openGauss安全委员会成员行为准则

目的

为建立透明有效的漏洞处理流程，规范openGauss安全委员会成员（下称“成员”）处理漏洞的行为，以遵守《中华人民共和国网络安全法》和《网络产品安全漏洞管理规定》等适用的法律法规和监管要求，特制定《openGauss安全委员会成员行为准则》（以下简称“本准则”）。

适用范围

本准则适用于openGauss安全委员会成员在openGauss项目群参与的所有安全漏洞相关的活动，包括但不限于漏洞披露和处理相关的业务活动。

术语

• 漏洞：是指系统设计、部署、运营和管理中，可被利用于违反系统安全策略的缺陷或弱点。
• 漏洞保密信息：openGauss项目群未公开的漏洞相关信息，包括但不限于漏洞名称、漏洞描述、漏洞地址、漏洞发现过程、漏洞利用信息、漏洞证明截图、漏洞测试过程日志、漏洞影响的产品版本/修补状况、漏洞危害等信息。

内容

• 成员应对漏洞保密信息严格保密，不得以任何方式（包括但不限于明示或暗示、直接或间接方式）披露、公布、散布、转让、许可或分发漏洞保密信息，不得在与客户或合作方交流、与亲友、同学聚会、在公开场合讲话、网上交流、发表论文等日常交流场景披露任何漏洞保密信息。成员退出openGauss安全委员会后，对于尚未在官方渠道公开的漏洞保密信息仍有保密义务。
• 成员若发现漏洞保密信息泄露，应及时通知openGauss安全委员会并采取一切合理措施防止信息泄露范围进一步扩大。
• 成员不得利用漏洞保密信息对在网的任何设备实施渗透攻击。
• 成员未经授权不得以任何身份、任何方式对漏洞保密信息进行公开或不公开的评论。
• 成员因合作需要将漏洞保密信息向他人（指非openGauss安全委员会成员，包括但不限于合作或聘请的任何第三方）披露前应获得openGauss安全委员会主席的书面批准。
• 成员经批准将漏洞保密信息向他人进行披露时，应要求其遵从本准则的各项要求并签署书面承诺，成员应负责监督其遵从情况。
• 成员基于法律程序或行政要求，有强制性义务必须披露漏洞保密信息时，应及时以书面方式通知openGauss安全委员会，由openGauss安全委员会制定后续的披露策略，成员应严格按照前述披露策略进行披露。

违规处理

对违反本准则的成员，经openGauss安全委员会主席书面提议，经openGauss技术委员会决策，可责令退出openGauss安全委员会，且后续不得再次参与openGauss安全委员会。因成员违反本准则给openGauss项目群或开放原子开源基金会造成损失的，该成员及其委派单位须赔偿由此造成的全部损失，包括但不限于为主张权利而产生的律师费、诉讼费等一切费用。 违反本准则收集、发布漏洞保密信息的，涉嫌构成犯罪的，openGauss安全委员会将报送有关主管部门依法处理，依法追究刑事责任。

生效及修改

本准则经openGauss安全委员会审批通过后并报openGauss技术委员会备案后生效。 本准则的最终解释权属于openGauss安全委员会。