责任约定决定修复速度
外包开发的系统、SaaS 服务与供应商维护的软硬件，补丁责任必须在合同与运维协议里写清楚：谁负责修、多久内修完、怎么证明修了、远程维护通道怎么管控。责任不清的结果通常是漏洞通报发出后双方互相等待，修复窗口在沟通消耗中白白流失。
基本信息
| 适用对象 | 外包开发的系统、SaaS 服务、供应商维护的软硬件 |
|---|---|
| 约定要点 | 响应时限（按级别）、报告义务、验证方式、远程维护管控、退出保障 |
| 沟通机制 | 定期安全例会与漏洞通报联系人（用团队邮箱） |
| 远程维护 | 走堡垒机，账号按次开通，审批与录屏留痕 |
| 证据要求 | 修复版本号与验证结论，保留抽样复核权 |
| 遗留系统 | 无维护合同的历史系统按 EOL 流程处置 |
约定项与说明
| 约定项 | 内容 | 说明 |
|---|---|---|
| 责任条款 | 按严重级别区分补丁响应时限 | 时限与违约后果写进合同 |
| 报告义务 | 定期提交修复进展报告 | 明确报告格式与提交对象 |
| 验证方式 | 提供修复版本号与验证结论 | 保留抽样复核的权利 |
| 远程维护 | 堡垒机接入、审批、录屏 | 账号按次开通，用完即收 |
| 沟通机制 | 定期安全例会与联系人 | 避免依赖个人邮箱 |
| 退出保障 | 源码、配置与文档托管 | 防止绑定后无法自主修复 |
合同与流程要点
合同与流程要点
1. 责任条款：补丁响应时限（按严重级别）、报告义务与验证方式
2. 沟通机制：定期安全例会、漏洞通报联系人（用团队邮箱而非个人邮箱）
3. 远程维护：供应商接入走堡垒机加审批与录屏，账号按次开通
4. 退出保障：源代码、配置与文档托管，避免绑定后无法自主修复
5. 证据留存：修复版本号、验证结论与抽样复核记录一并归档典型使用场景
- 外包系统漏洞通报后的责任落实
- 供应商准入评审中的安全条款核对
- SaaS 服务的安全公告订阅确认
- 遗留系统无维护合同时的处置决策
- 供应商远程维护通道的安全评审
- 年度供应商安全评估的取证
供应商说「已经安全了」不等于修好了。要求提供修复版本号与验证结论，并保留抽样复核的权利，才能形成可核查的闭环。
漏洞报告只发给对接人个人邮箱，人一离职修复线索就断了。通报渠道要落到团队邮箱与工单系统，人员变动不影响流程。