移动互联网应用程序安全评估规范标准.pdf

移动互联网应用程序安全评估规范

1范围

本文件规定了移动互联网应用程序的安全评估流程、方式和要求。

本文件适用于主管部门、监管部门、第三方评估机构等组织，对移动互联网应用程序开展安全评估

工作，也可用于移动互联网应用程序运营者开展建设、自查、整改等工作。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T25069-2022信息安全技术术语

GB/T35273-2020信息安全技术个人信息安全规范

GB/T41391-2022信息安全技术移动互联网程序（App）收集个人信息基本要求

GB/T42582-2023信息安全技术移动互联网应用程序（App）个人信息安全测评规范

3术语和定义

GB/T42582、GB/T41391、GB/T25069和GB/T35273界定的下列术语和定义适用于本文件。

3.1

移动互联网应用程序mobileinternetapplication；App

运行在移动智能终端上的应用程序。

注：包括移动智能终端预置、下载安装的应用程序、小程序、公众号和页面工具。

[来源：GB/T41391-2022，3.1，有修改]

3.2

移动互联网应用程序运营者mobileinternetapplicationoperator

移动互联网应用程序所有者、管理者或提供者。

注：简称App运营者。

[来源：GB/T41391-2022，3.2]

3.3

评估对象targetofevaluation

移动互联网应用程序安全评估流程中不同评估方式作用的对象。

注：主要涉及App、相关文档资料等。

[来源：GB/T42582-2023，3.5，有修改]

3.4

评估指标evaluationindex

反映评估对象某一方面是否符合具体要求。

3.5

1

软件开发工具包softwaredevelopmentkit

协助软件开发的软件库。

注：软件开发工具包通常包括相关二进制文件、文档、范例和工具的集合。

[来源：GB/T42582-2023，3.3]

3.6

个人信息保护规则personalinformationprotectionrules

说明移动互联网应用程序个人信息处理规则的文本。

[来源：GB/T42582-2023，3.4，有修改]

3.7

用户user

使用移动互联网应用程序的个人信息主体。

[来源：GB/T42582-2023，3.8]

3.8

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合来识别特定自然人身份或者反映其活动

情况的各种信息。

注1:个人信息包括姓名、出生日期、公民身份号码、个人生物特征信息、住址、联系方式、通信记录和内容、账号

密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

注2:个人信息控制者通过个人信息或其他加工处理后形成的信息，例如，用户画像特征标签，能够单独或者与其他

信息结合识别特定自然人身份或者反映特定自然人活动情况的，也属于个人信息。

[来源：GB/T25069-2022，3.196]

3.9

个人敏感信息personalsensitiveinformation

一旦泄露、非法提供或滥用就有可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害

或歧视性待遇等的个人信息。

注1：个人敏感信息包括公民身份号码、个人生物特征信息、银行账号、通信记录和内容、财产信息、征信信息、

行踪轨迹、住宿信息、健康生理信息、交易信息、14岁下(含)儿童的个人信息等。

注2：个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥用可能危害人

身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，也属于个人敏感信息。