依據66號規定為阿里雲辯護_風聞

本吞食者知道，寫下這個題目，踩贊比至少10:1。但是，為了一個法治社會，本吞食者要頂着裝甲盔為阿里雲辯護。辯護的依據就是66號規定本身。這個規定網上很容易找到，就不全文引用了。辯護如下。

假設你是阿里雲的法務。現在工程師報告發現了阿帕奇組織的漏洞。本着有法必依的原則，你和工程師一起逐條對照66號規定，看看自己該幹啥。

第一條，立法原則，跳過。

第二條，誰該遵守，阿里雲當然要遵守，跳過。

第三條，主管單位與責任，跟阿里雲無關，跳過。

第四條，阿里雲都沒幹，跳過。

第五條，阿里雲都幹了，跳過。

然後是真正相關的第六、第七條。

=============================================================

第六條 鼓勵相關組織和個人向網絡產品提供者通報其產品存在的安全漏洞。

第七條 網絡產品提供者應當履行下列網絡產品安全漏洞管理義務，確保其產品安全漏洞得到及時修補和合理髮布，並指導支持產品用户採取防範措施：

　　（一）發現或者獲知所提供網絡產品存在安全漏洞後，應當立即採取措施並組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響範圍；對屬於其上游產品或者組件存在的安全漏洞，應當立即通知相關產品提供者。

　　（二）應當在2日內向工業和信息化部網絡安全威脅和漏洞信息共享平台報送相關漏洞信息。報送內容應當包括存在網絡產品安全漏洞的產品名稱、型號、版本以及漏洞的技術特點、危害和影響範圍等。

　　（三）應當及時組織對網絡產品安全漏洞進行修補，對於需要產品用户（含下游廠商）採取軟件、固件升級等措施的，應當及時將網絡產品安全漏洞風險及修補方式告知可能受影響的產品用户，並提供必要的技術支持。

　　工業和信息化部網絡安全威脅和漏洞信息共享平台同步向國家網絡與信息安全信息通報中心、國家計算機網絡應急技術處理協調中心通報相關漏洞信息。

　　鼓勵網絡產品提供者建立所提供網絡產品安全漏洞獎勵機制，對發現並通報所提供網絡產品安全漏洞的組織或者個人給予獎勵。第六條，鼓勵，沒説境內外有差別。好，我們阿里雲向阿帕奇組織通報漏洞是受鼓勵的，那就通報羅。沒説通報之後要幹啥。第七條，本條的“網絡產品提供者”顯然和第六條的“網絡產品提供者”是同一的，都是阿帕奇組織。那們阿里雲更是要通報了，把責任甩出去嘛。而且後面第九條還列了一堆“不得”。於是阿里雲通報給阿帕奇組織，然後啥也不用幹了。=============================================================爭議就發生在這裏。踩阿里一方的，堅持認為第七條的“網絡產品提供者”和第六條的“網絡產品提供者”不同一。阿里雲在第六條裏當了“相關組織”之後，必須在第七條裏再當“網絡產品提供者”，有責任上報。本吞食者認為，上述觀點有三個理由不成立。第一，從漢語邏輯和語法看，六、七兩條的“網絡產品提供者”就是同一的。第二，第七條默認了“網絡產品提供者”具有技術能力評估、驗證，知道漏洞的“產品名稱、型號、版本以及漏洞的技術特點、危害和影響範圍”，這表明“網絡產品提供者”就是指該漏洞產品的提供者，而不是其他產品的提供者，所以阿里雲不是“網絡產品提供者”。第三，假設一種情況，阿帕奇組織在接到阿里雲通報後卡着48小時向共享平台報送了相關漏洞信息，那阿里雲還有沒有責任？要説裸奔，那這48小時國內網絡也是在裸奔啊。所以，真正的問題是66號規定。它沒有區分國內外，導致bug。它根本就沒有規定阿里雲有義務在向阿帕奇組織通報之後的2日內向共享平台報送相關漏洞信息，而將這一義務屬於阿帕奇組織。至於説阿帕奇組織不履行義務，不是阿里雲的問題。退一步説，就算你不同意本吞食者的觀點，非要認為六、七兩條的“網絡產品提供者”不同一，那也是66號規定導致了歧義。寫一個法規文件寫出歧義來，那工信部還不該罵嗎？本吞食者之所以吃飽了撐的要給阿里雲辯護，是希望建立一個法治社會。而法治社會在“有法可依，有法必依，執法必嚴，違法必究”之前，還應當首先保證這個法是正確的，合乎邏輯的，無歧義的，即對立法者有技術上的要求。現在工信部搞了個有歧義、有bug的規定出來，阿里雲照着規定跑出bug了，工信部就處罰阿里雲，然後大家還罵阿里雲不愛國不講政治，這不是跟法治背道而馳麼。