中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)

PAGE5PAGE1中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序安全監(jiān)測(cè)指標(biāo)及評(píng)價(jià)指南（征求意見稿）》編制說明一、工作簡(jiǎn)況1、任務(wù)來源本標(biāo)準(zhǔn)工作基礎(chǔ)最初來源于國(guó)家衛(wèi)生健康委員會(huì)發(fā)布的《關(guān)于加快推進(jìn)電子健康卡普及應(yīng)用工作的意見》（國(guó)衛(wèi)辦規(guī)劃發(fā)〔2018〕34號(hào)），開展互聯(lián)網(wǎng)醫(yī)療健康服務(wù)應(yīng)用軟件（包括App、公眾號(hào)、小程序、其它服務(wù)號(hào)等）接入電子健康卡的專項(xiàng)治理工作，降低移動(dòng)互聯(lián)網(wǎng)應(yīng)用在運(yùn)行過程中的安全風(fēng)險(xiǎn)。并依托于同年12月中國(guó)人民銀行、發(fā)改委、科技部、工信部、人社部、衛(wèi)健委六部委聯(lián)合批復(fù)的金融科技應(yīng)用試點(diǎn)工作“移動(dòng)互聯(lián)網(wǎng)醫(yī)療與金融應(yīng)用風(fēng)險(xiǎn)聯(lián)防聯(lián)控實(shí)踐”項(xiàng)目，移動(dòng)互聯(lián)網(wǎng)醫(yī)療安全風(fēng)險(xiǎn)防控體系從管理機(jī)制和技術(shù)平臺(tái)實(shí)現(xiàn)兩方面展開了研究和落地。本標(biāo)準(zhǔn)的制定計(jì)劃由中國(guó)信息產(chǎn)業(yè)商會(huì)健康科技分會(huì)提出，經(jīng)中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)委員會(huì)批準(zhǔn)，正式列入中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)委員會(huì)2021年第二批標(biāo)準(zhǔn)制訂立項(xiàng)計(jì)劃（中信商【2021】標(biāo)12號(hào)），計(jì)劃號(hào)為CIITA403-2021，標(biāo)準(zhǔn)名稱為移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序安全監(jiān)測(cè)指標(biāo)及評(píng)價(jià)指南，計(jì)劃完成時(shí)間2022年8月。主要工作過程2.1前期策劃2018年9月，在國(guó)家居民健康卡注冊(cè)管理中心指導(dǎo)下，由中國(guó)軟件評(píng)測(cè)中心（工業(yè)和信息化部軟件與集成電路促進(jìn)中心）、北京智游網(wǎng)安科技有限公司、北京知道創(chuàng)宇信息技術(shù)股份有限公司建設(shè)了移動(dòng)互聯(lián)網(wǎng)醫(yī)療應(yīng)用安全運(yùn)行監(jiān)測(cè)平臺(tái)，作為電子健康卡的專項(xiàng)治理工作技術(shù)支撐，初步形成于滿足電子健康卡安全監(jiān)管的移動(dòng)互聯(lián)網(wǎng)醫(yī)療應(yīng)用安全監(jiān)測(cè)體系。2019年10月正式開展金融科技應(yīng)用試點(diǎn)工作“移動(dòng)互聯(lián)網(wǎng)醫(yī)療與金融應(yīng)用風(fēng)險(xiǎn)聯(lián)防聯(lián)控實(shí)踐”項(xiàng)目，并在9家應(yīng)用試點(diǎn)驗(yàn)證單位共19款A(yù)pp和微信公眾號(hào)進(jìn)行安全風(fēng)險(xiǎn)監(jiān)測(cè)，實(shí)現(xiàn)了在金融與醫(yī)療融合領(lǐng)域的移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序安全監(jiān)測(cè)指標(biāo)及評(píng)價(jià)指南初步落地實(shí)踐。2.2提案立項(xiàng)2021年5月，由中國(guó)軟件評(píng)測(cè)中心（工業(yè)和信息化部軟件與集成電路促進(jìn)中心）展開編制本標(biāo)準(zhǔn)的可行性討論，通過分析，目前國(guó)內(nèi)外均沒有針對(duì)移動(dòng)互聯(lián)網(wǎng)醫(yī)療應(yīng)用安全監(jiān)測(cè)的標(biāo)準(zhǔn)體系，此項(xiàng)標(biāo)準(zhǔn)的建立將能為政府管理層和移動(dòng)互聯(lián)網(wǎng)應(yīng)用運(yùn)營(yíng)單位及管理部門對(duì)于移動(dòng)互聯(lián)網(wǎng)應(yīng)用監(jiān)測(cè)提供技術(shù)支撐和標(biāo)準(zhǔn)依據(jù)，因此決定開始立項(xiàng)。同時(shí)考慮到在前期策劃方面的工作基礎(chǔ)以及北京智游網(wǎng)安科技有限公司和北京知道創(chuàng)宇信息技術(shù)股份有限公司在移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全領(lǐng)域的優(yōu)勢(shì)，聯(lián)合這些機(jī)構(gòu)加入編制組。2021年6月，完成立項(xiàng)書初稿并展開討論會(huì)。2021年7月，將立項(xiàng)書提交至中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)委員會(huì)，正式列入中國(guó)信息產(chǎn)業(yè)商會(huì)團(tuán)體標(biāo)準(zhǔn)委員會(huì)2021年第二批標(biāo)準(zhǔn)制訂立項(xiàng)計(jì)劃。2.3組織起草立項(xiàng)書提交同步開展起草工作，起草組由各參編單位的技術(shù)負(fù)責(zé)人、專業(yè)標(biāo)準(zhǔn)化工程師及相關(guān)技術(shù)人員組成，并成立了由衛(wèi)健委的技術(shù)專家組建的內(nèi)審組，邀請(qǐng)行業(yè)專家初步評(píng)審。根據(jù)立項(xiàng)反饋意見，起草組及時(shí)召開工作會(huì)議，補(bǔ)充相關(guān)計(jì)劃，細(xì)化范圍，組織召開標(biāo)準(zhǔn)編制啟動(dòng)會(huì)，確立參編職責(zé)，開展資料收集分析，2021年8月初完成標(biāo)準(zhǔn)初稿，并與內(nèi)審組召開7次工作組討論會(huì)，于2021年9月底形成征求意見稿V1.0。2022年4月20日，標(biāo)準(zhǔn)編制工作組針對(duì)專家提出的意見與專家進(jìn)行了線上討論，并在4月24日工作組根據(jù)討論結(jié)果對(duì)部分反饋意見進(jìn)行了修改，形成了征求意見稿V2.0。2022年4月28日，工作組召開線上會(huì)議與專家再次就新的反饋意見進(jìn)行溝通，并于5月10日對(duì)專家提出的意見進(jìn)行了修改，形成了征求意見稿V3.0。2022年5月16日，專家對(duì)征求意見稿V3.0反饋了相關(guān)意見，工作組內(nèi)部進(jìn)行討論，決定對(duì)標(biāo)準(zhǔn)的名稱進(jìn)行了修改，修訂為《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序安全監(jiān)測(cè)指標(biāo)及評(píng)價(jià)指南》，同時(shí)對(duì)其他意見進(jìn)行了修改，完成征求意見稿V4.0。2022年5月30日，對(duì)標(biāo)準(zhǔn)英文表述、術(shù)語(yǔ)定義、ICS號(hào)等進(jìn)行細(xì)節(jié)探討，完成征求意見稿V5.0。3、主要成員單位及所做工作本標(biāo)準(zhǔn)主編單位為中國(guó)軟件評(píng)測(cè)中心（工業(yè)和信息化部軟件與集成電路促進(jìn)中心），參編單位為北京智游網(wǎng)安科技有限公司、北京知道創(chuàng)宇信息技術(shù)股份有限公司、騰訊云計(jì)算(北京)有限責(zé)任公司、國(guó)家信息技術(shù)安全研究中心、北京醫(yī)慧科技有限公司、中電科（北京）信息測(cè)評(píng)認(rèn)證有限公司。其中中國(guó)軟件評(píng)測(cè)中心（工業(yè)和信息化部軟件與集成電路促進(jìn)中心）負(fù)責(zé)本標(biāo)準(zhǔn)編制的全面統(tǒng)籌、協(xié)調(diào)工作，以及立項(xiàng)的報(bào)批工作；北京智游網(wǎng)安科技有限公司和北京醫(yī)慧科技有限公司負(fù)責(zé)移動(dòng)APP的監(jiān)測(cè)技術(shù)指標(biāo)制定工作，北京知道創(chuàng)宇信息技術(shù)股份有限公司負(fù)責(zé)微信公眾號(hào)的監(jiān)測(cè)技術(shù)指標(biāo)制定工作，騰訊云計(jì)算(北京)有限責(zé)任公司負(fù)責(zé)微信小程序的監(jiān)測(cè)技術(shù)指標(biāo)制定工作，國(guó)家信息技術(shù)安全研究中心和中電科（北京）信息測(cè)評(píng)認(rèn)證有限公司負(fù)責(zé)監(jiān)測(cè)技術(shù)指標(biāo)框架制定工作。二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問題1、編制原則本標(biāo)準(zhǔn)的制定充分考慮多個(gè)重要行業(yè)的最新監(jiān)管要求和移動(dòng)互聯(lián)網(wǎng)應(yīng)用的技術(shù)要求，認(rèn)真分析并識(shí)別了移動(dòng)互聯(lián)網(wǎng)應(yīng)用所面臨的安全風(fēng)險(xiǎn)，從安全風(fēng)險(xiǎn)監(jiān)測(cè)和評(píng)價(jià)出發(fā)，選擇通用性和能落地的規(guī)范性要素，制定本標(biāo)準(zhǔn)。具體的編制原則如下：1.1合法和合規(guī)性符合國(guó)家有關(guān)法律法規(guī)和已有標(biāo)準(zhǔn)規(guī)范的相關(guān)要求。1.2通用性和實(shí)用性本標(biāo)準(zhǔn)主要面向重要行業(yè)的移動(dòng)互聯(lián)網(wǎng)應(yīng)用，考慮能適用于多個(gè)重要行業(yè)，并能兼顧能實(shí)現(xiàn)在各個(gè)行業(yè)的落地，實(shí)現(xiàn)本標(biāo)準(zhǔn)向行業(yè)推廣應(yīng)用。1.3可操作性本標(biāo)準(zhǔn)通過充分的前期調(diào)研，收集了大量的技術(shù)資料與相關(guān)標(biāo)準(zhǔn)，與現(xiàn)行法規(guī)與標(biāo)準(zhǔn)均不沖突，宜于應(yīng)用。1.4科學(xué)性本標(biāo)準(zhǔn)充分考慮移動(dòng)互聯(lián)網(wǎng)應(yīng)用的各個(gè)形態(tài)，并收集多個(gè)重點(diǎn)行業(yè)移動(dòng)互聯(lián)網(wǎng)應(yīng)用的技術(shù)標(biāo)準(zhǔn)，抽取并進(jìn)行重新組織后實(shí)現(xiàn)可科學(xué)的、實(shí)際可行能用于監(jiān)測(cè)的技術(shù)指標(biāo)體系。2、確定主要內(nèi)容的依據(jù)本標(biāo)準(zhǔn)為首次制定，是在衛(wèi)生健康行業(yè)和金融行業(yè)成功進(jìn)行多家機(jī)構(gòu)進(jìn)行試點(diǎn)驗(yàn)證后確定的。本標(biāo)準(zhǔn)主要依據(jù)《GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范》、《GB/T41391信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（APP）收集個(gè)人信息基本要求》，參考《GB/T34978-2017信息安全技術(shù)移動(dòng)智能終端個(gè)人信息保護(hù)技術(shù)要求》、《GB/T35281-2017信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用服務(wù)器安全技術(shù)要求》和《GB/T34975-2017信息安全技術(shù)移動(dòng)智能終端應(yīng)用軟件安全技術(shù)要求和測(cè)試評(píng)價(jià)方法》等國(guó)家標(biāo)準(zhǔn)，以及《電子健康卡建設(shè)與管理指南》和《中國(guó)人民銀行關(guān)于發(fā)布金融行業(yè)標(biāo)準(zhǔn)加強(qiáng)移動(dòng)金融客戶端應(yīng)用軟件安全管理的通知》等應(yīng)用的重要行業(yè)的監(jiān)管要求，來制定監(jiān)測(cè)技術(shù)指標(biāo)和評(píng)價(jià)方法。編制過程中解決的主要問題本標(biāo)準(zhǔn)為保證移動(dòng)互聯(lián)網(wǎng)應(yīng)用在公眾使用時(shí)的安全性和合規(guī)性，參考國(guó)內(nèi)外相關(guān)政策要求和標(biāo)準(zhǔn)規(guī)范，并通過研究分析移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全風(fēng)險(xiǎn)，建立移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全風(fēng)險(xiǎn)監(jiān)測(cè)指標(biāo)體系。該指標(biāo)體系為政府管理層的移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全態(tài)勢(shì)判斷和宏觀決策提供支持；為各移動(dòng)互聯(lián)網(wǎng)應(yīng)用運(yùn)營(yíng)單位及管理部門的信息安全管理工作提供參考，為評(píng)估機(jī)構(gòu)展開安全風(fēng)險(xiǎn)評(píng)價(jià)提供指導(dǎo)。三、主要試驗(yàn)[或驗(yàn)證]情況分析不涉及。四、知識(shí)產(chǎn)權(quán)情況說明本標(biāo)準(zhǔn)不涉及知識(shí)產(chǎn)權(quán)問題。五、產(chǎn)業(yè)化情況、推廣應(yīng)用論證和預(yù)期達(dá)到的經(jīng)濟(jì)效果1、產(chǎn)業(yè)化情況隨著5G的持續(xù)推進(jìn)和移動(dòng)智能終端設(shè)備的深化應(yīng)用，越來越多的生活服務(wù)類數(shù)據(jù)通過移動(dòng)應(yīng)用涌入移動(dòng)互聯(lián)網(wǎng)，數(shù)據(jù)規(guī)模越來越大，移動(dòng)應(yīng)用軟件供應(yīng)鏈也出現(xiàn)了長(zhǎng)足的增長(zhǎng)態(tài)勢(shì)。然而，隨著移動(dòng)互聯(lián)網(wǎng)的深化應(yīng)用，越來越多的重要數(shù)據(jù)和隱私信息通過移動(dòng)互聯(lián)網(wǎng)進(jìn)行傳輸，應(yīng)用過程中風(fēng)險(xiǎn)和安全問題主要來自互聯(lián)網(wǎng)黑客頻繁侵襲、系統(tǒng)漏洞、病毒木馬攻擊、用戶信息泄露、用戶安全意識(shí)薄弱等。為了應(yīng)對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用存在的種種安全風(fēng)險(xiǎn)，為保護(hù)公民、法人和其他組織的合法權(quán)益，在國(guó)家層面陸續(xù)發(fā)布了一系列的安全政策。面對(duì)國(guó)家在移動(dòng)互聯(lián)網(wǎng)應(yīng)用方面的監(jiān)管要求，各級(jí)監(jiān)管機(jī)構(gòu)都在積極探討和嘗試移動(dòng)互聯(lián)網(wǎng)應(yīng)用監(jiān)管、監(jiān)控解決方案。同時(shí)，在移動(dòng)互聯(lián)網(wǎng)應(yīng)用方面，衛(wèi)健委、工信部和中國(guó)人民銀行等相關(guān)部門已意識(shí)到移動(dòng)終端在各行業(yè)領(lǐng)域?qū)?huì)大范圍應(yīng)用的需求，一旦出現(xiàn)安全問題就會(huì)導(dǎo)致危害范圍和程度不斷擴(kuò)大的風(fēng)險(xiǎn)。從國(guó)際上來看，尚未有對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全管理標(biāo)準(zhǔn)?？偟膩碚f，目前國(guó)內(nèi)對(duì)于移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全專門制定了一些國(guó)家標(biāo)準(zhǔn)，在重點(diǎn)行業(yè)各監(jiān)管部門制定了移動(dòng)客戶端應(yīng)用軟件安全管理標(biāo)準(zhǔn)，但國(guó)內(nèi)國(guó)外都沒有專門標(biāo)準(zhǔn)用于移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全風(fēng)險(xiǎn)監(jiān)測(cè)和評(píng)價(jià)的標(biāo)準(zhǔn)。本項(xiàng)目主要從這方面出發(fā)提出適用于重點(diǎn)行業(yè)的移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全風(fēng)險(xiǎn)監(jiān)測(cè)和評(píng)價(jià)標(biāo)準(zhǔn)，滿足監(jiān)管機(jī)構(gòu)對(duì)于行業(yè)移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全治理需求、行業(yè)運(yùn)營(yíng)者運(yùn)營(yíng)安全需求、檢測(cè)認(rèn)證機(jī)構(gòu)評(píng)價(jià)需求。標(biāo)準(zhǔn)推廣應(yīng)用積極采取措施支撐監(jiān)管部門擴(kuò)大試點(diǎn)驗(yàn)證，開展最佳實(shí)踐應(yīng)用場(chǎng)景研究分析，加強(qiáng)標(biāo)準(zhǔn)宣貫，促進(jìn)行業(yè)推廣應(yīng)用和落地，為監(jiān)管部門提供決策支撐。標(biāo)準(zhǔn)應(yīng)用的預(yù)期效果本標(biāo)準(zhǔn)的落地實(shí)施能為政府管理層的移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全態(tài)勢(shì)判斷和宏觀決策提供支持；為各移動(dòng)互聯(lián)網(wǎng)應(yīng)用運(yùn)營(yíng)單位及管理部門的信息安全管理工作提供參考，為評(píng)估機(jī)構(gòu)展開安全風(fēng)險(xiǎn)評(píng)價(jià)提供指導(dǎo)。六、采用國(guó)際標(biāo)準(zhǔn)和國(guó)外先進(jìn)標(biāo)準(zhǔn)情況從國(guó)際上來看，尚未有對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全管理標(biāo)準(zhǔn)。七、與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及相關(guān)標(biāo)準(zhǔn)的協(xié)調(diào)性本技術(shù)指南遵守中華人民共和國(guó)現(xiàn)行的法律和法規(guī)，包括中華人民共和國(guó)網(wǎng)絡(luò)安全法、中華人民共和國(guó)電子簽名法、商用密碼管理?xiàng)l例和個(gè)人信息保護(hù)法。以及行業(yè)管理規(guī)定《電子健康卡建設(shè)與管理指南》。本標(biāo)準(zhǔn)主要依據(jù)《GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范》、《GB/T41391信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（APP）收集個(gè)人信息基本要求》，參考《GB/T34978-2017信息安全技術(shù)移動(dòng)智能終端個(gè)人信息保護(hù)技術(shù)要求》、《GB/T35281-2017信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用服務(wù)器安全技術(shù)要求》和《GB/T34975-2017信息安全技術(shù)移動(dòng)智能終端應(yīng)用軟件安全技術(shù)要求和測(cè)試評(píng)價(jià)方法》等國(guó)家標(biāo)準(zhǔn)，以及《電子健康卡建設(shè)與管理指南》和《中國(guó)人民銀行關(guān)于發(fā)布金融行業(yè)標(biāo)準(zhǔn)加強(qiáng)移動(dòng)金融客戶端應(yīng)用軟件安全