GB/T 42884-2023信息安全技術移動互聯網應用程序(App)生命周期安全管理指南

ICS35030

CCSL.80

中華人民共和國國家標準

GB/T42884—2023

信息安全技術移動互聯網應用程序App

()

生命周期安全管理指南

Informationsecuritytechnology—Guidelinesforlifecyclesecuritymanagement

ofmobileInternetalicationsA

pp(pp)

2023-08-06發(fā)布2024-03-01實施

國家市場監(jiān)督管理總局發(fā)布

國家標準化管理委員會

GB/T42884—2023

目次

前言

…………………………Ⅲ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術語和定義

3………………1

縮略語

4……………………2

概述

5………………………2

存在的安全問題

5.1App………………2

生命周期安全管理

5.2App……………2

生命周期階段管理過程

6…………………3

需求分析階段

6.1………………………3

開發(fā)設計階段

6.2………………………4

測試驗證階段

6.3………………………5

上架發(fā)布階段

6.4………………………6

安裝運行階段

6.5………………………7

更新維護階段

6.6………………………7

終止運營階段

6.7………………………8

其他安全支持過程

6.8…………………8

風險監(jiān)測管理過程

7………………………9

風險數據管理

7.1………………………9

安全漏洞管理

7.2………………………10

附錄資料性存在的安全問題分類及描述

A()App……………………13

惡意程序的分類及描述

A.1…………13

個人信息風險的分類及描述

A.2……………………13

應用行為風險的分類及描述

A.3……………………14

安全漏洞的分類及描述

A.4…………15

附錄資料性存在的安全問題與安全管理活動的應對關系

B()App…………………16

附錄資料性安全開發(fā)

C()………………17

程序安全

C.1……………17

安全保障

C.2……………20

參考文獻

……………………21

Ⅰ

GB/T42884—2023

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

請注意本文件的某些內容可能涉及專利本文件的發(fā)布機構不承擔識別專利的責任

。。

本文件由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本文件起草單位武漢安天信息技術有限責任公司北京賽西科技發(fā)展有限責任公司中國信息通

:、、

信研究院華為技術有限公司維沃移動通信有限公司三六零科技集團有限公司廣東移動通

、、、、OPPO

信有限公司北京小米移動軟件有限公司公安部第三研究所國家計算機病毒應急處理中心中國軟件

、、、、

評測中心國家計算機網絡應急技術處理協(xié)調中心中國科學院信息工程研究所啟明星辰信息技術集

、、、

團股份有限公司聯想北京有限公司美的集團股份有限公司海信集團控股股份有限公司螞蟻科技

、()、、、

集團股份有限公司南方電網數字電網研究院有限公司北京智游網安科技有限公司杭州安恒信息技

、、、

術股份有限公司北京指掌易科技有限公司北京百度網訊科技有限公司北京版信通技術有限公司北

、、、、

京快手科技有限公司陜西省信息化工程研究院北京梆梆安全科技有限公司

、、。

本文件主要起草人潘宣辰許玉娜陳誠王淞鶴袁中舉成明江姚一楠李騰陸偉陳家林

:、、、、、、、、、、

張艷田原劉彥蔡一鳴秦曉磊何能強盧志剛余麗娜孫海燕史景李汝鑫楊坤張淯易王昕

、、、、、、、、、、、、、、

白曉媛母天石韓云李獻振李彪唐佳偉董宏潘正泰方寧衣強杜丹賈科落紅衛(wèi)楊明慧

、、、、、、、、、、、、、、

徐祥智畢凱峰

、。

Ⅲ

GB/T42884—2023

信息安全技術移動互聯網應用程序App

()

生命周期安全管理指南

1范圍

本文件提供了移動互聯網應用程序生命周期階段管理過程和風險監(jiān)測管理過程的安全管理

(App)

指南

。

本文件適用于提供者對的開發(fā)運營等生命周期安全管理分發(fā)平臺管理者和移動

AppApp、,App

智能終端廠商等參考使用

。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對應的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息安全技術術語

GB/T25069—2022

信息安全技術網絡安全漏洞標識與描述規(guī)范

GB/T28458—2020

信息安全技術應用軟件安全編程指南

GB/T38674—2020

信息安全技術移動智能終端安全技術要求及測試評價方法

GB/T39720—2020

信息安全技術移動互聯網應用程序收集個人信息基本要求

GB/T41391—2022(App)

3術語和定義

和界定的以及

GB/T25069—2022、GB/T38674—2020、GB/T39720—2020GB/T41391—2022

下列術語和定義適用于本文件

。

31

.

移動智能終端smartmobilet