NIST SP800-163：移动应用安全审核指南

NIST SP800-163.pdf是一份由美国国家标准与技术研究院（NIST）发布的特别出版物，专注于"vetting the Security of Mobile Applications"，即对移动应用的安全评估。在组织引入新技术，尤其是移动技术时，确保其对IT资源、数据和用户的安全至关重要。这份报告指出，随着企业采用移动设备（如智能手机和平板电脑）以及相关的移动应用程序来支持业务流程，如实时信息共享和任务特定功能，这些技术带来了显著的生产力提升。然而，它们也引入了新的安全风险，如软件漏洞，这些漏洞可能被攻击者利用，威胁到数据安全和设备控制。 为了应对这种风险，组织需要实施软件保障过程，确保软件在设计和生命周期中免于故意或意外的漏洞，并按预期方式运行。软件保障涉及一系列有计划和系统的活动，旨在满足需求、标准和程序。尽管传统的软件开发标准（如针对航空航天、汽车系统和国防关键领域的）已经取得了一定进展，但当前许多实践仍依赖于耗时、成本高昂且难以量化和重复的手动活动。移动计算环境下的挑战在于，它可能不完全支持传统的软件保障方法，需要适应移动应用的独特安全要求。 NIST SP800-163的目标是提供一套指导原则和最佳实践，帮助组织评估和管理移动应用的安全性，包括但不限于评估应用的漏洞、进行安全设计审查、实施测试策略以及建立响应和恢复计划。这份出版物适用于任何希望通过移动应用推动业务发展，同时又重视信息安全的组织，无论其规模大小或行业背景。通过遵循NIST的建议，组织能够更好地保护其数据和用户隐私，降低因软件漏洞引发的安全事件的可能性。