ICS35.020CCSL67團 體 標(biāo) 準(zhǔn)T/GZBD11-2023移動應(yīng)用程序（App）安全規(guī)范Specificationformobileapplicationsecurity2023-08-01發(fā)布 2023-09-01實施貴州省大數(shù)據(jù)發(fā)展促進會 發(fā)布T/GZBD11T/GZBD11—2023PAGE\*ROMANPAGE\*ROMANII目 次前言 II范圍 1規(guī)范性引用文件 1術(shù)語和定義 1縮略語 2基本要求 3搜集個人信息 3App權(quán)限 3用戶權(quán)利 3需求分析階段安全 3App分類 3安全需求 3設(shè)計階段安全 4安全定級 4安全體系架構(gòu) 4開發(fā)階段安全 4第一級系統(tǒng) 4第二級系統(tǒng) 4第三級系統(tǒng) 4接口對接 5第三方接入 5交付階段安全 5基本安全 5安裝及卸載 5運維階段安全 5廢棄階段安全 5參考文獻 6前 言GB/T1.1-20201請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別這些專利的責(zé)任。本文件由貴州大學(xué)提出。本文件由貴州省大數(shù)據(jù)發(fā)展促進會歸口。（公共大數(shù)據(jù)國家重點實驗室（人工智能與區(qū)塊鏈研究院本文件主要起草人：陳玉玲、李少波、秦永彬、賈文生、李進、韓耀明、譚超月、張旭、楊義先、羅運、龍洋洋、彭長根、胡建文、董森、李濤、豆慧、張邦梅、丁會敏、吳越、楊國棟。T/GZBD11T/GZBD11—2023１１移動應(yīng)用程序（App）安全規(guī)范范圍本文件適用于移動應(yīng)用程序安全的研發(fā)、測試和評估。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文必不可少的條款。其中，注日期的引用文件，（包括所有的修改單適用于本文件。GB/T22240信息安全技術(shù)網(wǎng)絡(luò)安全等級保護定級指南GB/T25058信息安全技術(shù)網(wǎng)絡(luò)安全等級保護實施指南GB/T25069信息安全技術(shù)術(shù)語GB/T25070-2019信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求GB/T30998-2014信息技術(shù) 軟件安全保障規(guī)范GB/T34975-2017信息安全技術(shù) 移動智能終端應(yīng)用軟件安全技術(shù)要求和測評評價方法GB/T35273 信息安全技術(shù) 個人信息安全規(guī)范GB/T37729-2019信息技術(shù)智能移動終端應(yīng)用軟件(APP)技術(shù)要求GB/T38674-2020信息安全技術(shù) 應(yīng)用軟件安全編程指南GB/T41391-2022信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用程序(App)收集個人信息基本要求術(shù)語和定義GB/T25069、GB/T35273和GB/T34975-2017界定的以及下列術(shù)語和定義適用于本文件。移動終端 mobiledevice在移動業(yè)務(wù)中使用的終端設(shè)備，包括智能手機、平板電腦、個人電腦等通用終端和專用終端設(shè)備。[來源：GB/T38674-2020，3.10]移動應(yīng)用程序 mobileapplication通過移動終端為用戶提供服務(wù)的應(yīng)用程序。注：簡稱App。移動應(yīng)用程序客戶端 mobileapplicationclient運行在移動終端上，為用戶提供服務(wù)的客戶端程序。敏感數(shù)據(jù) sensitivedataT/GZBD11T/GZBD11—2023２２必須受保護的，其泄露、修改、破壞或丟失會對人或事產(chǎn)生可預(yù)知的損害的信息。[來源：GB/T38674-2020，3.1.9]系統(tǒng)權(quán)限 systemauthority移動智能終端操作系統(tǒng)向移動應(yīng)用程序開放的，對移動終端資源的訪問許可。網(wǎng)絡(luò)安全 cybersecurity通過采取必要措施，防范對網(wǎng)絡(luò)的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡(luò)處于穩(wěn)定可靠運行的狀態(tài)，以及保障網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性、可用性的能力。[來源：GB/T22239-2019，3.1]定級系統(tǒng) classifiedsystem已確定安全保護等級的系統(tǒng)。定級系統(tǒng)安全保護環(huán)境 securityenvironmentofclassifiedsystem由安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和(或)安全管理中心構(gòu)成的對定級系統(tǒng)進行安全保護的環(huán)境。安全計算環(huán)境securitycomputingenvironment對定級系統(tǒng)的信息進行存儲、處理及實施安全策略的相關(guān)部件。注：安全計算環(huán)境按照保護能力劃分為第一級至第五級安全計算環(huán)境。[來源：GB/T34990-2017，3.9]安全區(qū)域邊界securityareaboundary對定級系統(tǒng)的安全計算環(huán)境邊界,以及安全計算環(huán)境與安全通信網(wǎng)絡(luò)之間實現(xiàn)連接并實施安全策略的相關(guān)部件。[來源：GB/T34990-2017，3.10]移動應(yīng)用數(shù)據(jù)采集 mobileApplicationdatacollection移動應(yīng)用程序運行期間對相關(guān)數(shù)據(jù)的收集。應(yīng)急響應(yīng) emergencyresponse移動應(yīng)用程序?qū)ν话l(fā)狀況采取的響應(yīng)措施?？s略語下列縮略語適用于本文件。API：應(yīng)用程序編程接口（ApplicationProgrammingInterface）CSP：內(nèi)容安全策略（ContentSecurityPolicy）HSTS：HTTP嚴格傳輸安全協(xié)議（HTTPStrictTransportSecurity）HTML：超文本標(biāo)記語言（HyperTextMarkupLanguage）HTTP：超文本傳輸協(xié)議（HyperTextTransferProtocol）SQL：結(jié)構(gòu)化查詢語言（StructuredQueryLanguage）T/GZBD11T/GZBD11—2023３３SSL：安全套接層（SecureSocketsLayer）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）基本要求搜集個人信息按GB/T41391-2022中6的規(guī)定執(zhí)行。App在用戶未授權(quán)情況下，APP不應(yīng)：讀寫用戶短信、聯(lián)系人等隱私數(shù)據(jù)；收集或上報用戶設(shè)備、系統(tǒng)及應(yīng)用程序信息；修改系統(tǒng)配置等資源文件；修改其他應(yīng)用程序的權(quán)限、數(shù)據(jù)等；通過使用數(shù)據(jù)融合分析等手段獲取用戶個人信息；采取誘導(dǎo)，欺騙等行為使用戶泄露個人信息；通過預(yù)留系統(tǒng)陷門違規(guī)更改系統(tǒng)資源文件；使用相關(guān)技術(shù)手段獲取其它應(yīng)用程序信息，包括用戶密碼，用戶使用記錄等。注：相關(guān)技術(shù)手段包括硬盤掃描、前端偵聽等。用戶權(quán)利用戶在使用App時有以下權(quán)利：不得對個人信息查詢、更正、刪除、限制使用以及用戶注銷賬號設(shè)置不合理的條件；應(yīng)提供用戶撤銷同意、查詢、更正、刪除、限制使用個人信息以及注銷賬戶的功能實現(xiàn)；c）接收到用戶查詢、更正、刪除、限制使用請求時，應(yīng)在合理時間和代價范圍內(nèi)予以響應(yīng)；d）應(yīng)在程序設(shè)計前進行安全需求調(diào)研，形成安全需求說明，并對安全需求進行評審；應(yīng)嚴格按照安全需求說明書進行安全方案設(shè)計，并對設(shè)計方案進行評審；應(yīng)建立版本管理和開發(fā)生命周期中程序的變更控制機制，確保App版本控制的安全性。需求分析階段安全App根據(jù)保障App基本功能服務(wù)正常運行所必須的信息，App分類表見表1。表1 App分類表種類分類依據(jù)一般App無須提供信息普通App要求提供個人敏感信息，如：個人財產(chǎn)、個人健康生理、個人生物識別、個人身份等信息特殊App涉及工作秘密、商業(yè)秘密、敏感信息安全需求T/GZBD11T/GZBD11—2023４４應(yīng)根據(jù)App的種類，提供相應(yīng)的安全需求分析說明書。設(shè)計階段安全安全定級按GB/T22240的規(guī)定，根據(jù)App安全需求分析說明書，App安全等級見表2。表2 App安全等級App安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人或其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第二級第三級安全體系架構(gòu)設(shè)計App安全體系架構(gòu)按GB/T25058的規(guī)定執(zhí)行。對整個等級保護對象實施統(tǒng)一的安全技術(shù)管理。開發(fā)階段安全第一級系統(tǒng)除滿足GB/T38674-2020中6的規(guī)定外，還應(yīng)滿足以下要求：a）將前端代碼和數(shù)據(jù)分隔；b）建立安全風(fēng)險管理機制，及時對發(fā)現(xiàn)的安全風(fēng)險進行處置；c）建立并遵循APP源代碼保密管理制度；當(dāng)采用外包方式進行App開發(fā)時，應(yīng)與外包方簽署保密協(xié)議與服務(wù)水平協(xié)議；當(dāng)App/工具的新版本來提高產(chǎn)品的性能、安全性；考慮安全功能、安全措施或外部運行環(huán)境對應(yīng)用、業(yè)務(wù)效率、性能的影響，或是否與業(yè)務(wù)相沖突，在發(fā)現(xiàn)有問題時，宜積極考慮其它規(guī)避、替代措施等。第二級系統(tǒng)除滿足8.1的規(guī)定外，還應(yīng)滿足以下要求：a）啟用HSTS、CSP；給cookie設(shè)置合適的SameSite；注：SameSite用于控制某個cookie能否作為第三方cookie，如SameSite=Strict時表示該cookie任何情況下都不能作為第三方cookie。在HTTP中加入X-FRAME-OPTIONS屬性。注：該屬性用于控制頁面是否可被嵌入iframe中。第三級系統(tǒng)按GB/T25070-2019中8.3.1的規(guī)定執(zhí)行。T/GZBD11T/GZBD11—2023５５接口對接除滿足GB/T37729-2019中的規(guī)定外，還應(yīng)滿足以下要求：根據(jù)接口連接特點與業(yè)務(wù)特色，制定專門的安全技術(shù)實施策略，保證接口的數(shù)據(jù)傳輸和數(shù)據(jù)處理的安全性；系統(tǒng)應(yīng)在接入點的網(wǎng)絡(luò)邊界實施接口安全控制。第三方接入按GB/T41391-2022中6.6的規(guī)定執(zhí)行。交付階段安全基本安全App交付時，應(yīng)滿足以下要求：a）采用專業(yè)的移動應(yīng)用安全檢測工具進行檢測，并在上線前及時修復(fù)已發(fā)現(xiàn)的安全漏洞；b）提供驗證所交付App完整性必須的安全措施，減少交付過程中的篡改風(fēng)險；c）若采用外包方式進行設(shè)計和開發(fā)，上線前應(yīng)確保第三方資源引入已通過充分的安全風(fēng)險評估；d）建立App驗收測試程序和相關(guān)標(biāo)準(zhǔn)，并在新建、升級和更新版本時進行驗收測試；建立并遵循源代碼審計規(guī)范，在上線前進行嚴格的源代碼安全審計，并及時修復(fù)已發(fā)現(xiàn)的安全缺陷；建立移動應(yīng)用發(fā)布的管理制度及審核機制，明確管理職責(zé)和發(fā)布流程，正式發(fā)布前應(yīng)通過內(nèi)部業(yè)務(wù)確認和技術(shù)審查；通過正規(guī)渠道進行App發(fā)布；進行發(fā)布檔案管理，包括但不限于發(fā)布內(nèi)容、發(fā)布時間、程序版本；通過移動應(yīng)用平臺對移動客戶端程序的注冊、發(fā)布、更新、終止全生命周期進行管理；提供安全維護指南等指導(dǎo)性文檔，給出適當(dāng)?shù)娘L(fēng)險提示和應(yīng)急響應(yīng)措施，明確部署環(huán)境的安全要求。安裝及卸載按GB/T34975-2017中4.1.1的規(guī)定執(zhí)行。運維階段安全按GB/T30998-2014中7的規(guī)定執(zhí)行。廢棄階段安全App廢棄應(yīng)滿足以下要求：制定App廢棄安全管理制度；在App在App停止運營后，對已發(fā)布的App進行下架處理。T/GZBD11T/GZBD11—2023６６參考文獻[1]GB/T18336 信息技術(shù)安全評估準(zhǔn)則[2]GB/T22239-2019 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求[3]GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求[4]GB/T28448信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求[5]GB/T34977信息安