DB44_T 2189.4-2019移动终端信息安全 第4部分：敏感信息安全检测方法.docxVIP

ICS 35.060 M 36 DB44 广 东 省 地 方 标 准 DB44/T 2189.4—2019 移动终端信息安全 Informataion security of mobile terminal——Part 4：Safety testing method for Informataion security of mobile terminal——Part 4：Safety testing method for sensitive informatiom 2019 - 09 - 09 发布 2019 - 12 - 01 实施 广东省市场监督管理局 发 布 目 次 前言 II 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 4 移动终端敏感信息安全检测基本要求 1 检测前准备 1 检测条件 1 检测结果 1 5 敏感信息安全检测方法 2 生成阶段的检测 2 存储阶段的检测方法 2 安全域隔离的检测 2 敏感信息加密存储得检测 2 敏感信息远程保护的检测 3 敏感信息备份的检测 3 加工阶段的检测方法 4 转移阶段的检测方法 4 5.4.1 总则 4 敏感信息转移的身份验证检测 4 敏感信息加密传输的检测 5 敏感信息传输确认的检测 5 应用阶段的检测方法 6 敏感信息访问者的身份检测 6 敏感信息访问的检测 6 敏感信息共享的安全检测 7 废止与删除阶段的检测方法 8 敏感信息废止的检测 8 敏感信息删除的检测 8 参 考 文 献 9 前 言 《移动终端信息安全》分为4个部分： ——移动终端信息安全 第1部分：敏感信息安全检测技术要求； ——移动终端信息安全 第2部分：敏感信息等级保护与测评； ——移动终端信息安全 第3部分：敏感信息风险评估； ——移动终端信息安全 第4部分：敏感信息安全检测方法。本部分为第4部分。 本部分按照GB/T 1.1-2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本部分由广东省工业和信息化厅提出。 本部分由广东省大数据标准化技术委员会（GD/TC120）归口。 本部分起草单位：工业和信息化部电子第五研究所。 本部分主要起草人：王韬、王贵虎、杨春晖、华小方、林军、冯晓荣、谢克强。本部分为首次发布。 移动终端信息安全 第 4 部分：敏感信息安全检测方法 范围 本部分规定了移动终端敏感信息生成阶段、存储阶段、加工阶段、转移阶段、应用阶段及废止与删除阶段的检测方法。 本部分适用于移动通信网的智能手机和平板电脑设备。 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 YD/T 1700-2007 移动终端信息安全测试方法YD/T 2408-2013 移动智能终端安全能力测试方法 DB44/T 2189.1-2019 移动终端信息安全 第1部分：敏感信息安全检测技术要求 3 术语和定义 3 术语和定义 DB44/T 2189.1-2019界定的术语和定义适用于本部分。 4 移动终端敏感信息安全检测基本要求 检测前准备 移动终端能够正常使用，且移动终端厂家能够提供移动终端相关信息，其相关的信息应按YD/T 1700-2007表1中的规定。 检测条件 移动终端应能够符合以下检测条件： 移动终端处于正常工作状态； 辅助测试无线环境工作正常； 已在相关的系统数据库中对测移动终端进行了正确的配置。 检测结果 移动终端敏感信息安全检测结果可分以下两种情况： 未见异常：通过检测没有发现存在敏感信息安全的风险和隐患； 存在异常：通过检测发现存在敏感信息安全的风险和隐患。 敏感信息安全检测方法 生成阶段的检测 生成阶段的检测见表1。 表1 技术要求：满足DB44/T 2189.1—2019，5.1 中的要求 预置条件：移动终端处于正常工作状态 检测步骤： 检查被测试的移动终端是否提供敏感信息标识； 标识是否容易被识别； 检查移动终端是否能够设置敏感信息的有效时间。 检测结果： 有提醒信息主体对所创建的信息进行敏感标识，且标识的选项位易于信息主体识别； 能够提供设置敏感信息有效时间的选项。 符合以上检测结果，该项检测结果为“未见异常”，反之该项目检测结果为不符合要求。 存储阶段的检测方法 安全域隔离的检测见表2。 表25.2.2 敏感信息加密存储得检测 安全域隔离的检测见表2。 表2 5.2.2 敏感信息加密存储得检测 敏感信息加密存储的检测见表3。 表3 技术要求：满足