移动互联网应用程序（App）数据安全测评能力要求.pdf

T/ISC 0018—2022 移动互联网应用程序 （App）数据安全测评能力要求 1 范围 本文件提供了了移动互联网应用程序数据安全测评工作的指南，对移动互联网应用程序 数据安全测评工作要求、测评内容进行了描述和规范，并针对移动互联网应用程序源文件、 存储、交互、安全防护等方面的数据安全风险给出相应测评方法。 本标准适用于移动互联网应用程序数据安全测评，可供测评机构开展移动互联网应用程 序数据安全测评工作时作为参考，为相关机构强化测评能力、健全技术手段提供指引，也可 供应用程序开发者、运营者在实施数据安全防护策略时参考。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期 的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本 （包括 所有的修改单）适用于本文件。GB/T37988—2019 信息安全技术 数据安全能力成熟度模 型 3 术语和定义和缩略语 3.1 术语和定义 下列术语和定义适用于本文件。 3.1.1 移动互联网应用程序 mobile internet application 运行在移动智能终端上的应用程序。 注：包括移动智能终端预置、下载安装的应用程序和小程序。 3.1.2 数据安全 data security 数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安 全状态的能力。 [来源：GB/T 37988—2019，定义3.1] 3.1.3 识别 identification 涉及查找、辨识和记录潜在数字证据的过程。 [来源：ISO/IEC 27037:2012，定义3.12] 3.2 缩略语 下列缩略语适用于本文件。 App 移动互联网应用程序 mobile internet application 4 移动互联网应用程序数据安全测评能力模型 1 T/ISC 0018—2022 App数据安全测评能力管理要求明确测评对象、测评启动条件、测评实施流程以及测评 报告规范，App数据安全测评能力技术要求分为基础级与增强级，测评内容主要包括与数据 安全明确相关的风险、漏洞等测评项，测评能力模型如图1所示。 基础级App数据安全测评技术要求覆盖数据存储机制、传输情况、权限调用行为等易于 识别、核验的测评项。 增强级App数据安全测评技术要求覆盖恶意攻击防范、数据安全机制等需要一定技术能 力储备及人工核验的较为复杂的测评项。 图 1 App数据安全测评能力模型 5 移动互联网应用程序数据安全测评能力管理要求 5.1 测评对象要求 App数据安全测评的对象是App运营者、分发服务平台等App业务相关方开发、运营或分 发的App软件产品。 5.2 测评启动条件要求 除行业主管部门组织开展的数据安全测评工作以外，满足下列情形之一的，App运营者、 应用分发平台及时启动测评，测评可自行进行或委托第三方进行： 2 T/ISC 0018—2022 a) App于应用分发平台上线或于产品官网等其他渠道提供下载时开展测评； b) 根据App运营者、应用分发平台自身计划开展测评，如定期测评，以及在App业务功 能、程序逻辑等发生较大变化时开展测评； c) 行业主管部门要求开展数据安全测评时开展测评； d) 国家法律法规有相关要求或满足国家法律法规有关情形时开展测评。 5.3 测评实施流程要求 测评实施流程包括如下三个阶段： a) 准备阶段 测评准备阶段包括制定测评方案、确定测评小组人员、获取被测App样本、明确测评项 目范围、评估测评环境及测评工具。 b) 实施阶段 测评实施阶段包括采用工具扫描、沙箱模拟、动态测试、人工干预、功能遍历等方式， 发现App数据安全风险，评估App数据安全保护能力，针对风险制定整改措施。 c) 结束阶段 测评结束阶段包括对实施过程、测评结果、整改方案等进行审查核验，根据准备阶段制 定的测评报告模板编制测评报告。 5.4 测评报告规范要求 测评报告应当包括以