之前爆发的WannaCry勒索病毒的源头软件是黑客组织从美国NSA窃取而来的，且该黑客放话将在今年6月陆续放出一系列攻击工具，这对公众来说是相当危险的。

在今年早些时候的RSA大会上，有专家建议应将漏洞公平裁决程序（Vulnerabilities Equities Process，VEP）编入法律。对于企业来说，漏洞公平裁决程序有多重要？优点和缺点是什么？

Matthew Pascucci：对于企业而言，漏洞公平裁决程序非常重要，可帮助他们对政府漏洞披露做出反应。

漏洞公平裁决程序旨在指导政府机构发布或保留其发现的漏洞的决策过程。这并不是非黑即白的问题，对于那些直接处理这个问题的人来说，这有些复杂。将VEP编入法律既有利又有弊。

法律化漏洞公平裁决程序的优点在于，可为该流程增加更多透明度，并可防止政府机构在没有监督的情况下自行采取行动。现在，这个流程已经部署到位，但并非所有政府机构都完全遵循，如果没有遵循，也起不到真正的惩罚作用。

大多数漏洞都会披露给供应商或者被武器化用于攻击性措施。对VEP实施法律和监管可防止政府机构以不恰当方式或未经许可利用这些漏洞。

执行秘书或监督该流程的角色是一个争议点，但这是必要的。当编入法律后，需要在某个政府机构内运作，并让其中一个机构成为先驱者（例如美国国土安全部或者国家安全局），可能会在不同政府部门之间制造紧张关系。

制定法律实现机构间监督有利于提高透明度。同时，对漏洞披露和使用的报告和指标的持续审查，会让政府更加负责任。

漏洞公平裁决程序编入法律的缺点是，这个过程会变得繁重，因为机构不会对漏洞披露自己采取行动。这会限制他们以国家安全的名义而不采取行动，并可能使其无法再创造出新技术作为进攻性措施。在我看来，我认为VEP应该编入法律。

目前还没有有关VEP的法律的主要问题在于，通常都是由单个机构来决定漏洞的走向。他们应该披露还是利用它？某些机构在这方面比其他机构有着更好的声誉，但如果不编入法律，则都在自己的孤岛上运行。

另外，这些机构都在自主运行。最近，NSA和CIA在遭受攻击后其攻击工具被发布到互联网上。这是非常危险的，通过对这个流程加以监督，可采取直接行动，包括保护这些已经变成工具的漏洞。在我看来，缺乏对这些数据的监督和保护是一种疏忽。

对于这个话题有很多不同的观点。值得注意的是，即使是法律化漏洞公平裁决程序，政府机构仍然有可能从其他第三方购买漏洞来绕过整个流程。