小程序個(gè)人信息保護(hù)規(guī)范 第3部分：全流程開發(fā)管理

Part3:Developmentma電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布I II III 1 1 1 1 2 2 2 3 4 5 5本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定線科技有限公司、華為技術(shù)有限公司、博鼎實(shí)華（北京）技術(shù)有限公司、中興通訊股份有164號(hào)）中提到了關(guān)于規(guī)范小程序新形態(tài)應(yīng)用的要求，因此計(jì)劃建立小程序個(gè)人信息保護(hù)規(guī)范，規(guī)范小——小程序個(gè)人信息保護(hù)規(guī)范第3部分：全流程開發(fā)小程序個(gè)人信息保護(hù)規(guī)范第3部分：全流程開發(fā)管理驗(yàn)證階段、上線運(yùn)行階段、更新維護(hù)階段和終止運(yùn)營階段的個(gè)人信息保護(hù)實(shí)施建議。框架型應(yīng)用軟件frame-basedapplicationso4縮略語2APP：移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（Application）SDK：軟件開發(fā)工具包（SoftwareDevelopme5.1概述小程序在開發(fā)管理全流程各階段都可能產(chǎn)生個(gè)人信息保護(hù)安全問題，序個(gè)人信息保護(hù)安全問題和全流程開發(fā)管理過程的關(guān)系見5.2需求分析階段信息保護(hù)措施等內(nèi)容，并在小程序設(shè)計(jì)和開發(fā)時(shí)執(zhí)行個(gè)人信息保護(hù)2)個(gè)人信息處理方式（包括權(quán)限申請(qǐng)）35.3開發(fā)設(shè)計(jì)階段漏洞、是否存在侵害用戶隱私行為、是否一直處于維護(hù)更新狀a)組織相關(guān)方對(duì)個(gè)人信息保護(hù)設(shè)計(jì)方案進(jìn)行評(píng)審，記錄評(píng)審結(jié)果并形成方案評(píng)審記錄；b)方案評(píng)審的維度包括個(gè)人信息保護(hù)需求的可追溯性、與個(gè)人信息保護(hù)需求的一致性、可測試性、個(gè)人信息保護(hù)設(shè)計(jì)方案的可行性、運(yùn)行和維護(hù)的可行a)制定安全編碼規(guī)范，并在開發(fā)過程中d)對(duì)源代碼的操作進(jìn)行訪問控制管理，降低源代碼g)與供應(yīng)商簽訂相關(guān)協(xié)議，明確范圍、工作內(nèi)容、安全責(zé)任和保密和使用個(gè)人信息的規(guī)范要求和第三方SDK使用權(quán)限的但不限于惡意程序、應(yīng)用風(fēng)險(xiǎn)、侵害用戶隱私或安全漏洞；47)對(duì)于由供應(yīng)商提供的非開源第三方代碼，應(yīng)c)對(duì)代碼的變更進(jìn)行訪問控制管理，并在通過評(píng)審e)當(dāng)開發(fā)環(huán)境變更時(shí)，對(duì)變更前的環(huán)境進(jìn)行備份以便恢復(fù)，減小對(duì)小程5.4測試驗(yàn)證階段小程序提供者宜實(shí)施以下與個(gè)人信息保護(hù)安a)建立個(gè)人信息保護(hù)測試機(jī)制，編制個(gè)人信息保護(hù)測試方案，描述個(gè)人信息保護(hù)測試方b)編制個(gè)人信息保護(hù)測試用例文檔，記錄輸入的實(shí)際值與預(yù)期的輸出內(nèi)容；小程序提供者宜實(shí)施以下與個(gè)人信息保護(hù)安b)提供個(gè)人信息保護(hù)維護(hù)文檔，給出風(fēng)險(xiǎn)提示和應(yīng)急響應(yīng)措施，明確安全的部署環(huán)境；c)根據(jù)個(gè)人信息保護(hù)需求說明書對(duì)個(gè)人信息操作功能進(jìn)行驗(yàn)a)監(jiān)測小程序在運(yùn)行時(shí)是否存在惡意程序、應(yīng)用風(fēng)險(xiǎn)或安5.5更新維護(hù)階段b)采集小程序運(yùn)行過程中服務(wù)端產(chǎn)生的日志，并對(duì)日志進(jìn)行保護(hù)；收集使用的場景和范圍等，不在更新后引入新