工信部网络安全信息共享平台

A. 汽车数据安全如何保障

监管亟待加强。国信证券分析师认为，当前政策层面对于网络安全的重视程度空前，数据已成为核心生产要素。

当下，在智能汽车发展的同时安全问题依旧是第一位的，智能汽车的数据安全性是车联网发展道路上的重中之重。

规定

7月12日工信部等三部门印发了《网络产品安全漏洞管理规定》，《规定》提出，网络产品提供者应当确保其产品安全漏洞得到及时修补和合理发布；工信部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。

B. 阿里云回应被工信部严惩

阿里云回应被工信部严惩

阿里云回应被工信部严惩，此次事件，从侧面体现了计算机行业中普遍存在的意识疏漏。此次事件对行业的影响是正面的，这是一次警示、也是一次示范。阿里云回应被工信部严惩。

阿里云回应被工信部严惩1

12月23日晚间，阿里云计算有限公司（以下简称“阿里云”）对发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告的事件进行了回应，阿里云表示，阿里云因在早期未意识到该漏洞的严重性，未及时共享漏洞信息。阿里云将强化漏洞报告管理、提升合规意识，积极协同各方做好网络安全风险防范工作。

阿里云表示，近日，阿里云一名研发工程师发现Log4j2组件的一个安全bug，遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助。Apache开源社区确认这是一个安全漏洞，并向全球发布修复补丁。随后，该漏洞被外界证实为一个全球性的重大漏洞。Log4j2 是开源社区阿帕奇（Apache）旗下的开源日志组件，被全世界企业和组织广泛应用于各种业务系统开发。

此前，阿里云因此事被罚。12月22日，工信部网络安全管理局通报称，阿里云是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。

12月9日，工信部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告，阿帕奇Log4j2组件存在严重安全漏洞。工信部立即组织有关网络安全专业机构开展漏洞风险分析，召集阿里云、网络安全企业、网络安全专业机构等开展研判，通报督促阿帕奇软件基金会及时修补该漏洞，向行业单位进行风险预警。

该漏洞可能导致设备远程受控，进而引发敏感信息窃取、设备服务中断等严重危害，属于高危漏洞。为降低网络安全风险，提醒有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，排查自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本。

阿里云在中国云市场上占据着重要地位，此前，Canalys发布中国云计算市场2021年第三季度报告。报告显示，2021年第三季度中国云计算市场整体同比增长43%，达到72亿美元。阿里云在2021年第三季度以38.3%的份额领先中国大陆市场，33.3%的年收入增长主要受互联网、金融服务和零售行业的推动。

阿里云回应被工信部严惩2

近日，有媒体报道，阿里云发现阿帕奇Log4j2组件有安全漏洞，但未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。因此，暂停阿里云作为上述合作单位 6 个月。

原本一个技术圈子的事情因此成为社会热议话题。一时间网友分化为了两个圈子——

非技术圈的人说：感觉阿里云只报给阿帕奇这个技术社区，不上报组织，是没把国家安全放心上。

技术圈层说：当然是谁写的bug报给谁，阿帕奇的安全漏洞，报给阿帕奇是应该的，不能上纲上线。

23日晚间，阿里云就log4j2漏洞发布了说明，诚恳认错，表示要强化漏洞报告管理、提升合规意识，积极协同各方共同做好网络安全防范工作。

回顾这个非常技术的话题，有诸多事实需要厘清。

首先，阿帕奇开源社区是什么？Log4j2组件是什么？

阿帕奇是国际上比较有影响力的一个开源社区。官网上显示，华为、腾讯、阿里等中国公司是这个开源社区的主要贡献者，另外也包括谷歌、微软等美国企业。全球的软件工程师，在这里共建一些基础的软件部件，相互迭代、提高公共效率，是软件产业的一个特有现象。

本次发现漏洞的Log4j2 就是开源社区阿帕奇旗下的开源日志组件，很多企业都会会用这个组件来开发自己的系统。在阿里云的工程师发现这个组件有问题的时候，就邮件询问了阿帕奇，请社区确认这是否是一个漏洞、评估影响范围。

而后阿帕奇确认这是一个漏洞，并通知开发者们修补这个漏洞。于是，出现了天涯共此时，一起改漏洞的局面。

但阿里云遗漏了不久前上线的一个官方上报平台，仅仅按业界的惯例向以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助。

其次，工信部暂停阿里云6个月合作单位资格，意味着什么？

据工信微报——“12月9日，工业和信息化部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告，阿帕奇Log4j2组件存在严重安全漏洞。工业和信息化部立即组织有关网络安全专业机构开展漏洞风险分析，召集阿里云、网络安全企业、网络安全专业机构等开展研判，通报督促阿帕奇软件基金会及时修补该漏洞，向行业单位进行风险预警。”

媒体报道的暂停6个月合作单位资格，并未出现在公开渠道。据业内人士分析，这并不是一个严格意义上的“处罚”，否则不可能不公开通报。其次，网络安全威胁和漏洞信息共享平台是一个收集、通报网络安全漏洞的平台，暂停这个平台的合作资质并不对业务造成影响。

工信部关于Log4j2漏洞的风险提示

但此次事件，从侧面体现了计算机行业中普遍存在的意识疏漏。在国内计算机行业几十年的发展过程中，大量从业人员、组织养成了与开源社区合作的工作习惯，但对更高层面的`安全意识、合规意识，在思想上、制度上都有所不足。阿里云的漏报行为，也是这一意识疏漏的一次具体体现。

整体而言，此次事件对行业的影响是正面的，这是一次警示、也是一次示范。阿里云是行业领先的IT企业，这也是能够率先发现全球重大安全漏洞的原因，而此次事件的发生，无疑将会增强计算机行业的安全合规意识，可以想见，无论是阿里云、还是其他诸多科技企业，都将在企业和组织内部增强合规培训和流程规范。

阿里云回应被工信部严惩3

近期，工信部网络安全管理局通报称，阿里云计算有限公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。

通报指出，阿里云是工信部网络安全威胁信息共享平台合作单位。经研究，工信部网络安全管理局决定暂停阿里云作为上述合作单位6个月。暂停期满后，根据阿里云整改情况，研究恢复其上述合作单位。

观察者网日前曾对该事件做过详细报道，11月24日，阿里云发现这个可能是“计算机历史上最大的漏洞”后，率先向阿帕奇软件基金会披露了这一漏洞，但并未及时向中国工信部通报相关信息。这一漏洞的存在，可以让网络攻击者无需密码就能访问网络服务器。

工信部通报阿帕奇Log4j2组件重大安全漏洞

阿帕奇（Apache）Log4j2组件是基于Java语言的开源日志框架，被广泛用于业务系统开发。近日，阿里云计算有限公司发现阿帕奇Log4j2组件存在远程代码执行漏洞，并将漏洞情况告知阿帕奇软件基金会。

该漏洞可能导致设备远程受控，进而引发敏感信息窃取、设备服务中断等严重危害，属于高危漏洞。为降低网络安全风险，提醒有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，排查自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本。

工业和信息化部网络安全管理局将持续组织开展漏洞处置工作，防范网络产品安全漏洞风险，维护公共互联网网络安全。

C. 阿里又出事了！发现网络安全漏洞，不上报工信部，却通知外国机构

突发！工信部宣布暂停与阿里云信息共享平台合作。这是怎么回事？阿里云犯了什么事？要了解这些疑问，首先我们要知道阿帕奇 Log4j2组件。

据悉，阿帕奇 Log4j2组件是基于Java语言的开源日志框架，被广泛用于业务系统开发。而在11月24日，阿里云发现阿帕奇（Apache） Log4j2存在安全漏洞。但阿里云没第一时间向工信部报告，反而率先向阿帕奇软件基金会披露该漏洞。

而阿帕奇软件基金会是专门为支持开源软件项目而成立的一个非盈利性组织，于1999年6月在美国特拉华州注册成立。

在阿里向他们披露漏洞后，奥地利和新西兰官方的计算机应急小组率先对这一漏洞进行预警，而中国工信部是在收到网络安全专业机构报告后，才发现阿帕奇Log4j2组件存在严重安全漏洞。

根据工信部、国家网信办、公安部联合印发的《网络产品安全漏洞管理规定》，网络产品提供者应当在2日内向工信部报送相关漏洞信息，而工信部12月9日发现上述漏洞，距阿里云首次发现已经过去15天。

值得注意的是：这次的漏洞被认为是“计算机 历史 上最大的漏洞”。多名云计算业内人士指出，这是一个非常基础的日志库漏洞。由于组件使用量很大，几乎所有的java程序都会涉及，所以影响面很大。

工信部指出，这一漏洞可能导致设备远程受控，进而引发敏感信息窃取、设备服务中断等严重危害，属于高危漏洞。有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，排查自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本，以降低网络安全风险。

看完上述，相信大家都知道阿里云犯了什么事了吧！根据工信部要求，网络产品提供者发现漏洞，应当在2日内向工信部报送相关漏洞信息。

有此要求是因为通常情况下，发现的早，知道的快，能及时防备、解决漏洞，避免造成损失。反之，知道得越晚，损失越大。

此次的阿帕奇 Log4j2漏洞，几乎影响全球，原本我国本应该能在11月24日就应对的，最后却滞后了15天，15天有多少设备受到了“入侵”呢？

所以，也难怪工信部宣布暂停与阿里云信息共享平台合作。工信部称，阿里云公司发现阿帕奇 Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。

D. 我国对公共互联网网络安全威胁监测做了什么处置

北京9月14日从工信部获悉，工信部制定印发《公共互联网网络安全威胁监测与处置办法》，对公共互联网上存在或传播的、可能或已经对公众造成危害的网络资源、恶意程序、安全隐患或安全事件监测处置，并建立网络安全威胁信息共享平台，集成合力维护网络安全。

工信部提出建立网络安全威胁信息共享平台，统一汇集、存储、分析、通报、发布网络安全威胁信息，制定相关接口规范，与相关单位网络安全监测平台实现对接。

工信部网络安全管理局局长赵志国表示，工信部将完善危险监测处置、数据保护、新技术、新业务安全评估等政策，最大限度消除安全隐患，制止攻击行为，避免危害发生。《公共互联网网络安全威胁监测与处置办法》自2018年1月1日起实施。

绿色平台构建和谐网络。

E. 工信部暂停阿里云信息共享平台合作，这是为什么

原因是相关组件存在着安全漏洞，阿里集团并未向工信部报告该问题。

事实上，云计算确实可以为各大平台带来更高的收益，保证平台的正常运行。可是大型公司与工信部及其他部门进行合作时，更应该秉持着诚信合作的方案。当平台出现了众多的安全漏洞时，相关公司就应该立刻向有关部门报告此事，减少安全漏洞对整个平台造成的影响。

除此之外，阿里云和工信部展开合作后，相关平台的安全性一直得到了网友的重视。除此之外，共享信息平台的安全性比较重要，当某个平台出现安全漏洞时，隐瞒不报只会使双方的合作告吹，或者阻碍双方的进一步合作。

总的来说，既然阿里集团选择与工信部进行合作，那么阿里集团面对信息共享平台的组件安全漏洞时，更应该进行报告。 合作本都该呈现出互利共赢，隐瞒不报只会影响双方合作。