bǔ)該漏洞，向行業(yè)單位進(jìn)行風(fēng)險(xiǎn)預(yù)警。

　　工信部網(wǎng)絡(luò)安全管理局指出，該漏洞可能導(dǎo)致設(shè)備遠(yuǎn)程受控，進(jìn)而引發(fā)敏感信息竊取、設(shè)備服務(wù)中斷等嚴(yán)重危害，屬于高危漏洞。為降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，提醒有關(guān)單位和公眾密切關(guān)注阿帕奇Log4j2組件漏洞補(bǔ)丁發(fā)布，排查自有相關(guān)系統(tǒng)阿帕奇Log4j2組件使用情況，及時(shí)升級(jí)組件版本。

　　今年9月1日，為落實(shí)《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》有關(guān)要求，工信部網(wǎng)絡(luò)安全管理局組織建設(shè)的工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)正式上線運(yùn)行。

　　平臺(tái)包括通用網(wǎng)絡(luò)產(chǎn)品安全漏洞專業(yè)庫(kù)、工業(yè)控制產(chǎn)品安全漏洞專業(yè)庫(kù)、移動(dòng)互聯(lián)網(wǎng)APP產(chǎn)品安全漏洞專業(yè)庫(kù)、車聯(lián)網(wǎng)產(chǎn)品安全漏洞專業(yè)庫(kù)等，支持開(kāi)展網(wǎng)絡(luò)產(chǎn)品安全漏洞技術(shù)評(píng)估，督促網(wǎng)絡(luò)產(chǎn)品提供者及時(shí)修補(bǔ)和合理發(fā)布自身產(chǎn)品安全漏洞。

　　觀察者網(wǎng)查詢發(fā)現(xiàn)，《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》第七條指出：

　　網(wǎng)絡(luò)產(chǎn)品提供者應(yīng)當(dāng)履行下列網(wǎng)絡(luò)產(chǎn)品安全漏洞管理義務(wù)，確保其產(chǎn)品安全漏洞得到及時(shí)修補(bǔ)和合理發(fā)布，并指導(dǎo)支持產(chǎn)品用戶采取防范措施：

　　（一）發(fā)現(xiàn)或者獲知所提供網(wǎng)絡(luò)產(chǎn)品存在安全漏洞后，應(yīng)當(dāng)立即采取措施并組織對(duì)安全漏洞進(jìn)行驗(yàn)證，評(píng)估安全漏洞的危害程度和影響范圍；對(duì)屬于其上游產(chǎn)品或者組件存在的安全漏洞，應(yīng)當(dāng)立即通知相關(guān)產(chǎn)品提供者。

　　（二）應(yīng)當(dāng)在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)報(bào)送相關(guān)漏洞信息。報(bào)送內(nèi)容應(yīng)當(dāng)包括存在網(wǎng)絡(luò)產(chǎn)品安全漏洞的產(chǎn)品名稱、型號(hào)、版本以及漏洞的技術(shù)特點(diǎn)、危害和影響范圍等。

　　（三）應(yīng)當(dāng)及時(shí)組織對(duì)網(wǎng)絡(luò)產(chǎn)品安全漏洞進(jìn)行修補(bǔ)，對(duì)于需要產(chǎn)品用戶（含下游廠商）采取軟件、固件升級(jí)等措施的，應(yīng)當(dāng)及時(shí)將網(wǎng)絡(luò)產(chǎn)品安全漏洞風(fēng)險(xiǎn)及修補(bǔ)方式告知可能受影響的產(chǎn)品用戶，并提供必要的技術(shù)支持。

　　工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)同步向國(guó)家網(wǎng)絡(luò)與信息安全信息通報(bào)中心、國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心通報(bào)相關(guān)漏洞信息。鼓勵(lì)網(wǎng)絡(luò)產(chǎn)品提供者建立所提供網(wǎng)絡(luò)產(chǎn)品安全漏洞獎(jiǎng)勵(lì)機(jī)制，對(duì)發(fā)現(xiàn)并通報(bào)所提供網(wǎng)絡(luò)產(chǎn)品安全漏洞的組織或者個(gè)人給予獎(jiǎng)勵(lì)。