G_T 42884-2023信息安全技术 移动互联网应用程序（App）生命周期安全管理指南.docx

信息安全技术移动互联网应用程序(App)生命周期安全管理指南

Informationsecuritytechnology—Guidelinesforlifecyclesecuritymanagement

ofmobileInternetapplications(App)

2023-08-06发布

2024-03-01实施

I

GB/T42884—2023

目次

前言 Ⅲ

1范围 1

2规范性引用文件 l

3术语和定义 1

4缩略语 2

5概述 2

5.1App存在的安全问题 2

5.2App生命周期安全管理 2

6生命周期阶段管理过程 3

6.1需求分析阶段 3

6.2开发设计阶段 4

6.3测试验证阶段 5

6.4上架发布阶段 6

6.5安装运行阶段 7

6.6更新维护阶段 7

6.7终止运营阶段 8

6.8其他安全支持过程 8

7风险监测管理过程 9

7.1风险数据管理 9

7.2安全漏洞管理 10

附录A(资料性)App存在的安全问题分类及描述 13

A.1恶意程序的分类及描述 13

A.2个人信息风险的分类及描述 13

A.3应用行为风险的分类及描述 14

A.4安全漏洞的分类及描述 15

附录B(资料性)App存在的安全问题与安全管理活动的应对关系 16

附录C(资料性)安全开发 17

C.1程序安全 17

C.2安全保障 20

参考文献 21

1

GB/T42884—2023

信息安全技术移动互联网应用程序(App)

生命周期安全管理指南

1范围

本文件提供了移动互联网应用程序(App)生命周期阶段管理过程和风险监测管理过程的安全管理

指南。

本文件适用于App提供者对App的开发、运营等生命周期安全管理，App分发平台管理者和移动

智能终端厂商等参考使用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于

本文件。

GB/T25069—2022信息安全技术术语

GB/T28458—2020信息安全技术网络安全漏洞标识与描述规范

GB/T38674—2020信息安全技术应用软件安全编程指南

GB/T39720—2020信息安全技术移动智能终端安全技术要求及测试评价方法

GB/T41391—2022信息安全技术移动互联网应用程序(App)收集个人信息基本要求

3术语和定义

GB/T25069—2022、GB/T38674-2020、GB/T39720-2020和GB/T41391—2022界定的以及

下列术语和定义适用于本文件。

3.1

移动智能终端smartmobileterminal

具有能够提供应用程序开发接口的开放系统，并能够安装和运行第三方应用软件的移动终端。

[来源：GB/T39720—2020,3.1]

3.2

移动互联网应用程序mobileInternetapplication

运行在移动智能终端上向用户提供信息服务的应用软件。

注：包括下载安装、运行的应用程序和小程序，简称App。

[来源：GB/T41391—2022,3.1,有修改]

3.3

App生命周期mobileInternetapplicationlifecycle

App从需求分析到终止运营随时间进化的过程。

3.4

App提供者mobileInternetapplicationprovider

设计、开发或运营App的组织或个人。

2

GB/T42884—2023

注：包括法人、自然人或其他组织等。

3.5

App分发平台管理者mobileInternetapplicationdistributionplatformmanager

管理App下载、分发或升级的主体。

注：包括应用商店、App、网站、游戏中心和短视频等的管理者。

3.6

个人信息风险personalinformationrisk

App开发或运营过