移动互联网应用程序App面临的安全风险、安全风险应对体系、安全开发.pdfVIP

GB/T XXXXX—20XX 附 录 A （资料性） App 面临的安全风险 表A.1给出了恶意程序的分类及风险描述。 表A.1 恶意程序的分类及风险描述 恶意程序分类 风险描述 （包括但不限于以下分类） 在用户不知情或未授权的情况下，通过隐蔽执行、欺骗用户点击等手段，订购各类收 恶意扣费 费业务或使用移动智能终端支付，导致用户经济损失。 信息窃取 在用户不知情或未授权的情况下，获取用户个人信息、工作信息或其他非公开信息。 远程控制 在用户不知情或未授权的情况下，接受远程控制端指令并进行相关操作。 在用户不知情或未授权的情况下，自动通过复制、感染、投递、下载等方式扩散恶意 恶意传播 程序自身、自身的衍生物或其他恶意程序。 在用户不知情或未授权的情况下，自动通过拨打电话、发送短信、彩信、邮件、频繁 资费消耗 连接网络等方式消耗用户资费。 在用户不知情或未授权的情况下，通过感染、劫持、篡改、删除、终止进程等手段使 系统破坏 移动智能终端或其他非恶意程序部分或全部功能、用户文件等无法正常使用，干扰、 破坏、阻断移动通信网络、网络服务或其他合法业务的正常运行。 在用户不知情或未授权的情况下，通过伪造、篡改、劫持短信、彩信、邮件、通信 诱骗欺诈 录、通话记录、收藏夹、桌面等方式诱骗用户，达到不正当目的。 在用户不知情或未授权的情况下，执行对系统没有直接损害，也不对用户个人信息、 流氓行为 资费造成侵害的其他恶意行为。 表A.2给出了侵害用户权益的分类及风险描述。 表A.2 侵害用户权益的分类及风险描述 侵害用户权益分类 风险描述 （包括但不限于以下分类） App未明确告知收集使用个人信息的目的、方式和范围并获得用户同意前，收集用户个 私自收集个人信息 人信息。 App收集个人信息，非服务所必需或无合理应用场景，超范围或超频次收集个人信息， 超范围收集个人信息 如通讯录、位置、身份证、人脸等。 App未经用户同意与其他应用共享、使用用户个人信息，如设备识别信息、商品浏览记 私自共享给第三方 录、搜索使用习惯、常用软件应用列表等。 App未向用户告知，或未以显著方式标示，将收集到的用户搜索、浏览记录、使用习惯 强制用户使用定向推送功能 等个人信息，用于定向推送或精准营销，且未提供关闭该功能的选项。 App安装和运行时，向用户索取与当前服务场景无关的权限，用户拒绝授权后，应用退 不给权限不让用 出或关闭。 13 GB/T XXXXX—XXXX