移动互联网应用安全通用规范：技术与管理要求

移动互联网应用软件安全通用技术规范(试行)是由上海市信息安全测评认证中心于二〇一六年九月发布的，旨在应对移动互联网快速发展的背景下日益凸显的安全问题。该规范针对移动应用的安全问题，从技术安全和安全管理两个层面，为移动互联网应用软件的设计、开发、维护以及测试提供了一套通用的安全标准。 在技术安全方面，规范强调了安全功能的重要性，包括但不限于数据加密、身份验证、访问控制等，确保用户信息和个人隐私得到保护。其中，密钥作为一种关键参数，用于实现数据加密和解密过程中的安全转换，区分了对称密钥和非对称密钥的使用，前者在加密和解密过程中使用同一密钥，后者则通过公钥和私钥配合工作，提高安全性。 数据安全是规范的核心内容，规定了如何处理、存储和传输敏感信息，防止信息泄露和未经授权的访问。此外，软件安全部分涵盖了软件架构的安全设计、漏洞管理和安全更新等方面，确保应用的稳定性和防护能力。 管理安全方面，规范着重于软件全生命周期的安全管理。设计阶段应遵循适度保护原则，根据不同应用场景和信息敏感程度设定一般要求和增强要求。开发安全强调代码审查和安全编码实践，以预防潜在风险。发布阶段则需进行严格的测试和审核，确保软件符合安全标准。维护阶段则涵盖持续的安全监控、应急响应和漏洞修复等环节。 此外，规范还参考了多个国家标准，如《信息系统安全等级保护基本要求》、《信息技术安全评估准则》和《公共及商用服务信息系统个人信息保护指南》，以及金融移动支付相关的具体技术规范。同时，它还遵循《移动互联网应用程序信息服务管理规定》，体现了对个人信息保护和合规性的重视。 移动互联网应用软件安全通用技术规范(试行)为移动应用的健康发展提供了重要的指导框架，帮助开发者和管理者建立安全意识，提升移动应用的安全保障水平，以适应日益增长的移动互联网市场的需求。