La Administración del Ciberespacio de China (CAC) ha promulgado una nueva normativa más estricta sobre divulgación de vulnerabilidades que obliga a los investigadores de seguridad que descubran fallos críticos en los sistemas informáticos a comunicarlos obligatoriamente de primera mano a las autoridades gubernamentales en un plazo de dos días tras la presentación del informe.
Se espera que la «Normativa sobre la gestión de la vulnerabilidad de la seguridad de los productos de red» entre en vigor a partir del 1 de septiembre de 2021, y tiene como objetivo normalizar el descubrimiento, la notificación, la reparación y la publicación de las vulnerabilidades de seguridad y prevenir los riesgos de seguridad.
Además de prohibir la venta de puntos débiles de seguridad hasta ahora desconocidos, la nueva normativa también prohíbe revelar las vulnerabilidades a «organizaciones o personas extranjeras» que no sean los fabricantes de los productos, al tiempo que señala que las revelaciones públicas deben ir acompañadas simultáneamente de la publicación de reparaciones o medidas preventivas.
También, se prohibirá la publicación de programas y herramientas para explotar las vulnerabilidades y poner las redes en riesgo de seguridad.