本文提出“覆盖缺口”概念，用于衡量关键基础设施运营商在公共暴露面与协调漏洞披露能力之间的可量化差距。作者以智利国家网络安全局（ANCI）依据第21.663号法律指定的915家“重要运营商”（OIV）为对象，采用纯被动、基于开源情报（OSINT）的方法，遵循ISO/IEC 29147:2018标准及智利计算机犯罪安全港条款（第21.459号法律），对整个官方目录中约98.7%的实体进行了可验证披露联系渠道（第1层）的普查。结果发现：仅有16家OIV（1.7%）发布了可验证的RFC 9116披露渠道；在能源、医疗、银行、电信、燃料、水、交通及国家行政等物理世界基础设施运营商中，不到10家拥有此类渠道，所有四大银行和两家电信运营商完全缺失。相比之下，美国联邦民用部门在CISA约束性操作指令18-01下的合规率超过99%。此外，84%的OIV存在电子邮件认证配置错误，估计23.5%的OIV使用了生命周期结束或已知存在漏洞的软件栈组件（Wilson 95% CI [12%, 38%]）。跨司法管辖区基准测试显示，智利在电子邮件认证强制要求方面落后美国、英国和荷兰约8年，落后丹麦约3年。作者提出一个基于BOD 18-01和英国公共部门DMARC工具包的四阶段路线图，并开源工具anci-oiv-resolver（Apache 2.0），以便独立复现支撑宇宙级审计的OIV域名映射。
💡 推荐理由: 揭示智利关键基础设施在漏洞披露合规性上的巨大缺口，为各国政策制定者和安全团队提供了量化评估方法和改进路线图，有助于推动全球关键基础设施的安全披露实践。
🎯 建议动作: 建议安全团队参考文中路线图和开源工具，对自身关键基础设施的披露覆盖缺口进行自评估，并推动实施RFC 9116和DMARC等基础安全措施。