漏洞逾期如何督促整改

本文目录导读：

1. 第一阶段：明确告知与程序违规
2. 第二阶段：压力传导与高优先级处理
3. 第三阶段：引入外部压力与高层的介入
4. 第四阶段：建立长效机制（防再次发生）
5. 针对不同场景的“话术”与“模板”参考：

针对“漏洞逾期未整改”这一情况，督促整改需要采取分层级、重证据、有压力的策略，单纯的催促往往效果有限，需要建立一套“提示-预警-通报-问责”的闭环机制。

以下是具体的督促方案，您可以根据所在单位的实际情况（是甲方对乙方、安全部门对业务部门、还是上级对下级）进行选择和调整：

第一阶段：明确告知与程序违规

首先需要确认漏洞逾期并非由于流程或信息不达导致的，如果对方已经逾期，第一步不是直接“问责”，而是“确认”：

1. 发送逾期确认函：
   • 记录漏洞编号、发现时间、规定的整改截止日期、当前状态。
   • 明确告知：已经超过规定整改期限X天。
   • 询问原因：是技术难度大、资源不足、还是流程卡住了？（这一步是为了后续决策，区分“不想改”和“改不了”）
2. 升级沟通渠道：
   • 从邮件/工单升级到电话或即时沟通（如内部IM）。
   • 从对该漏洞的直接负责人，升级到其直系主管或部门接口人。

第二阶段：压力传导与高优先级处理

确认逾期后，需要将压力从“技术人员”传导到“管理层面”：

1. 发送书面警告/催办函：
   • 明确写明：该漏洞的风险等级（高危、严重）、可能造成的具体损失（数据泄露、业务中断、监管罚款）。
   • 设定最终整改死线（3个工作日内必须提供整改计划及完成时间）。
   • 抄送：该部门负责人、分管领导、法务/合规部门。
2. 纳入绩效或考核：
   • 将漏洞整改率、逾期率纳入部门或个人的安全绩效考核。
   • 直接扣分：明确公示，逾期一天扣多少分,直接与年终奖或绩效挂钩。
3. 发起“安全风险确认会”：
   • 召集漏洞责任部门负责人、安全部门、以及更高层级的管理者。
   • 现场要求签字确认：负责人必须签字确认知晓该风险，并承诺新的整改日期,签字意味着责任固化。

第三阶段：引入外部压力与高层的介入

如果常规手段失效，需要“上手段”了，这在企业、政府、事业单位中尤为有效：

1. 最高级别通报：
   • 向单位一把手或信息系统安全领导小组提交“重大安全风险逾期未整改报告”。
   • 报告中列出：漏洞信息、风险影响、责任部门、逾期时间、建议采取的处罚措施。
2. 公开通报（内部）：
   • 在单位内部的 “风险通报周报/月报” 中，将逾期部门列为“安全整改红/黑榜”。
   • 在安全会议上点名批评,要求负责人做情况说明。
3. 切断或限制业务：
   • 最硬核的手段：对于高危漏洞且长期不整改的系统，安全部门有权禁止其上线、切断其外网访问，或者关闭其后台管理账号，直到漏洞修复为止,这会让业务方感到切肤之痛。

第四阶段：建立长效机制（防再次发生）

一次督促成功不代表永久解决,需要固化流程：

1. 建立“整改预警”自动机制：
   • 在工单系统中设置：到期前N天自动发消息提醒（微信、钉钉、邮件），到期当日自动升级,逾期后自动抄送上级。
   • 避免“人盯着”导致的疏漏。
2. 复盘逾期原因：
   • 如果是技术限制改不了（无法修复）：需要决策是风险接受（签署豁免书）还是下线弃用该系统。
   • 如果是资源不足：需要协助申请额外的开发资源或安全人力。
   • 如果是态度问题：则需要启动第四阶段的重罚机制。

针对不同场景的“话术”与“模板”参考：

• 对业务方（温和但坚定）：“X总/老师，您负责的XX系统存在高危漏洞，原定整改时间已逾期3天，系统持续暴露在高风险下，一旦发生数据泄露，根据《数据安全法》和公司制度，您作为业务负责人需要承担主要管理责任，我们可以协调安全工程师提供整改指导，能否今天确认一下最晚修复时间？”
• 对技术方（直接、明确）：“当前漏洞逾期，请立即提供：1. 无法按时完成的客观原因；2. 新的承诺完成日期；3. 临时缓解措施，否则我们将启动安全强制下线流程。”
• 对直属领导（汇报、要权）：“我们上周催办了几次，但漏洞依然逾期，我需要领导您出面协调一下X部门，或者您授权我们在OA上发起一个‘重大风险催办单’，抄送给所有高层，不然底层技术人员根本推不动。”

1. 留痕：所有沟通、催办、确认都通过邮件、工单、会议纪要等形式留下记录,作为日后追责的证据。
2. 分层：不要只催一个人，要沿着“经办人 -> 主管 -> 部门负责人 -> 分管领导 -> 一把手”这条线逐级上报。
3. 有理有据：拿出风险评级（CVSS评分）、行业案例（某某公司因同类漏洞被罚）、监管要求（等保、关基条例）。
4. 提供后路：在施加压力的同时，询问对方是否需要技术支援、白名单等待等临时措施,避免陷入僵局。

最有效的一句话： “我知道这很难，但系统的持续风险已经超过我们的合规底线，如果今天拿不出明确的修复计划，我们只能启动风险强制下线流程，并抄送法务/最高管理层记录在案。”

把这个“选择权”交给对方（要么修复，要么上报告）,通常对方会选择修复。