EPRI075-2021+移动应用软件安全技术要求及测试方法.pdfVIP

EPRI

EPRI075—2021

移动应用软件安全技术要求及测试方法

Securitytechnicalrequirementandtestmethodformobileapplicationsoftware

2021-06-24发布2021-06-24实施

中国电力科学研究院有限公司发布

EPRI075-2021

目次

目次I

前言II

移动应用软件安全技术要求及测试方法1

1范围1

2规范性引用文件1

3术语和定义1

4缩略语2

5测试环境2

6技术要求及测试方法2

7综合评价方法9

附录A（资料性附录）渗透测试项10

编制说明13

I

EPRI075-2021

前言

为规范国家电网有限公司移动应用软件的安全测试，结合当前国内外信息安全形势，制定本标准。

本标准代替Q/EPRI075—2016国家电网有限公司移动应用软件安全技术要求及测试方法。

本标准与Q/EPRI075—2016相比，主要技术性差异如下：

——增加了第5章“测试环境”；

——增加了“访问控制”（见6.2.4）；

——增加了“信息窃取”（见6.3.4）；

——增加了附录A“渗透测试项”；

——修改了原标准第6章“软件容错”；

——修改了原标准第6章“移动端渗透测试”；

——删除了原标准第7章“附则”；

——修改了“预期结果”为“结果判定”；

本标准由中国电力科学研究院有限公司信息安全检测部提出并解释。

本标准由中国电力科学研究院有限公司信息安全检测部归口。

本标准起草单位：中国电力科学研究院有限公司信息安全检测部。

本标准主要起草人：王朝阳、王云龙、曹飞、孟雷子、王杰、宋小芹、周亮。

本标准2016年9月首次发布，2021年6月第一次修订。

本标准（或本部分或本指导性技术文件）在执行过程中的意见或建议反馈至中国电力科学研究院有

限公司信息安全检测部。

II

EPRI075-2021

移动应用软件安全技术要求及测试方法

1范围

本标准规定了国家电网有限公司移动应用软件投运前需要满足的安全技术要求和测试方法。

本标准适用于国家电网有限公司管理信息大区的移动应用软件，其他软件系统可参照本标准。

本标准主要用于指导国家电网有限公司移动应用软件安全测试，同时也用于指导移动应用软件的前

期建设。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T25069—2010信息安全技术术语

GB/T37729—2019信息技术智能移动终端应用软件（APP）技术要求

GB/T34975—2017信息安全技术移动智能终端应用软件安全技术要求和测试评价方法

DL/T2031—2019电力移动应用软件测试规范

3术语和定义

下列术语和定义适用于本文件。

3.1

完整性校验integrityverification

使用验证码或密码技术检测数据是否遭到丢失和篡改。

3.2

保密性confidentiality

使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。

[来源：GB