搜索

[16732] 2021-05-01_App安全合规的思考：监管的重点变化梳理

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-01_App安全合规的思考：监管的重点变化梳理 A p p 安 全 合 规 的 思 考 ： 监 管 的 重 点 变 化 梳 理 原 创   M o e n c h   F r e e B u f   2 0 2 1 - 0 5 - 0 1 前 言 前 言 关 于 A p p 安 全 合 规 的 监 管 要 求 很 多 地 方 都 可 以 找 到 ， 这 里 就 不 一 一 赘 述 了 。 本 文 的 重 点 内 容 是 通 过 对 监 管 机 构 发 出 来 的 通 报 进 行 统 计 。 想 要 看 监 管 走 向 ， 首 先 就 要 了 解 现 在 都 有 哪 些 监 管 机 构 ： A p p 违 法 违 规 收 集 使 用 个 人 信 息 治 理 工 作 组 （ A p p 治 理 小 组 ） 工 业 和 信 息 化 部 信 息 通 信 管 理 局 （ 工 信 部 ） 国 家 移 动 互 联 网 应 用 安 全 管 理 中 心 （ 病 毒 中 心 ） 地 方 通 管 局 （ 如 广 东 省 通 管 局 、 天 津 通 管 局 等 ） 地 方 网 安 （ 主 要 关 注 公 司 所 属 地 的 ， 当 然 也 不 排 除 有 跨 地 域 通 报 的 情 况 呀 ） 可 能 还 有 些 没 提 到 的 ， 欢 迎 大 家 补 充 1   通 报 情 况 通 报 情 况 A p p 治 理 小 组 发 布 的 问 题 详 情 是 监 管 机 构 里 列 举 的 很 清 晰 的 了 ， 所 以 下 文 大 部 分 以 a p p 治 理 小 组 通 报 的 问 题 为 基 础 进 行 统 计 。 1 . 1   基 本 情 况 基 本 情 况 2 0 1 9 - 2 0 2 0 年 ， A p p 治 理 小 组 共 发 布 通 报 3 次 ， 涉 及 应 用 软 件 1 7 个 分 类 共 计 1 7 3 款 ， 实 用 工 具 、 金 融 理 财 、 学 习 教 育 类 的 A p p 占 绝 大 多 数 。 2 0 1 9 年 至 今 ， 工 信 部 共 发 布 1 2 批 次 通 报 ， 涉 及 应 用 软 件 8 1 9 款 。 关 于 问 题 类 型 ， 这 里 引 用 知 乎 上 史 宇 航 发 表 的 一 篇 文 章 的 统 计 ：
注 ： 上 图 来 源 于 知 乎 用 户 发 表 在 知 乎 上 的 文 章 《 对 比 可 视 化 ： A p p 专 项 治 理 工 作 组 检 查 》 。 照 猫 画 虎 把 工 信 部 的 也 列 个 表 1 . 2   现 状 总 结 现 状 总 结
1 .   不 给 权 限 不 让 用 、 违 规 收 集 个 人 信 息 、 违 规 使 用 个 人 信 息 、 超 范 围 收 集 个 人 信 息 依 旧 是 普 遍 存 在 的 问 题 。 问 题 小 项 ： 同 意 隐 私 政 策 前 应 用 自 身 收 集 个 人 信 息 的 情 况 同 意 隐 私 政 策 前 应 用 自 身 收 集 个 人 信 息 的 情 况 （ 1 3 、 1 5 ） 、 同 意 隐 私 政 策 前 第 三 方 同 意 隐 私 政 策 前 第 三 方 S D K 收 集 个 人 信 息 收 集 个 人 信 息 情 况 情 况 （ 1 1 ） 、 因 用 户 不 同 意 某 权 限 而 拒 绝 提 供 业 务 功 能 因 用 户 不 同 意 某 权 限 而 拒 绝 提 供 业 务 功 能 （ 2 6 ） 。 个 人 信 息 收 集 问 题 会 在 “ p a r t 4 个 人 信 息 收 集 方 面 踩 过 的 坑 ” 里 详 细 讲 解 ， 这 里 简 单 说 下 ： 很 多 a p p 的 是 否 可 以 通 过 统 一 收 口 部 门 的 开 发 解 决 、 第 三 方 S D K 可 以 关 注 下 官 网 有 一 些 是 给 出 了 解 决 方 案 的 。 2 .   获 取 敏 感 个 人 信 息 、 敏 感 权 限 时 ， 未 同 步 告 知 其 使 用 目 的 （ 1 、 5 ） 的 问 题 一 直 居 首 位 。 建 议 ： 业 务 认 真 查 找 敏 感 个 人 信 息 收 集 和 敏 感 权 限 获 取 触 发 点 ， 整 理 目 的 并 找 合 规 法 务 角 色 给 出 文 案 。 现 在 部 分 应 用 商 店 就 做 的 很 好 ， 上 传 a p p 时 就 强 制 填 写 权 限 获 取 目 的 并 在 触 发 时 弹 窗 提 示 。 3 .   首 次 运 行 a p p 无 隐 私 弹 窗 、 默 认 隐 私 勾 选 （ 1 6 ） 、 隐 私 政 策 访 问 难 阅 读 难 的 问 题 逐 渐 减 少 了 。 还 需 关 注 的 问 题 ： 即 使 又 弹 窗 登 录 时 的 登 录 即 同 意 登 录 即 同 意 也 不 行 ！ ！ ！ 梳 理 好 所 有 登 录 、 注 册 的 入 口 检 查 是 否 统 一 。 4 .   未 逐 一 列 出 嵌 入 的 第 三 方 S D K 收 集 使 用 个 人 信 息 的 目 的 、 类 型 的 问 题 依 旧 很 多 ， 但 是 目 前 已 经 看 到 很 多 A p p 列 了 第 第 三 方 三 方 S D K 列 表 列 表 ， 并 且 很 多 常 用 的 第 三 方 S D K 也 给 出 了 安 全 合 规 指 南 安 全 合 规 指 南 。 问 题 小 项 ： S D K 梳 理 全 了 吗 ？ 收 集 哪 些 信 息 、 有 什 么 使 用 目 的 是 否 列 全 了 ？
5 .   收 集 某 项 个 人 信 息 的 频 度 超 出 业 务 功 能 实 际 需 要 问 题 （ 2 4 ） 仍 需 要 重 视 ， 此 问 题 可 能 需 要 深 入 测 试 加 上 对 频 度 没 有 一 个 唯 一 的 标 准 ， 所 以 被 检 测 出 来 的 在 少 数 ， 通 过 近 期 发 布 的 个 人 信 息 安 全 测 评 规 范 征 求 意 见 稿 中 也 对 A p p 在 不 同 场 景 下 收 集 个 人 信 息 的 频 率 着 重 强 调 ， 并 且 给 了 部 分 参 考 。 6 .   A p p 通 过 欺 诈 、 诱 骗 、 误 导 方 式 收 集 个 人 信 息 在 上 边 两 个 图 中 也 是 存 在 的 ， 但 猜 测 人 工 成 本 比 较 高 可 能 命 中 率 没 有 那 么 高 ， 但 是 在 个 人 信 息 安 全 测 评 规 范 征 求 意 见 稿 也 用 一 页 的 附 录 进 行 上 述 行 为 的 举 例 ， 可 以 看 出 此 项 也 可 能 是 后 续 检 查 的 方 向 。 1 . 3   其 他 猜 测 其 他 猜 测 除 了 上 述 监 管 机 构 的 检 查 项 ， 猜 测 可 能 后 续 检 查 重 点 还 可 能 包 括 以 下 问 题 ： 静 默 权 限 / 个 人 信 息 获 取 问 题 A p p 个 人 信 息 获 取 使 用 问 题 数 据 接 口 安 全 问 题 （ 如 数 据 冗 余 、 前 端 “ 脱 敏 ” 等 ) 2   有 意 思 的 不 合 规 理 由 有 意 思 的 不 合 规 理 由 ( 千 万 不 要 存 在 侥 幸 心 理 千 万 不 要 存 在 侥 幸 心 理 ) a p p 治 理 小 组 查 的 真 的 很 细 致 ， 给 大 家 分 享 一 些 检 测 出 来 的 不 合 规 理 由 ， 有 一 些 都 不 知 道 是 怎 么 查 到 的 ， 也 欢 迎 大 家 讨 论 。 未 提 供 有 效 的 注 销 用 户 账 号 功 能 ： 根 据 所 提 供 的 注 销 方 式 ， 向 官 方 邮 箱 发 送 邮 件 进 行 注 销 ， 超 过 1 5 日 未 收 到 回 复 。 （ 要 有 人 定 期 查 看 啊 ） 收 集 使 用 个 人 信 息 的 目 的 、 方 式 和 范 围 发 生 变 化 时 ， 未 以 更 新 隐 私 政 策 等 方 式 通 知 用 户 ： 更 新 后 新 增 了 定 制 化 课 单 功 能 ， 将 收 集 用 户 的 课 程 记 录 ， 但 未 以 任 何 方 式 告 知 用 户 。 （ 这 个 真 是 不 知 道 怎 么 被 查 到 的 ） 征 得 用 户 同 意 前 就 开 始 收 集 用 户 的 网 页 点 击 记 录 ； 未 提 供 有 效 的 更 正 、 删 除 个 人 信 息 及 注 销 用 户 账 号 功 能 ： 向 隐 私 政 策 中 说 明 的 个 人 信 息 保 护 邮 箱 发 送 邮 件 ， 直 接 被 系 统 退 信 ； （ 留 的 联 系 方 式 要 自 测 下 是 否 可 以 跑 的 通 ） 为 注 销 用 户 账 号 设 置 不 合 理 条 件 ： 需 提 交 用 户 联 系 方 式 、 注 册 时 间 、 注 册 所 在 地 、 登 录 过 的 设 备 型 号 、 充 值 证 明 等 信 息 ， 才 允 许 注 销 ； 用 户 撤 销 位 置 权 限 授 权 ， 明 确 表 示 不 同 意 收 集 该 类 个 人 信 息 后 ， 仍 通 过 其 他 途 径 收 集 用 户 地 理 位 置 等 个 人 信 息 并 发 送 至 第 三 方 服 务 器 ；
未 建 立 并 公 布 有 效 的 个 人 信 息 安 全 投 诉 、 举 报 渠 道 ： 在 线 反 馈 问 题 显 示 “ 客 服 不 在 线 ， 系 统 将 自 动 断 开 会 话 ” 的 提 示 信 息 ； 每 隔 1 5 分 钟 拨 打 客 服 电 话 ， 均 提 示 “ 坐 席 忙 ， 继 续 等 待 请 按 1 ， 结 束 请 挂 机 ” 。 精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理