信息安全技術(shù) 移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范-編制說明

工作簡況任務(wù)來源隨著移動應(yīng)用的快速發(fā)展，因我國尚未建立起有效、完備的移動應(yīng)用安全檢測評價體系，存在檢測評價體系不統(tǒng)一、檢測評價的內(nèi)容不完備、檢測評價流程待完善等安全問題。故此，2015年7月國家信息技術(shù)安全研究中心開始著手制定《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》標準,以此來規(guī)范移動應(yīng)用網(wǎng)絡(luò)安全評價要求、規(guī)范移動應(yīng)用網(wǎng)絡(luò)安全評價結(jié)果、提示各類移動應(yīng)用存在的風險以及提供對移動應(yīng)用進行網(wǎng)絡(luò)安全評價的參考流程和方法。協(xié)作單位《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》標準任務(wù)下達后，國家信息技術(shù)安全研究中心立即與移動應(yīng)用安全廠商和相關(guān)研究機構(gòu)進行聯(lián)系與溝通，最后確定由中國信息通信研究院泰爾實驗室、北京洋浦偉業(yè)科技發(fā)展有限公司、深圳開源互聯(lián)網(wǎng)安全技術(shù)有限公司等單位作為標準編制協(xié)作單位。主要工作過程成立編制組2015年接到標編制任務(wù)后，立即組建標準編制組，開始標準草案的起草工作。編制項目組主要成員：李京春、李冰、萬仁忠、王宏、李健、李蒙、紀崇廉、于園園、楊正軍、董霽、闞志剛、胡波、劉一鳴、陳彪、萬振華、夏天澤等；標準編制協(xié)作單位的高級技術(shù)人員共同參與標準的內(nèi)容編制與研討。制定工作計劃編制組首先制訂了編制工作計劃，并確定了編制組人員例會安排以便及時溝通交流工作情況。參考資料該標準編制過程中，主要參考了：GB/T25069-2010信息安全技術(shù)術(shù)語GB/T18336-2015信息技術(shù)安全技術(shù)信息技術(shù)安全性評價準則GB/Z28828-2012信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南YD/T2407-2013移動智能終端安全能力技術(shù)要求OWASPMobileTOP10RisksNISTSP800-163確定編制內(nèi)容經(jīng)編制組研究決定，以GB/T18336-2015信息技術(shù)安全技術(shù)信息技術(shù)安全性評價準則、NISTSP800-163為主要參考依據(jù)，完成《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》標準的編制工作。編制工作簡要過程按照項目進度，編制組人員首先對所參閱的文獻、標準等資料進行整理和閱讀，編寫標準編制提綱，并在對提綱進行修改完善的基礎(chǔ)上，開始具體的編制工作。2015年8月開始對已有相關(guān)法律法規(guī)、政策、標準等文件進行研究，總結(jié)國內(nèi)外現(xiàn)有的移動應(yīng)用安全檢測評價規(guī)范及經(jīng)驗，并開始編寫《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》草案（第一版）。2016年6月，在國家信息技術(shù)安全研究中心召開了組內(nèi)討論會議，會議上編制組成員對標準進行了討論，提出了新的意見和建議，會后編制組成員討論制定下一階段工作計劃，確定了標準框架、內(nèi)容、組織形式，期間形成《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》草案（第二版）。2016年9月，在國家信息技術(shù)安全研究中心召開了專家評審會，會上征求了崔書昆、肖京華、上官曉麗、李嵩、劉蓓等專家的意見和建議后，對標準整體框架進行調(diào)整，明確了標準面向?qū)ο蠛头秶瑫蟾鶕?jù)專家意見，由標準編制組編寫形成《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》草案（第三版）。2017年2月，在國家信息技術(shù)安全研究中心召開了組內(nèi)討論會議，會上收集意見，根據(jù)意見，會后形成《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》草案（第四版）。2017年4月，在武漢參加了全國信息安全標準化技術(shù)委員2017年第一次會議周會議（WG5工作組），會上與會專家對標準名稱、內(nèi)容提供了意見參考，會后根據(jù)意見，組織協(xié)作單位進行討論修改，完成《信息安全技術(shù)移動應(yīng)用網(wǎng)絡(luò)安全評價規(guī)范》征求意見稿。起草人及其工作標準編制組具體由李京春、李冰、萬仁忠、王宏、李健、李蒙、紀崇廉、于園園、楊正軍、董霽、闞志剛、胡波、劉一鳴、陳彪、萬振華、夏天澤組成。李京春、李冰、萬仁忠全面負責標準編制工作，包括制定工作計劃、確定編制內(nèi)容和整體進度、人員的安排以及標準審閱；王宏、楊正軍主要負責標準的前期調(diào)研、現(xiàn)狀分析、標準各版本的編制、意見匯總的討論處理、編制說明的編寫等工作；李健、萬振華負責標準校準審核等工作；李蒙、劉一鳴主要負責標準編制過程中的各項技術(shù)支持和整體指導。標準主要內(nèi)容編制原則為了使本標準的內(nèi)容從一開始就與國家標準保持一致，本標準的編寫參考了其他國家有關(guān)標準，主要有GB/T18336-2015信息技術(shù)安全技術(shù)信息技術(shù)安全性評價準則、GB/Z28828-2012信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南。本標準符合我國的實際情況，遵從我國有關(guān)法律、法規(guī)的規(guī)定。具體原則與要求如下：先進性標準是先進經(jīng)驗的總結(jié)，同時也是技術(shù)的發(fā)展趨勢。目前，我國移動應(yīng)用網(wǎng)絡(luò)安全評價技術(shù)種類繁多，要制定出先進的國家標準，必須參考國內(nèi)外先進技術(shù)和標準，吸收其精華，才能制定出具有先進水平的標準。本標準的編寫始終遵循這一原則。實用性標準必須是可用的，才有實際意義，因此本標準的編寫是在對國內(nèi)外標準的相關(guān)技術(shù)內(nèi)容消化、吸收的基礎(chǔ)上，結(jié)合我國的實際情況，廣泛了解了市場上主流產(chǎn)品的功能，吸收其精華，制定出符合我國國情的、可操作性強的標準。兼容性本標準既要與國際接軌，更要與我國現(xiàn)有的政策、法規(guī)、標準、規(guī)范等相一致。編制組在對標準起草過程中始終遵循此原則，其內(nèi)容符合我國已經(jīng)發(fā)布的有關(guān)政策、法律和法規(guī)。標準內(nèi)容標準結(jié)構(gòu)本標準的編寫格式和方法依照GB/T1.1-2009標準化工作導則第一部分：標準的結(jié)構(gòu)和編寫規(guī)則。本標準主要結(jié)構(gòu)包括如下內(nèi)容：范圍規(guī)范性引用文件術(shù)語和定義符合和縮略語移動應(yīng)用模型移動應(yīng)用安全評價要素移動應(yīng)用安全評價要求安全評價主要內(nèi)容范圍、標準引用、術(shù)語定義和縮略語該部分定義了本標準適應(yīng)的范圍，所引用的其他標準情況，及以何種方式引用。術(shù)語和定義明確了該標準涉及的一些術(shù)語?？s略語定義了該標準所涉及的縮略語。在術(shù)語中明確了“移動應(yīng)用”、“安全評價”、“敏感信息”等重要概念。移動應(yīng)用模型移動應(yīng)用的架構(gòu)由移動應(yīng)用的客戶端和移動應(yīng)用的服務(wù)端組成，如圖1所示。移動應(yīng)用的基本架構(gòu)移動應(yīng)用的基本架構(gòu)用戶：具有對移動應(yīng)用進行操作行為的主體。客戶端：指移動應(yīng)用的客戶端，為用戶提供本地服務(wù)的程序。服務(wù)端：指移動應(yīng)用的服務(wù)端，本標準規(guī)定的服務(wù)端僅包含為客戶端提供針對性的服務(wù)程序。邊界：指主體之間互聯(lián)互通的界限，包括交互邊界、網(wǎng)絡(luò)邊界、運行環(huán)境邊界、系統(tǒng)邊界等。其中，移動應(yīng)用的客戶端架構(gòu)如圖2所示。移動應(yīng)用的客戶端架構(gòu)移動應(yīng)用的客戶端架構(gòu)移動應(yīng)用的客戶端主要由業(yè)務(wù)邏輯模塊和安全模塊構(gòu)成：業(yè)務(wù)邏輯模塊：完成移動應(yīng)用每項業(yè)務(wù)特征過程的描述集合。安全模塊：為移動應(yīng)用涉及用戶的賬號、口令、個人信息等敏感數(shù)據(jù)提供加解密、為移動應(yīng)用網(wǎng)絡(luò)鏈接提供安全保障、存儲用戶個人密鑰以及用戶身份驗證鑒權(quán)等功能的集合。移動應(yīng)用的客戶端涉及到的外部實體包括用戶、系統(tǒng)、服務(wù)端和其他移動應(yīng)用，包含以下功能：交互功能：實現(xiàn)用戶與移動應(yīng)用進行交互操作的集合，包括數(shù)據(jù)顯示、數(shù)據(jù)輸入等。接口功能：提供給移動應(yīng)用開發(fā)人員基于移動應(yīng)用訪問的一組程序的能力集合，其無需訪問源代碼，或理解內(nèi)部工作機制的細節(jié)。通信功能：移動應(yīng)用與服務(wù)端進行通信和服務(wù)所必須遵循的規(guī)則和約定的集合。移動應(yīng)用的服務(wù)端架構(gòu)如圖3所示。移動應(yīng)用的服務(wù)端架構(gòu)移動應(yīng)用的服務(wù)端架構(gòu)移動應(yīng)用的服務(wù)端主要由認證鑒權(quán)和業(yè)務(wù)邏輯構(gòu)成：認證鑒權(quán)：對移動應(yīng)用與服務(wù)端的通信請求、答復進行鑒權(quán)行為的集合。業(yè)務(wù)邏輯：完成服務(wù)端每項業(yè)務(wù)特征過程的描述集合。移動應(yīng)用的服務(wù)端涉及到的外部實體包括移動應(yīng)用和其他服務(wù)器，包含以下功能：通信功能：移動應(yīng)用服務(wù)端與客戶端、與其他服務(wù)器進行通信和服務(wù)所必須遵循的規(guī)則和約定的集合。移動應(yīng)用安全評價要素確定評價對象，確定安全評價基本要素保密性、完整性、可用性、可控性和不可否認性，確定安全評價要求內(nèi)容，如表1，其中關(guān)鍵項是支撐評價對象穩(wěn)定運行的重要安全評價要求項。安全評價要求評價對象安全評價要求項關(guān)鍵項示例客戶端業(yè)務(wù)邏輯模塊源代碼安全√代碼數(shù)據(jù)安全運行狀態(tài)安全客戶端安全模塊運行環(huán)境安全算法安全√客戶端交互功能組件安全日志數(shù)據(jù)安全存儲數(shù)據(jù)安全√客戶端接口功能權(quán)限安全√第三方庫安全客戶端通信功能通信協(xié)議安全√通信數(shù)據(jù)安全服務(wù)端認證鑒權(quán)身份認證安全√口令安全訪問權(quán)限安全認證因子安全服務(wù)端業(yè)務(wù)邏輯會話管理安全√提示信息安全服務(wù)端通信功能通信協(xié)議安全√通信數(shù)據(jù)安全表中關(guān)鍵項示例，僅用于表示在某個安全評價任務(wù)下，評價主體所自行選定的關(guān)鍵評價項，每項評價對象至少有一項安全評價要求項為關(guān)鍵項。移動應(yīng)用安全評價要求針對評價對象，結(jié)合安全評價基本要素規(guī)范移動應(yīng)用安全評價具體內(nèi)容。安全評價安全評價主要由評價流程和評價結(jié)果構(gòu)成，評價流程規(guī)定了安全評價的具體測試流程，評價結(jié)果規(guī)定了針對評價對象測試結(jié)果的定性分析。編制的背景和意義本標準的制定旨在聯(lián)合國內(nèi)多家具有安全檢測評價經(jīng)驗的信息安全測評機構(gòu)以及移動應(yīng)用產(chǎn)品開發(fā)廠商，結(jié)合國內(nèi)移動應(yīng)用信息安全需求，以檢測評價移動應(yīng)用產(chǎn)品的安全性與可控性為重點，制定移動應(yīng)用安全檢測評價規(guī)范，明確國內(nèi)外接受檢測評價的移動應(yīng)用產(chǎn)品的檢測評價范圍、檢測評價流程及檢測評價方法，設(shè)計科學合理的檢測評價模型，規(guī)范并推動移動應(yīng)用安全檢測評價事宜，維護國家安全與公眾利益。編制的目的通過對本標準的研究制定，規(guī)范移動應(yīng)用安全測試工作，并為移動應(yīng)用安全廠商、第三方評價機構(gòu)等單位提供開發(fā)、測試參考依據(jù)。國內(nèi)外標準對比情況無相關(guān)國家、國際標準與有關(guān)的現(xiàn)行法律、法規(guī)和強制性國家標準的關(guān)系本標準不觸犯國家現(xiàn)行法律法規(guī)，不與其他強制性國標相沖突。重大分歧意見的處理經(jīng)過和依據(jù)本標準編制過程中，如標準編制組內(nèi)部出現(xiàn)重大意見分歧時，由標準編制組組長組織召開內(nèi)部調(diào)解會解決；如標準編制單位之間出現(xiàn)重大意見分歧，由標準編制承擔單位國家信息技術(shù)安全研究中心召開參編單位調(diào)協(xié)會解決。如征求意見過程中，各廠家，特別是各部委意見與標準編制組之間出現(xiàn)重大意見分歧，由全國信息安全標準化技術(shù)委員會組織召開協(xié)調(diào)會解決，并認真聽取專家意見進行修改。標準作為強制性或推薦性標準的建議建議將本