本文目录导读：
针对“漏洞逾期未整改”的问题，督促整改需要结合合规要求（如等级保护、网络安全法）、管理权威以及技术手段来推进，以下是分阶段的实操思路：
第一阶段：确认与升级（明确责任）
- 核实逾期原因：
- 技术原因：修复难度大、需要厂商补丁、影响业务连续性等。
- 管理原因：责任人意识不足、部门推诿、认为漏洞不重要等。
- 资源原因：缺乏人手、预算或其他必要资源。
- 获取权威背书：
- 引用安全管理制度、《网络安全法》（例如第21、25条）、等级保护2.0 等法规要求，使其明确逾期整改的法律后果。
- 内部定级与通报：
- 将逾期情况通报给漏洞拥有方的直属领导以及信息安全委员会（如有）。
- 使用“严重/高危漏洞逾期未修复”作为标题或标签，提升问题优先级。
第二阶段：实施督促措施（由软到硬）
首次正式督促（书面明确）
- 发送《漏洞整改逾期告知书》：
- 写明漏洞名称、风险等级、发现时间、要求整改期限、逾期天数。
- 明确逾期可能导致的后果（如暂停系统访问、内部通报、影响绩效等）。
- 抄送其部门负责人及上级安全/IT主管。
- 给予缓冲期：允许在收到告知后 24-48小时内 提交 延期申请（需说明原因、风险接受声明及新的修复计划）。
第二次督促（管理介入）
- 升级汇报：将情况汇报给信息安全分管领导或CIO/CTO。
- 会议督促：召开专题会议，邀请责任人、其主管及安全团队参加，现场确认新Deadline和具体执行方案。
- 技术干预（需谨慎）：对于极度影响安全的高危漏洞，可临时中断服务器公网访问或将漏洞主机踢出信任域，直到修复完成。
第三次督促（强制措施与问责）
- 强制执行：直接下发工单，安全团队协助修复（例如配置临时WAF规则、关闭该服务等），但需部门签字确认。
- 问责与考核：
- 记入 信息安全考核分，扣减该部门或个人的绩效分数。
- 全公司范围内 通报批评（点名部门，不限个人）。
- 如果导致数据泄露等后果,启动问责流程（依据公司制度或法律）。
第三阶段：闭环与长效机制
- 建立“逾期-自动升级”流程：
在漏洞管理平台（如堡垒机、HIDS、SRC等）设置规则：漏洞超时未修复 → 系统自动发送催办邮件/短信给责任人+其主管；超期一定次数 → 自动触发工单升级给更高级别领导。
- 定期通报机制：
每月/每周安全会议上，将“逾期未修复漏洞清单”作为固定议程，让相关负责人在会议上解释原因。
- 正向激励：
对优先完成整改、零逾期或提前修复的部门/个人，在安全考核中加分或给予小奖励（如技术书籍、会议名额）。
具体话术示例（供内部沟通参考）
- 面向普通员工：“您好，您提报的[系统名称]存在[漏洞等级]漏洞，原定截止时间是[日期]，目前该漏洞已超期[天数]，按照公司安全管理制度，请于明天上午10点前提交修复计划或延期说明（附风险评估），否则系统将被临时下线。”
- 面向管理层：“漏洞逾期率上升主要由于X部门历史积压未清，这可能导致我们无法通过年度等级保护测评，引发监管处罚，建议采取如下措施：[1] 本周内由安全团队介入清理 [2] 将逾期情况纳入该部门季度考核。”
- 面向需求压缩、不予配合的部门：“我们理解业务优先，但这个漏洞可以在[日期]前通过[Z方案]修复，风险可控，如果无法修复，需要您签署安全风险接受函，风险由业务部门承担。”
最重要的一步：自动化
核心思路：用系统管人，而不是人管人。 如果一个漏洞逾期后，系统不再理会，那督促效果会很差，建议：
- 漏洞管理平台 设置每日定时推送待办清单至责任人邮箱/企业微信/钉钉。
- 超时自动升级：超时1天 → 推送责任人；超时3天 → 推送部门领导；超时7天 → 推送分管VP。
- 自动发函：超时后系统自动生成改版PDF版《整改通知书》并发送。 能帮助您高效推动漏洞修复工作，如果仍有具体场景（比如对方是强势业务部门不配合），可以继续补充细节，我再来帮您分析。
