[CS 153] 安全基础设施与事件响应 — Joe Sullivan

LaTeX 源码 · 备用 PDF · 观看视频

字段	内容
作者/整理	基于 Stanford CS 153 课程内容整理
来源	Stanford CS 153
日期	2025

嘉宾背景与职业轨迹

本讲嘉宾 Joe Sullivan 是硅谷最具经验的网络安全高管之一。他的职业生涯横跨公共与私营部门，从联邦检察官到多家顶级科技公司的首席安全官（CSO），为理解安全基础设施与政府监管之间的张力提供了独特视角。

Joe Sullivan 职业履历

美国司法部：成为美国历史上第一位全职负责网络犯罪（Cyber Crime）的联邦检察官
eBay/PayPal（2002--2008）：从律师转型为安全从业者（Security Practitioner）
Facebook（2008--2015）：担任 CSO，将安全团队从 5 人扩展到大规模组织
Uber（2015--2017）：担任 CSO，同样从 5 人开始构建安全体系
Cloudflare（2018--2022）：担任 CSO，经历公司 IPO
曾任奥巴马总统网络安全委员会（Cyber Commission）成员
目前：安全咨询公司创始人，同时运营乌克兰公益项目

Sullivan 指出，他的核心专长是安全团队的规模化建设（Scaling Security）。在 Facebook、Uber 和 Cloudflare 三家公司，他都经历了从 5 人小团队到大规模安全组织的成长过程。这种反复出现的模式表明，快速增长的科技公司普遍面临安全能力不足的问题。

安全团队规模化的共性模式

Sullivan 在三家公司（Facebook、Uber、Cloudflare）都经历了从 5 人团队起步构建整个安全体系的过程。这反映出一个行业性问题：高速增长的科技公司往往将安全建设滞后于业务扩张。Sullivan 曾自嘲 Uber “拥有 400 亿美元公司中最差的安全体系”。

本章小结

Sullivan 的职业轨迹展示了一条独特的路径：从法律背景进入网络安全领域，然后在最大型科技公司中反复构建安全基础设施。这种跨界背景使他能够从技术和法律双重视角审视安全问题。

科技公司与政府的结构性张力

Sullivan 将本讲的核心主题定位为公共部门与私营部门之间的碰撞（collision between public and private sector）。这一张力已经持续了 25 年，且在当前阶段达到了前所未有的紧张程度。

数字化转型与权力转移

Sullivan 展示了一组数据：在全球市值前 11 大公司中，绝大多数是美国科技公司。而在 20 年前，这份名单上只有约两家科技公司。这一变化反映了权力从传统机构向科技公司的大规模转移。

政府角色的根本性困境

政府的传统角色是保护公民、代表集体完成个人无法独立完成的事务。但在数字化时代，大量的安全威胁发生在私营企业控制的数字空间中，政府缺乏直接介入的能力和数据访问权限。Sullivan 转述 NSA 官员的观点：即便 NSA 想接管所有安全责任，也需要访问所有企业持有的数据------这是公民不可能接受的。

“我们不需要监管” 的Mantra

Sullivan 回忆自己代表 PayPal 和 Facebook 两次到国会作证时收到的内部“小抄”只有一句话：“We don't need regulation --- it will stifle innovation”（我们不需要监管，监管会扼杀创新）。这一口号在过去 25 年间运作良好，国会基本上听从了硅谷的游说，导致美国在网络安全领域缺乏系统性立法。

监管真空的双重代价

科技行业成功抵制了系统性监管，但这并不意味着没有代价：

人们持续在互联网上受到伤害
政府感到失去了作为“保护者”的控制力
缺乏明确规则（bright line rules）导致企业和安全从业者无所适从
执法部门被迫用旧法律套用新技术场景，造成法律不确定性

拜登政府的网络安全政策转向

2023 年，拜登政府发布了新的网络安全政策，核心表述为：“We have to rebalance the responsibility to defend cyberspace by shifting the burden away from individuals, away from governments, to the corporations”（我们必须通过将负担从个人和政府转移到企业来重新平衡保卫网络空间的责任）。

这标志着美国政府正式将网络安全责任的重心从用户和政府转向企业。

三大监管热点领域

Sullivan 指出，当前政府与科技行业之间的冲突集中在三个领域：

网络安全（Cybersecurity）：数据泄露、安全事件响应、企业安全责任
加密货币（Crypto）：SEC 起诉 Coinbase 等案件
人工智能（AI）：FTC 调查 OpenAI 等案件

三权分立下的监管困境

在美国三权分立的框架下：

立法机关（Congress）应当制定明确规则，但在 Cyber/AI/Crypto 领域迟迟未能立法
行政机关（Executive Branch）本应执行法律，但因缺乏新法，被迫用百年前的证券法（Securities Law）等旧法律套用新技术案件
这导致了一种被称为 Regulation by Enforcement（以执法代替立法）的模式

Sullivan 强调，无论新一届政府（2025年特朗普政府）在其他领域是否采取放松监管的态度，在网络安全、AI 和加密货币三个领域，他预期政府仍将保持积极介入的姿态，甚至可能制定更明确的规则（bright line rules）。

本章小结

科技行业与政府之间存在深刻的结构性张力：企业追求创新自由，政府试图履行保护公民的职责。在立法真空中，执法机构用旧法律处理新问题的做法（Regulation by Enforcement）给安全从业者带来了巨大的不确定性和个人风险。

安全基础设施的基石：Responsible Disclosure 与 Bug Bounty

在讲述 Uber 事件之前，Sullivan 详细介绍了两个网络安全领域的核心机制，这是理解后续案件的必要背景。

Responsible Disclosure Policy（负责任披露政策）

Responsible Disclosure 的定义

Responsible Disclosure Policy 是企业向安全研究者（Security Researcher）发出的公开承诺：如果你发现了我们服务的漏洞并主动报告给我们，我们承诺不会起诉你或对你提起法律诉讼。这一机制旨在鼓励外部研究者帮助企业发现并修复安全问题。

Sullivan 在推广这一机制方面有开创性贡献：

2007 年：在 PayPal 联合发布了企业界首个 Responsible Disclosure Policy
2009 年：在 Facebook 发布了类似政策
2015 年 6 月：到 Uber 后一个月内即推出 Responsible Disclosure Policy

Bug Bounty Program（漏洞赏金计划）

约 2010 年，安全研究社区提出了更进一步的诉求：企业不仅不应起诉研究者，还应为其提供的安全信息付费。这一理念催生了 Bug Bounty Program。

Bug Bounty 生态系统

Sullivan 在 Facebook 时期推出了历史上第三个企业 Bug Bounty Program
Facebook Bug Bounty 团队的成员后来创立了 HackerOne（全球最大的 Bug Bounty 平台之一）
另一个主要平台是 Bugcrowd
这些平台已处理数千个案例，形成了标准化的漏洞报告和奖励流程

Sullivan 在 Uber 初期采用了私有 Bug Bounty（Private Bounty Program）模式，而非直接公开。原因是 2015 年的 Uber 安全基础设施极度薄弱，如果立即公开 Bug Bounty 计划，大量涌入的漏洞报告会让团队不堪重负。

Bug Bounty 的时机选择

在安全基础设施不成熟时仓促公开 Bug Bounty 计划，可能导致团队被海量漏洞报告淹没而无法有效处理。正确做法是先以 Private Bounty 模式运行，待内部能力成熟后再公开。Sullivan 在 Uber 等待了约一年才将项目公开。

本章小结

Responsible Disclosure 和 Bug Bounty 是现代安全基础设施的两大支柱。前者提供法律安全网，后者提供经济激励，共同构建了企业与外部安全研究者之间的合作关系。这些机制后来在 Uber 事件中成为争议的焦点。

Uber 安全事件：从 Bug Bounty 到联邦起诉

Sullivan 以亲历者的身份详细讲述了一起对整个网络安全行业产生深远影响的事件。

事件经过

2016 年，Sullivan 收到一封邮件，声称发现了 Uber 的重大安全漏洞。他将邮件转交给团队成员 Rob Fletcher（此人本身就是通过 Responsible Disclosure 报告漏洞而获得 Uber 工作机会的）。Rob 按标准流程引导对方通过 HackerOne 提交细节。

事件的关键事实

两名攻击者（19 岁和 20 岁的年轻人）通过匿名手段（Proton Mail、VPN）联系 Uber
他们已经进入了 Uber 的 AWS 环境并下载了数据作为证明
Sullivan 的团队按标准 Bug Bounty 流程处理此事
安全团队与法务团队（Legal）、公关团队（Communications）、CEO Travis Kalanick 全程协作
法务团队根据内部政策判定无需向政府报告

攻击者身份追踪

Sullivan 详细描述了他的团队如何识别匿名攻击者身份的过程，这是一个典型的网络安全调查案例：

核心策略：将攻击者引离其偏好的通信方式，利用他们对互联网工作原理的认知盲区
NDA 签名陷阱：通过 Adobe Sign 发送保密协议（NDA），利用文档签名服务会记录签名者原始 IP 地址的特性
测试汇款：以“发送测试金额”为由，引导攻击者暴露加密货币账户信息
IP 关联分析：追踪暴露的 IP 到 VPS 服务商（Liquid Sigma），再从支付记录反向定位真实身份
实地接触：派遣前 CIA 高级审讯官亲赴佛罗里达与攻击者 Brandon（20 岁，住在房车公园）面谈，完成心理评估和合同签署

“互联网匿名”的脆弱性

Sullivan 指出，大多数人以为自己在互联网上是匿名的，但面对专业安全团队，这种匿名性是脆弱的。关键在于长时间的交互过程中，对方几乎必然会暴露真实 IP 或其他身份信息。即便是使用 VPN 等工具的攻击者，也会在加密货币交易、文档签名等“侧信道”上犯错。Sullivan 强调：“除了国家级攻击者（government actors），最终几乎都能找到真实身份。”

值得注意的是，同一批攻击者也联系了 LinkedIn 的子公司。LinkedIn 不知如何处理，联系了 FBI，但 FBI 也未能找到攻击者。Sullivan 的团队成功完成了 FBI 未能完成的工作。

团队的处理逻辑

Sullivan 的团队在事件结束后的判断是：

客户数据已得到保护
攻击者是两个年轻人，已被教育了 Bug Bounty 的正确流程
法务团队决定无需向政府报告
安全团队原本计划撰写博客公开此事，但 2017 年春季 Uber 发生了更大的内部危机（CEO Travis Kalanick 被迫离职），博客计划搁置

本章小结

Uber 安全事件本身是一个标准的 Bug Bounty 处理案例：发现漏洞、追踪攻击者、保护用户数据、签署协议。但这一事件后来被新管理层和执法机构重新解读为“掩盖数据泄露”，引发了对 Sullivan 个人的联邦起诉。

联邦起诉与审判：Regulation by Enforcement 的真实代价

被解雇与公开曝光

2017 年 11 月，Sullivan 正在与家人度假，同时收到了公司的解雇通知和彭博社（Bloomberg）记者 Eric Newcomer 的求证电话。新管理层将他定性为“向黑客付款并删除数据”的责任人。

联邦指控

2020 年，FBI 宣布对 Sullivan 提起刑事指控。Sullivan 面临两项重罪指控：

两项联邦重罪指控

Obstruction of Justice（妨碍司法公正）：政府认为 Uber 应就安全事件通知政府，而 Sullivan 作为 CSO 未能确保这一点
Misprision of a Felony（知情不报重罪）：政府认为攻击者未经授权访问 Uber AWS 环境本身构成重罪，而 Sullivan 通过让 Uber 与攻击者签署 NDA 帮助“掩盖”了这一重罪

令人恐惧的法律标准：无需证明 Nexus

政府在 Sullivan 案中采取了极为激进的法律立场：不需要证明 Sullivan 个人对“不通知政府”的决定负有直接责任（法律术语称为 “Nexus”，即因果关联）。仅凭他担任 CSO 的头衔，就可以被追究责任。这一标准让整个网络安全行业的领导者感到恐慌------如果公司做出了某个决策，仅仅因为你是安全负责人就可能面临联邦重罪指控。

Bug Bounty 的法律灰色地带

审判中的核心法律争议围绕一个问题展开：企业能否在事后授权（retroactive authorization）？

Bug Bounty 的“事后授权”悖论

Bug Bounty 的运作逻辑天然包含“事后授权”：安全研究者在发现漏洞时通常并未事先签署任何法律协议，他们是在提交报告并申请赏金时才接触到 Bug Bounty 的法律条款。换言之，每一次成功的 Bug Bounty 都涉及某种程度的“未经授权访问”。

政府的立场是：未经授权访问（违反联邦法律 18 U.S.C. \S 1030）的重罪在访问发生的那一刻就已成立，企业无权事后“赦免”。

行业的立场是：事后授权是 Bug Bounty 生态系统的基础，HackerOne 和 Bugcrowd 已处理数千个此类案例。

陪审团在审议中发回了一个关键问题：“Uber 是否有法律权利在访问发生后延伸授权？”（Does Uber legally have the right to extend authorization after the access occurred?）这一问题直指 Bug Bounty 行业的法律根基。

定罪与量刑

2022 年 10 月，陪审团裁定 Sullivan 两项罪名成立。政府最初要求判处 3 年监禁。

量刑听证中的关键转折

186 封求情信：网络安全社区大规模声援，包括 60 人联名信（由 VC John Sakota 组织）、ACLU 律师组织的另外 60 人联名信，以及 186 封个人信件
缓刑办公室建议：负责为法官准备报告的联邦缓刑办公室（US Probation Office）建议不予监禁
法官的三个关键表态：
“This was not a cover-up”（这不是掩盖行为）
“Where is the CEO? Where is Mr. Kalanick?”（CEO 在哪里？Kalanick 先生在哪里？）
基于 Sullivan 的良好品格和情况，判处缓刑而非监禁

Sullivan 指出了一个痛苦的现实：尽管法官明确表示“这不是掩盖行为”，但媒体报道（包括纽约时报等主流媒体）始终将此事描述为“掩盖数据泄露”，这一叙事从未被纠正。

本章小结

Sullivan 案是 “Regulation by Enforcement” 的极端案例：在缺乏明确法规的情况下，执法机构将旧法律套用于新场景，导致一位按行业标准操作的安全高管被定罪。法官在量刑时明确表示这不是“掩盖行为”并追问 CEO 的责任，但法律层面的定罪依然成立。

上诉与 Nexus 原则：最高法院的意外转机

Sullivan 目前正在通过第九巡回上诉法院（Ninth Circuit）上诉此案，距离最高法院还有一级。

January 6th 案件的连锁反应

2024 年夏天，一个看似无关的案件为 Sullivan 带来了转机。January 6th 国会冲击事件的被告同样被指控 “Obstruction of Justice”（妨碍司法公正），该案上诉至最高法院。

最高法院确立 Nexus 要求

在最高法院听证中，一位大法官直接质问司法部：“你们在 Nexus 问题上一直立场摇摆不定。难道不是应该始终要求证明 Nexus 吗？” 司法部被迫承认：“是的，我们始终需要证明 Nexus。”

然而，就在两周前，同一个司法部在 Sullivan 案中提交了 30 页的法律文书，主张不需要证明 Nexus。

Sullivan 强调这一矛盾的荒诞性：司法部在 Sullivan 案和 January 6th 案中就同一法律条款持完全相反的立场。

上诉前景

在最高法院的表态之后，司法部在 Sullivan 案的上诉中书面承认了错误，但将其定性为“harmless error”（无害错误），即虽然法律标准适用错误，但不影响定罪结果。Sullivan 的律师团队对此表示乐观，认为有相当的胜诉可能。

“无害错误”抗辩的危险性

即便政府承认了在关键法律标准上犯了错误，仍然可以通过“无害错误”抗辩来维持定罪。这意味着即使你在法律论点上胜出，也不一定能翻转判决。这凸显了面对联邦起诉时个人所承受的结构性不对等。

本章小结

January 6th 案件的最高法院听证意外地为 Sullivan 提供了有力的上诉论据。司法部在两个案件中自相矛盾的立场暴露了 “Regulation by Enforcement” 模式的根本缺陷：缺乏一致性和可预测性。

安全领导力的危机与CSO角色的困境

Sullivan 案对整个网络安全行业产生了寒蝉效应（Chilling Effect）。

“不想当 CSO” 的趋势

Sullivan 描述了一个令人担忧的职业趋势变化。过去 20 年，他经常接到电话：“Joe，我要去面试某公司的安全负责人，能帮我准备吗？” 而现在他接到的电话变成了：“Joe，我被邀请去当公司安全负责人，但我不想接这个职位。”

安全领导力的人才流失

Sullivan 指出，许多最优秀的网络安全专业人士正在选择退休或拒绝进入管理层。原因在于：在 Regulation by Enforcement 的环境下，CSO/CISO 这一角色承担了不对称的个人法律风险------公司的集体决策可能导致个人面临联邦重罪指控。这一趋势对于需要更强安全能力的行业而言是灾难性的。

“CEO is Next” — 责任上移的倡议

Sullivan 撰写了一篇题为 “The CEO is Next” 的文章，核心论点是：网络安全责任不应仅由安全负责人承担，CEO 必须直接参与和负责。

这一观点得到了重要机构的呼应：CISA（美国网络安全与基础设施安全局）局长 Jen Easterly 在 2025 年 1 月发表的文章中表达了几乎相同的立场。Sullivan 对此感到欣慰，因为他一直在推动这一议题。

法官的追问是关键信号

量刑听证中法官的追问 “Where is the CEO?” 成为安全行业的标志性时刻。每个安全负责人都想让自己的 CEO 知道：法官追问的是 CEO 的责任。这表明司法系统也在暗示，将全部责任推给安全负责人是不合理的。

安全领导者的自我保护建议

基于自身经验，Sullivan 为当前和未来的安全领导者提出了关键建议：

认真评估是否准备好承受 CSO 角色带来的个人风险
加强团队的事件响应能力和文档记录
与法务团队建立更紧密、更明确的协作关系
确保 CEO 和新任管理层了解并承诺安全决策的共同责任
防止管理层更迭时被“甩锅”（thrown under the bus）

本章小结

Sullivan 案的寒蝉效应正在削弱行业吸引和留住安全人才的能力。解决之道在于将安全责任从 CSO 个人上移到 CEO 和董事会层面，同时推动明确的法律框架取代以执法代替立法的模式。

乌克兰公益项目与韧性（Resilience）

Sullivan 分享了一段个人故事，虽然不直接涉及技术安全，但反映了安全从业者面对逆境时的韧性。

2022 年被定罪后，Sullivan 陷入了人生中第二严重的低谷（第一次是 2017 年被 Uber 解雇）。他选择的应对方式是前往乌克兰做志愿服务。他目前担任一家非营利组织的 CEO，该组织：

从美国公司收集二手笔记本电脑
运送到乌克兰并分发给因战争而无法到校上课的儿童
在每台电脑上贴有乌克兰语的儿童战区心理健康指南
乌克兰约一半的孩子因先是疫情、后是战争而一直在远程学习

Sullivan 的人生建议

“如果你感到自怜、觉得事情很糟糕，最好的做法是去帮助处境更艰难的人。突然间，你会发现自己的问题与这些孩子面对的处境相比微不足道。”（When you feel sorry for yourself, the best thing you can do is go help someone who's in a worse place.）

本章小结

Sullivan 的乌克兰经历展示了安全从业者在面对职业和法律打击后重建人生的可能路径。这也提醒我们，网络安全不仅是技术问题，从业者的心理韧性同样至关重要。

政府中的技术人才缺口

Sullivan 在演讲尾声提出了一个他认为对行业未来至关重要的结构性问题：美国政府严重缺乏技术人才。

中美欧对比

政府技术能力的国际差距

Sullivan 对比了不同国家/地区政府中与科技企业打交道的官员构成：

欧洲：坐在谈判桌对面的往往是工程师和来自大学兼职的技术专家，能够理解 IP 地址、安全架构等技术细节
美国：负责制定和执行技术政策的多为律师，当讨论涉及 IP 地址等基础技术概念时就“两眼放空”（eyes glaze over）

技术人才参与政府的必要性

Sullivan 强调，他并非主张远离政府或对抗政府，而是呼吁技术人才积极参与政府工作。他的核心论点是：

未来 20--30 年的技术职业将不仅由你构建的产品决定，更由政策环境决定
如果制定技术政策的人不懂技术，结果必然是糟糕的政策
技术社区需要“make government our own”（将政府变成我们自己的）

忽视政策环境的风险

Sullivan 告诫学生：如果你打算创办或加入一家科技公司，你不能只考虑技术。你必须同时思考全球各国政府对你所在领域的态度。网络安全、AI 和加密货币三个领域尤其如此------“你的职业生涯将不仅由你构建的东西决定，更由你被允许在什么环境中构建决定。”

本章小结

美国政府在技术政策制定和执行方面的人才缺口是导致 “Regulation by Enforcement” 的深层原因之一。解决之道是让更多技术人才愿意投入政府工作，确保技术政策由懂技术的人参与制定。

安全事件响应的最佳实践

虽然 Sullivan 并未以清单形式呈现事件响应框架，但从他对 Uber 事件的回顾和反思中可以提炼出一套完整的安全事件响应最佳实践。

事件响应中的跨职能协作

安全事件不只是工程问题

Sullivan 反复强调：安全事件响应不仅仅是工程师的工作。完整的事件响应需要三个团队的紧密协作：

安全/工程团队：技术调查、漏洞修复、攻击者追踪
法务团队（Legal）：法律义务评估、政府通知决策、合同审查
公关/沟通团队（Communications）：对外信息发布、媒体关系管理

文档记录的重要性

Sullivan 提到，Uber 安全团队在处理事件时“记录了一切”（documented everything），所有通信和决策过程都通过 HackerOne 平台保留了审计轨迹。这些记录后来在审判中成为关键证据，证明团队确实遵循了行业标准流程。

法务决策的边界必须明确

在 Uber 案中，关于是否通知政府的决定是由法务团队做出的，而非安全团队。然而，承担法律后果的却是 Sullivan 个人。教训：安全负责人必须确保关键决策的责任边界在事前就以书面形式明确。Sullivan 自嘲道：“律师们从不被起诉。我应该继续当律师。”

CEO 参与的必要性

Sullivan 与 CEO Travis Kalanick 保持了实时沟通，Kalanick 对事件处理全程知情。然而，当管理层更迭后，这些内部沟通记录未能保护 Sullivan。这凸显了一个问题：即便有 CEO 的参与和批准，如果没有制度化的共同责任机制，CSO 仍可能成为替罪羊。

本章小结

从 Uber 事件中可以提炼的事件响应教训包括：确保跨职能团队协作、完整记录所有决策过程、明确法务与安全团队的责任边界，以及建立制度化的管理层共同责任机制。

总结与延伸

本讲是一堂关于安全基础设施与法律监管交叉领域的深度案例课。Sullivan 的个人经历将抽象的政策讨论转化为具体的人生故事，揭示了科技行业在安全治理方面面临的深层矛盾。

核心要点回顾：

公私部门之间存在结构性张力：政府需要保护公民，但企业控制着数据和基础设施。NSA 也不想接管一切，因为那意味着访问所有企业数据。
Regulation by Enforcement 是当前最大的风险：在缺乏明确法律的情况下，执法机构用旧法律处理新问题，导致法律不确定性和对个人的不公正追诉。
Bug Bounty 的法律基础存在根本性模糊：企业能否事后授权安全研究者的“未经授权访问”，这一问题至今没有明确的法律答案。
安全责任必须上移到 CEO 和董事会：法官追问 “Where is the CEO?” 传递了清晰信号：将全部安全责任压在 CSO 身上既不公平也不有效。
安全事件响应是跨职能的系统工程：需要安全、法务、公关三方协作，且决策责任边界必须事前明确。
行业正在经历安全领导力危机：最优秀的安全人才因法律风险而回避领导岗位，这对整个行业的安全能力构成威胁。
技术人才参与政府至关重要：美国政府在技术政策制定上严重缺乏技术背景人才，技术社区需要主动填补这一空白。
职业规划必须考虑监管环境：对于科技从业者而言，你的职业前景不仅取决于你构建了什么，更取决于你被允许在什么环境中构建。

拓展阅读

18 U.S.C. \S 1030：美国联邦计算机欺诈和滥用法案（Computer Fraud and Abuse Act, CFAA），是 Sullivan 案中核心引用的法律条文
Biden-Harris National Cybersecurity Strategy (2023)：拜登政府的网络安全战略文件，提出将安全责任从个人和政府转移到企业
HackerOne / Bugcrowd：全球两大 Bug Bounty 平台，了解漏洞赏金生态系统的运作方式
CISA（Cybersecurity and Infrastructure Security Agency）：美国网络安全与基础设施安全局，Sullivan 反复提及的关键政府机构
Fischer v. United States (2024)：最高法院关于 Obstruction of Justice 条款（18 U.S.C. \S 1512）适用范围的裁决，对 Sullivan 案上诉具有直接影响
Responsible Disclosure Policy 最佳实践：参考 ISO 29147 标准，了解漏洞披露的国际规范