关于App安然风险治理“国家标准”业界这样解读

前不久，由安天移动安全牵头体例的GB/T 42884-2023《信息安全技能 移动互联网运用程序（App）生命周期安全管理指南》国家标准（以下简称“《指南》”）正式发布，就《指南》出台的背景意义、技能内容、运用群体、如何贯彻落实等问题，采访了安天移动安全CEO陈家林。

：《指南》订定的背景和紧张考虑是什么？

陈家林：首先，我们要明确一点，国标的制订离不开行业现状，以及政策、法规和技能的支持。

当前，我国移动互联网发展呈现三大特点与趋势：用户基数弘大、App背后是弘大的用户隐私数据、App供应者安全意识弱导致埋下安全隐患。
与此同时，《网络安全法》《个人信息保护法》《移动互联网运用程序信息做事管理规定》《电信和互联网用户个人信息保护规定》等干系政策法规的相继出台，也对网络安全和个人隐私安全保护提出了更高哀求。

基于上述背景，2020年10月，体例组在武汉召开项目启动会；12月在北京召开专家研讨会，确定了标准的框架、编写思路和解决问题；2021年4月，本标准在国标委正式批准立项。

：正式发布履行的《指南》包含哪些核心内容？

陈家林：《指南》从安全威胁视角出发，提出了生命周期七个阶段安全管理哀求和风险监测管理哀求。
这里我们考虑的安全威胁包括：App恶意程序、App个人信息风险、App运用行为风险、App安全漏洞四个方面。

而App生命周期七个阶段则包括：需求剖析、开拓设计、测试验证、上架发布、安装运行、更新掩护和终止运营。
这七个阶段是我们与手机厂商、运用商店厂商等一起谈论总结的最佳实践。
它与传统的互联网运用程序的紧张差异是多了上架发布审核和安装运行检测等干系活动。

而针对各种安全问题的角度来讲的风险监测管理过程，则包括对个人信息风险、运用行为风险和安全漏洞进行监测、创造和处理。
个中风险数据管理紧张通过技能平台来实现安全，安全漏洞管理紧张通过流程制度来实现安全。

：《指南》的发布将对我国移动互联网运用行业带来什么积极浸染？

陈家林：安全是互联网运用的基石，《指南》的发布将用于辅导移动互联网运用程序（App）的供应者和运营者建立康健生命周期管理机制，提高移动互联网运用程序（App）的安全防护能力，知足运用程序安全、个人隐私保护和数据合规等方面的需求。
从而为移动互联网运用厂商的安全能力构建供应建议，从App源头保障运用安全，节省安全本钱。

：《指南》的运用群体是哪些？能为他们供应什么技能辅导？

陈家林：《指南》的运用群体是App供应者、App分发平台管理者、移动智能终端厂商，各方可根据自身定位来确定干系需求。
例如，App供应者可参考本标准，履行对App开拓、运营等生命周期的安全管理，在移动互联网运用程序的源头引入安全防护，降落安全本钱。

：当下的移动运用生态存在哪些安全问题？针对这些问题，《指南》在辅导和规范干系行业的过程中有哪些关键技能手段，有何运用？

陈家林：伴随着App运用的兴起，App也面临着诸多安全风险，例如恶意程序、安全漏洞、隐私透露等。
根据工信部发布的《2022年上半年全国移动互联网运用安全报告》的统计数据来看，“泼皮行为”类占恶意程序的87.05%；Janus漏洞占比56.04%；违规网络个人信息的风险占比27.35%。
虽然每种安全问题的特点各不相同。
例如恶意程序的攻击危害大，安全漏洞的挖掘难度大，隐私透露和运用行为风险在运用程序中的表现形式多样，但都会给用户带来困扰。

针对上述问题，《指南》在辅导和规范干系行业的过程中运用了4大关键技能：运用漏洞扫描技能、运用病毒检测技能、运用行为风险检测技能、个人信息风险检测技能。
个中，根据《指南》提出的辅导App供应者规范性地履行App开拓、运营等生命周期安全管理哀求，安天移动安全为帮助App供应者快速、精准定位违规问题，提前识别产品存在的合规风险，并供应完善的整改建议及方案，专门开拓了违规预警平台。

：对《指南》顺利履行有何建议？利用中该当把稳哪些问题？

陈家林：安天移动安全十余年来始终立足于移动网络安全风险研究，持续关注移动智能终真个安全态势，在不良运用程序安全管理事情上有一定的技能上风和专长。
作为这次《指南》的牵头体例单位，对付其接下来顺利履行这一问题，我们团队有三个方面的建议，即进一步推广标准宣贯和运用、加快推进标准符合性评估认证事情、加快App安全检测干系技能和检测工具研发。

与此同时，《指南》利用中，还该当把稳以下四个方面的问题：一是通过多种形式、多个方面运用标准，协同实现App生命周期安全；二是技管结合，从App恶意程序检测、App运用行为风险检测、App安全漏洞检讨、App个人信息风险检讨、针对App厂商的安全管理检讨五个方面验证标准符合性；三是示范效应，即通过模范企业带头浸染，形成标准落地运用示范，便于其他企业直接从工程实现角度参考，同时鼓励模范企业带头落地运用标准的积极性；四是建立标准化事情常态机制，标准组织单位应进一步加强该标准的宣贯力度，体例配套的解读解释性材料，举办相应的标准培训，扩大受众面，让更多的企业和用户理解该标准。

（光明网 雷渺鑫）

来源： 光明网