阿里云发现安全漏洞不及时上报是否应该处罚？

今天一早，被大家热评“阿里云被暂停网络安全威胁信息共享平台合作单位6个月”的新闻炸屏了，我个人感觉大家的理解与事实有点偏差。

工信部对阿里云的处罚原因不是发现漏洞不及时报告工信部，而是没有及时上报给安全信息共享平台。

注意这不是一个行政处罚，而是暂停了阿里云共享安全信息平台信息。

这非常容易理解，你既然加入了共享平台，你在享受共享平台的信息权力的同时，你没有尽到把你自己的信息让大家共享的义务。

说白了就是白票嘛，你认为这合理吗？

正因为代码漏洞多如牛毛，为了安全，才有了“网络安全威胁信息共享平台”，这个平台的目的就是预警其他部门。

码农应该知道，有漏洞降低危害并不只有修复Bug这一种方法啊，也可以通过防火墙或下线服务等手段来降低危害，前提是相关的部门能在共享平台上共享到这个漏洞信息。

所以，阿里云及时上报漏洞给共享平台，这和开源精神有什么关系？

所以，在这个问题上阿里云的确是有问题的，洗不白的。