T∕TAF 057-2020 移动智能终端应用软件SDK安全技术要求

SecurityTechnicalRequirementsofSoftwareDevelopmentKitI I 1 1 1 1 1 3 3 3 4 4 4 5 5 5 5 6 6 6 8 9 1移动智能终端应用软件SDK安全技术要求本标准规定了移动智能终端应用软件SDK的本标准适用于在移动智能终端应用软件上集成使用的SDK，移动智能终端应用软件包YD/T2407移动智能终端安全能力技术要求YD/T3228移动应用软件安全评估方法GB/T34978信息安全技术移动智能终端个人信息保护YD/T3082移动智能终端上的个人信息保护技术要求移动智能终端SmartMobileT移动智能终端操作系统OperatorSystemofSmartMobileT移动智能终端应用软件MobileAppl扫二维码、应用自身、其他线上线下平台或移动智能终端应用软件分发服务MobileApplicationDistributionSe2移动智能终端预置应用软件Pre-installedApplicationofSmartTer移动智能终端预置应用软件是指由生产企业自行或与互联网信息服务提供者合作在移动智能终端互联网信息服务提供者InternetServi合预先定义的函数，提供应用程序与开发人员基于某软件或硬件得以访问一组例程或者可能对用户存储的数据或其他应用的操作产生以电子或者其他方式记录的能够单独或者与其他信息结式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易注2:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，例如用户画像或3签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或注2:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，属于个人运行需要系统权限的动作。Android系APPHyperTextTransferProtocolSe区分为系统SDK和应用SDK.系统SDK主要是为特定的软件包,软件框架,硬件平台,操作系统等应用时所使SDK作为应用软件中重要组成部分，可同应用软件使用同样的系统环境，读取移动智能终端上的个人信息，存在着SDK滥用功能权限、过度收集使用个人信息、应用软件无法实际控制SDK、SDK与应用软44.2移动智能终端应用软件与SDK角色关系码开发.合理性、必要性、辅助性、最小化评（1）应用软件所集成使用的SDK为闭源SDK，SDK提供方应保证其安全性，应用软件提供方集成SDK时整、准确、即时，不存在故意隐瞒、欺骗等行为。提供的信息应有详细的日志记录。移动应用d）SDK的基本适用信息，例如在不同操g）SDK是否具备单独为用户提供的登录或h）SDK开发者或运营者如使用其他第三方代码或SDK的，应提供包括第三方代码或SDK名称，5享机制等。应提供个人信息安全规范的管理相关要求信息。例如SDK提供方的用户协议，等。应提供个人信息安全规范的管理相关要求信息。例如SDK提供方的用户协议，隐私政（4）SDK提供方如存在与应用软件提供方共同个人信息收集使用或SDK提供方未通过应用软件而单方5.2权限申请使用要求（3）若SDK与应用软件间交互使用接口形式，SDK（4）若SDK与应用软件间使用某种接口形式，SDK应对不同应用软件的上下文进行环境隔离，防止跨（1）SDK提供方在无相关业务场景或无用户授权情况下不应主动进行后台唤醒或被其他应用软件唤（2）SDK提供方若主动调用系统API（7）SDK提供方不应在未经用户同意的情况6（3）SDK提供方应在传输过程中对用户（4）SDK提供方若使用本地服务器的技术架构和方案，应（2）SDK提供方如在服务器保存用户个人敏感信息或SDK提供方在个人信息收集使用层面，应满足如合理性原则：SDK提供方收集使用个人信息时，收集使用个人信息的目的、方式和范围应在其功能最小化原则：SDK提供方收集使用个人信息时，应最小化收集使用个人信息，同时尽量采取本地方必要性原则：SDK提供方收集使用个人信息时，满足合理性原则，但超出移动应用软件提供者集成（1）SDK提供方应为集成其SDK的应用如有重大变更，则应及时通知应用软件开发者或运营者。如影响终端用户，则双方应合作履行个人信息安全规范所规定义务，向用户告知并重新征得用户（2）SDK提供方所单独处理的个人信息完全是本地处理，SDK提供方不作为个人信息控制者。此时，（4）应用软件提供方委托SDK提供方通过相应SDK收集和处理来自应用软件个人信息的，应用软件提方与应用软件提供方作为个人信息共同控制者，共同保证其收集和处理的个人信息的安全b）所有处理应符合《个人信息安全规范》的处（6）SDK提供方单独收集使用个人信息信息，应用软件提供方未委托或未知SDK提供方收集、使用个a）SDK提供方若存在单独用户界面交互形式，应向用户明示其单独控制的个人信息，其透明性应满足用户可清晰得知数据控制者与应用软件运营者并非同一主体。并征得用户同