12月22日,，據(jù)21世紀經(jīng)濟報道消息,，近期,，工信部網(wǎng)絡(luò)安全管理局通報稱,，阿里云計算有限公司（下稱：阿里云）發(fā)現(xiàn)阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患后，未及時向電信主管部門報告,，未有效支撐工信部開展網(wǎng)絡(luò)安全威脅和漏洞管理,。

　　通報指出，阿里云是工信部網(wǎng)絡(luò)安全威脅信息共享平臺合作單位,。經(jīng)研究,，工信部網(wǎng)絡(luò)安全管理局決定暫停阿里云作為上述合作單位6個月。暫停期滿后,，根據(jù)阿里云整改情況,，研究恢復其上述合作單位。

　　觀察者網(wǎng)日前曾對該事件做過詳細報道,，11月24日,，阿里云發(fā)現(xiàn)這個可能是“計算機歷史上最大的漏洞”后，率先向阿帕奇軟件基金會披露了這一漏洞,，但并未及時向中國工信部通報相關(guān)信息,。

　　隨后，奧地利和新西蘭官方的計算機應(yīng)急小組率先對這一漏洞進行了預(yù)警,，而中國工信部是在收到有關(guān)網(wǎng)絡(luò)安全專業(yè)機構(gòu)報告后,，才發(fā)現(xiàn)阿帕奇Log4j2組件存在嚴重安全漏洞。

　　工信部官網(wǎng)截圖

　　觀察者網(wǎng)注意到,，工信部網(wǎng)絡(luò)安全管理局12月17日曾發(fā)布《關(guān)于阿帕奇Log4j2組件重大安全漏洞的網(wǎng)絡(luò)安全風險提示》,。

　　其中提到，阿帕奇（Apache）Log4j2組件是基于Java語言的開源日志框架,，被廣泛用于業(yè)務(wù)系統(tǒng)開發(fā),。近日，阿里云發(fā)現(xiàn)阿帕奇Log4j2組件存在遠程代碼執(zhí)行漏洞,，并將漏洞情況告知阿帕奇軟件基金會,。

　　12月9日，工信部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺收到有關(guān)網(wǎng)絡(luò)安全專業(yè)機構(gòu)報告,，阿帕奇Log4j2組件存在嚴重安全漏洞,。

　　隨后，工信部立即組織有關(guān)網(wǎng)絡(luò)安全專業(yè)機構(gòu)開展漏洞風險分析,，召集阿里云,、網(wǎng)絡(luò)安全企業(yè)、網(wǎng)絡(luò)安全專業(yè)機構(gòu)等開展研判，通報督促阿帕奇軟件基金會及時修補該漏洞,，向行業(yè)單位進行風險預(yù)警,。

　　工信部網(wǎng)絡(luò)安全管理局指出，該漏洞可能導致設(shè)備遠程受控,，進而引發(fā)敏感信息竊取,、設(shè)備服務(wù)中斷等嚴重危害,，屬于高危漏洞,。為降低網(wǎng)絡(luò)安全風險，提醒有關(guān)單位和公眾密切關(guān)注阿帕奇Log4j2組件漏洞補丁發(fā)布,，排查自有相關(guān)系統(tǒng)阿帕奇Log4j2組件使用情況,，及時升級組件版本。

　　今年9月1日,，為落實《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》有關(guān)要求,，工信部網(wǎng)絡(luò)安全管理局組織建設(shè)的工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺正式上線運行。

　　平臺包括通用網(wǎng)絡(luò)產(chǎn)品安全漏洞專業(yè)庫,、工業(yè)控制產(chǎn)品安全漏洞專業(yè)庫,、移動互聯(lián)網(wǎng)APP產(chǎn)品安全漏洞專業(yè)庫、車聯(lián)網(wǎng)產(chǎn)品安全漏洞專業(yè)庫等,，支持開展網(wǎng)絡(luò)產(chǎn)品安全漏洞技術(shù)評估,，督促網(wǎng)絡(luò)產(chǎn)品提供者及時修補和合理發(fā)布自身產(chǎn)品安全漏洞。

　　觀察者網(wǎng)查詢發(fā)現(xiàn),，《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》第七條指出：

　　網(wǎng)絡(luò)產(chǎn)品提供者應(yīng)當履行下列網(wǎng)絡(luò)產(chǎn)品安全漏洞管理義務(wù),，確保其產(chǎn)品安全漏洞得到及時修補和合理發(fā)布，并指導支持產(chǎn)品用戶采取防范措施：

　?。ㄒ唬┌l(fā)現(xiàn)或者獲知所提供網(wǎng)絡(luò)產(chǎn)品存在安全漏洞后,，應(yīng)當立即采取措施并組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響范圍,；對屬于其上游產(chǎn)品或者組件存在的安全漏洞,，應(yīng)當立即通知相關(guān)產(chǎn)品提供者。

　?。ǘ?yīng)當在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺報送相關(guān)漏洞信息,。報送內(nèi)容應(yīng)當包括存在網(wǎng)絡(luò)產(chǎn)品安全漏洞的產(chǎn)品名稱、型號,、版本以及漏洞的技術(shù)特點,、危害和影響范圍等。

　?。ㄈ?yīng)當及時組織對網(wǎng)絡(luò)產(chǎn)品安全漏洞進行修補,，對于需要產(chǎn)品用戶（含下游廠商）采取軟件、固件升級等措施的，應(yīng)當及時將網(wǎng)絡(luò)產(chǎn)品安全漏洞風險及修補方式告知可能受影響的產(chǎn)品用戶,，并提供必要的技術(shù)支持,。

　　工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺同步向國家網(wǎng)絡(luò)與信息安全信息通報中心、國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心通報相關(guān)漏洞信息,。鼓勵網(wǎng)絡(luò)產(chǎn)品提供者建立所提供網(wǎng)絡(luò)產(chǎn)品安全漏洞獎勵機制,，對發(fā)現(xiàn)并通報所提供網(wǎng)絡(luò)產(chǎn)品安全漏洞的組織或者個人給予獎勵。