tfd_Dmarket的博客

近年来，通付盾专注于移动应用全生命周期的安全研究，积累了丰富的移动应用安全实战经验，积极协助 CAPPVD 漏洞库做好网络产品安全漏洞管理，本次入选工信部移动互联网 APP 产品安全漏洞库技术支撑单位，是权威机构对通付盾参与国家移动互联网 APP 产品安全漏洞系列工作的高度认可。2023 年 1 月，工业和信息化部移动互联网 APP 产品安全漏洞专业库根据《CAPPVD 漏洞库支撑单位能力评定办法》，经过对各支撑单位在 2021-2022 年度的支撑情况开展能力评定，

征求意见稿》对APP开发运营者、APP分发平台、APP第三方服务提供者、移动智能终端生产企业、网络接入服务提供者提出了一系列在个人信息的收集、存储、使用、加工、传输过程中的相应要求，同时也明确了相应的整改期限和责任。针对目前的APP安全现状，我们发现基于片面的APP安全防护甚至忽视安全防护无法达到有效的APP治理效果，有必要从APP全生命周期的角度出发，打造一套集开发测试、发布、运行、运营环节于一体的APP合规应用发布平台。在手机APP的日常使用中，可以最直观地感受到个人信息保护的水平。

2022年年度网安政策标准汇总

通告》明确，移动智能终端应用软件预置行为应遵循依法合规、用户至上、安全便捷、最小必要的原则，依据谁预置、谁负责的要求，落实企业主体责任，尊重并依法维护用户知情权、选择权，保障用户合法权益。近日，有关部门接连出台相关举措，开展专项行动、印发联合通告，为 APP 领域的健康规范发展加码发力。近日，为规范移动互联网应用程序信息服务管理，深入治理 APP、小程序等应用程序乱象，进一步压实应用程序分发平台主体责任，促进行业健康有序发展，国家网信办部署开展 “清朗・移动互联网应用程序领域乱象整治” 专项行动。

依据《网络安全法》《数据安全法》《个人信息保护法》《网络产品安全漏洞管理规定》《电信和互联网用户个人信息保护规定》等法律法规，按照工业和信息化部《关于开展纵深推进APP侵害用户权益专项整治行动的通知》（工信部信管函[2020]164号）等工作部署，北京市通信管理局持续开展APP隐私合规和网络数据安全专项整治。一、21款APP存在不同类型问题需整改（详见附件），请相关APP运营企业立即整改，并于1月18日前提交整改报告。二、8款APP因之前问题整改不到位，我局拟通知应用商店予以下架处置。

工信部数据显示，2022年第三季度12321网络不良与垃圾信息举报受理中心共接到不良手机应用有效投诉3.65万件次，其中涉及信息安全问题的投诉1.83万件，占比50.1%；涉及个人信息及权限问题的投诉1.46万件，占比40.0%；涉及网络安全问题的投诉0.36万件，占比9.9%。

谁盯上了我的医疗健康信息，医疗APP隐私保护暗藏哪些陷阱等，成为很多人索绕心中的追问。医疗隐私泄露后的杀伤力更大、非法用途更多，这两方面的因素结合在一起，导致医疗APP防隐私泄露面临更严峻的形势。因此，医疗APP的日常监管理应比其它手机APP更严，要求更高，落实《APP收集使用个人信息最小必要评估规范》等制度也应该更加彻底。据报道，有用户下载一款医疗健康手机APP，被要求填写姓名、手机号等隐私数据，即便在卸载这款APP后，依然接到四五通骚扰电话，其中不乏医美机构询问植发等，甚至是推销借贷。

依据《网络安全法》《数据安全法》《个人信息保护法》《网络产品安全漏洞管理规定》《电信和互联网用户个人信息保护规定》等法律法规，按照工业和信息化部《关于开展纵深推进 APP 侵害用户权益专项整治行动的通知》（工信部信管函 [2020]164 号）等工作部署，北京市通信管理局持续开展 APP 隐私合规和网络数据安全专项整治。一、20 款 APP 存在不同类型问题需整改（详见附件），请相关 APP 运营企业立即整改，并于 12 月 8 日前提交整改报告。逾期不整改或整改不到位的，我局将依法依规予以处置。

人工的隐私合规检测，因为隐私合规性，这一块内容，需要对照应用本身的业务，隐私政策来解读，单靠机器自动化的检测，内容具有专业性，机器出的报告，客户也不一定能完全解读的了，所以推出这个人工检测来解决客户 APP 的合规问题，主要流程比起自动化模式，机器检测后，会多一个人工复核的这个过程，对应用运行过程中的个人隐私信息获取、权限获取是否规范进行人工研判分析，并结合自动化检测数据，最后是出具人工检测报告。而监测类的服务，主要的应用场景则是对仿冒类应用，盗版应用的监测，帮助开发者及时的发现这些问题 APP。

在介绍 APP 检测之前，先了解一下，一个 APP 的正常的产生流程，APP 是通过源代码，然后通过一系列的编译打包，成一个可以安装的应用程序，装到手机上，那没有加固过的 APP，尤其是安卓的应用，可以比较容易的通过逆向，通过反编译的手段，恢复部分的源代码，这就有可能会暴露一些核心的业务功能，加密算法，甚至直接是一些密钥，密码之类的信息。一旦这些漏洞被非法分子利用，他们将以此为突破口，对 APP 进行逆向、篡改等，进而窃取 APP 信息，比如账号密码、隐私信息，甚至是侵害财产等。

据悉，此次发布的《信息安全技术 关键信息基础设施安全保护要求》将于2023年5月1日正式实施。作为我国第一项关键信息基础设施安全保护的国家标准，标准提出了以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防的关键信息基础设施安全保护3项基本原则，从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置6个方面提出了111条安全要求，为运营者开展关键信息基础设施保护工作需求提供了强有力的标准保障。

用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用

　近期，针对人民群众反映强烈的App以强制、诱导、欺诈等恶意方式违法违规处理个人信息行为，国家网信办依据《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规规定，依法查处“超凡清理管家”等135款违法违规App。

2022年4月15日，《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》发布，将于今年11月1日正式实施，进一步对App收集个人信息的行为提出要求，规范App个人信息收集行为，最大程度地保障个人信息权益。

当前，数字经济正成为重组全球要素资源、重塑全球经济结构、改变全球竞争格局的关键力量，也正成为加速改变人类社会、推动数字文明建设的重要基础。数字经济的关键生产要素是数字化的数据，数字经济治理的核心是数据治理。我国先后出台和实施了《网络安全法》《数据安全法》《个人信息保护法》等重要法律法规，数据治理规则体系开始初步建立。法律法规的颁布同时也引起了国内外各界的广泛关注。

《互联网弹窗信息推送服务管理规定》，是国家互联网信息办公室发布的，针对网络弹窗出现的频次高，违法数量多的情况的管理规定，于 2022 年 9 月 30 日正式施行。《规定》总共十条，条文简短，但影响重大。

保障关键信息基础设施安全是贯彻落实我国《网络安全法》的重点工作，也是《国家安全法》《密码法》《数据安全法》《个人信息保护法》的共同法律要求。作为落实基本法的专门性行政法规，《关键信息基础设施安全保护条例》（以下简称《条例》）已正式施行一周年。

10月9日，全国信息安全标准化技术委员会发布国家标准《信息安全技术 智能手机预装应用程序基本安全要求》（征求意见稿）并向社会公开征求意见。

中华人民共和国网络安全法》第四十一条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。违法违规收集使用个人信息行为认定方法》第三条以下行为可被认定为“未经用户同意收集使用个人信息”第一款：征得用户同意前就开始收集个人信息或打开可收集个人信息的权限。用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用。

近年来，各类个人信息泄露导致的网络电信诈骗案件多发。公安部数据显示，在全国公安机关开展的 “净网2021”专项行动中共侦办侵犯公民个人信息案件9800余起，抓获犯罪嫌疑人1.7万余名。

第二条以下行为可被认定为“未明示收集使用个人信息的目的、方式和范围”第四款：有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。隐私条款中的内容清晰易懂，符合通用的语言习惯，使用标准化的数字、图示等，避免使用有歧义的语言，并且使用适配手机大小的排版格式，防止造成无法阅读的情况。征得用户同意前就开始收集个人信息或打开可收集个人信息的权限。有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解。有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解。有关收集使用规则的内容。

仅依赖系统弹窗但未在向用户申请收集个人信息的权限时告知申请的目的，或未同步告知用户收集使用个人敏感信息的目的；App主动进行权限申请的二次弹窗，但仅重复申请权限而未告知目的，或目的描述不明确，用户无法得知App收集该类个人信息真实目的

作为网络运营者，收集、使用，应当遵循合法、正当、必要的原则，公开收集、使用信息的规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意；采取技术措施和其他必要措施，确保其收集的个人，防止、毁损、丢失；未经被收集者同意，不得向他人提供；对于发生或可能发生的情况，应按规定及时向用户和主管部门报告。

刷单返利类网络诈骗：通过QQ群、微信、短视频平台以及论坛等渠道发布网络刷新兼职广告，并承诺在交易后立即返还本金并获得高额佣金奖励。加好友后，先派发小额刷单任务，并按约返还本金及佣金，待受害人降低戒心后以方便操作为由诱导下载刷单诈骗APP。受害人下载并登录APP后，会有接待员主动联系，并介绍操作流程，派发刷单任务。待受害人完成大额刷单任务后，骗子以系统问题、网络问题等理由拒不返款，拉黑受害人

1.《App 违法违规收集使用个人信息行为认定方法》第二条以下行为可被认定为 “未明示收集使用个人信息的目的、方式和范围” 第二款：收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等。样本 App 的业务功能修改后，隐私条款更新，重新进入 App，未对本次更新中收集使用个人信息的目的、方式和范围发生的变化进行额外的说明，以及未向用户提供自主选择同意的方式。收集使用个人信息的目的、方式、范围发生变化时，是否以适当方式通知用户。

大数据时代，网络发展迅速，逐渐成为当今社会的重要组成部分。但在为人们生活提供便利的同时，也存在一些网络安全问题。下面来了解一下网络安全的现状、常见的网络安全风险、以及我们能做哪些来守护网络安全。

1.《App违法违规收集使用个人信息行为认定方法》第二条以下行为可被认定为“未明示收集使用个人信息的目的、方式和范围”第一款：未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等......

隐私条款中的内容清晰易懂，符合通用的语言习惯，使用标准化的数字、图示等，避免使用有歧义的语言，并且使用适配手机大小的排版格式，防止造成无法阅读的情况。隐私政策文本字号、颜色、行间距、列宽、清晰度等设置造成用户阅读困难，如隐私政策文本字号过小。第一条以下行为可被认定为“未公开收集使用规则” 第四款：隐私政策等收集使用规则难以阅读，，其中的列表样式未适配手机，存在显示异常，判断为属于隐私政策等收集使用规则难以阅读。及第三方代码收集使用个人信息的目的、方式、范围等。隐私政策等收集使用规则是否难以阅读。

从 App 基本信息、App 权限使用信息、App 风险信息、第三方 SDK 信息、App 仿冒信息、App 渠道分布信息、App 开发者信息、App 市场评价信息、同类 App 分析信息等多方面多维度帮助企业监测 APP 应用本身运营数据，多维度统计分析移动应用在各应用渠道的状态、下载量、版本、占有率等，多方位的分析 App 的应用风险、权限调用、三方 SDK 的权限调用风险等，提供综合、权威的分析结果。App 尽职调查报告服务，全渠道、全时段的智能监控、全面分析、安全可靠。......

首次运行或者隐私条款有更新时，应该在启动时主动提示阅读，同时在“个人设置”或者“关于”等页面也设置隐私条款的查看入口，通过点击次数和位置的设置，确保隐私政策易于访问。路径设置过偏，要通过搜索、咨询客服等方式才能访问到；第三款：隐私政策等收集使用规则难以访问，如进入。App隐私政策等收集使用规则是否难以访问。仅在官网、应用商店中展示隐私政策而在。...

首次运行或者隐私条款有更新时，应该在启动时主动提示阅读，建议采取弹窗方式，并在弹窗内展示隐私政策摘要以及全文链接。违法违规收集使用个人信息行为认定方法》第一条以下行为可被认定为“未公开收集使用规则”第二款：在。首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则。首次运行时是否通过弹窗等明显方式提示用户阅读隐私政策。提醒方式包括不限于：主动弹窗，勾选确认阅读提示链接等。提示用户阅读个人信息收集使用规则，视为。隐私政策等收集使用规则是否难以访问。...

中国信息通信研究院政策与经济研究所所长辛勇飞表示，《办法》以实现数据跨境安全、自由流动为重要立法目标之一，明确了安全评估的对象、程序、要求、期限等主要因素，通过法治途径提升产业预期，给予规范指引，有利于数据出境活动的依法有序进行，保障数据安全出境，推动形成数字经济外循环的重要模式和路径。《办法》旨在落实《网络安全法》《数据安全法》《个人信息保护法》的规定，规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，切实以安全保发展、以发展促安全。...

互联网应用方面，当前我国互联网网站及APP的无障碍普及率还比较低。网站及APP在设计之初很少兼顾残疾人的使用习惯与功能需求，存在界面交互复杂、操作不友好、验证码操作困难等问题，后期改造的成本一般较高，企业运营维护这些特殊功能也缺乏积极性。...

数据在当今世界具有鲜明的时代特性，且具有天然的流动优势，在全球化时代，数据随着流动而不断增值。近年来，随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。但是，数据流动本身便意味着风险存在，在促进数据自由流动的同时，也应妥善应对和防范数据出境安全风险，实现数据流动与数据保护的平衡。...

区块链安全、信创安全、业务安全、SDK安全、移动威胁防御、移动应用安全、Web应用防护（WAF）、API安全、网页防篡改、WAF云安全防护。合规检测、渗透测试、动态防御、流量分析、漏洞检测、欺骗式防御/Deception、社会工程学与反钓鱼、威胁检测与响应。大数据反欺诈、大数据风控、态势感知、数据防泄漏、数据脱敏、数据流动。网络监控与可视化分析、安全访问服务边缘（SASE）、下一代防火墙。软件组件安全分析与监测、零信任、身份访问管理、审计。...

网络安全漏洞（Vulnerability，以下简称“漏洞”）是网络空间系统构建的必然结果和客观存在，日益成为全球网络空间安全事件的主要诱因，上至重要系统中潜藏的“零日漏洞”，下至网络上俯拾皆是的历史漏洞，均是全球数字化发展的“阿喀琉斯之踵”，一旦被恶意主体利用攻击，就会对信息系统安全造成损害，进而对国家、社会和公众造成重大损失。...

近日，全国信息安全标准化技术委员会接连发布了《信息安全技术 互联网平台及产品服务隐私协议要求》（征求意见稿）、《信息安全技术 移动智能终端的移动互联网应用程序 (App) 个人信息处理活动管理指南》（征求意见稿）、《信息安全技术 应用商店的App个人信息处理规范性审核与管理指南》（征求意见稿）。...