移動(dòng)應(yīng)用分發(fā)平臺(tái) 個(gè)人信息保護(hù)保障能力評(píng)估規(guī)范

Mobileapplicationdistributionp電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布I II III 1 1 1 2 2 2 2 2 2 5 5 5 6 6 6 6 6本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件起草單位：中國(guó)信息通信研究院、維沃移動(dòng)通信有限公司、泰爾認(rèn)證中心有限公司、OPPO訊技術(shù)有限公司、北京奇虎科技有限公司、系統(tǒng)性的保障能力建設(shè)、規(guī)程建設(shè)、技術(shù)建設(shè)，落實(shí)個(gè)人信息保移動(dòng)應(yīng)用分發(fā)平臺(tái)個(gè)人信息保護(hù)保障能力評(píng)估規(guī)范本文件適用于第三方評(píng)估機(jī)構(gòu)開展評(píng)估工作，同時(shí)也適用于個(gè)人信息處理者進(jìn)行自評(píng)移動(dòng)應(yīng)用分發(fā)平臺(tái)applicationsoftwaredistributionp移動(dòng)應(yīng)用軟件mobileappl移動(dòng)智能終端系統(tǒng)之上安裝、運(yùn)行的，向用戶提供服務(wù)功能的應(yīng)用軟件，包括集成的SDK等第三移動(dòng)應(yīng)用軟件開發(fā)者mobileapplicationsoftwarede以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然24縮略語(yǔ)APP：移動(dòng)應(yīng)用軟件（Application）H5：第五代超文本標(biāo)記語(yǔ)言（HTML5）5個(gè)人信息保護(hù)保障能力評(píng)估概述5.1評(píng)估原則開展移動(dòng)應(yīng)用分發(fā)平臺(tái)個(gè)人信息保護(hù)保障能力評(píng)估應(yīng)遵循以a)目的性原則：評(píng)估目的應(yīng)明確具體，評(píng)估范圍應(yīng)與評(píng)估c)全面性原則：評(píng)估應(yīng)當(dāng)貫穿個(gè)人信息全周期，實(shí)現(xiàn)對(duì)個(gè)人信息保護(hù)c)應(yīng)按照審批流程授權(quán)個(gè)人信息接觸崗人員，不應(yīng)出現(xiàn)未授權(quán)的d)訪問控制應(yīng)做到職責(zé)權(quán)限分離、最小化授權(quán)3a)處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門規(guī)定數(shù)量的個(gè)人信息處理者應(yīng)任命專門的個(gè)人信息保護(hù)負(fù)責(zé)2)具有較強(qiáng)獨(dú)立性，負(fù)責(zé)人不宜兼任首席運(yùn)營(yíng)官、首席執(zhí)行官等可能有利益沖突的3)應(yīng)參與個(gè)人信息處理活動(dòng)的重要決策，并直接向公司主要提供資源保障，包括但不限于提供人力、財(cái)力、物3)建立、維護(hù)、更新個(gè)人信息清單和4)組織開展個(gè)人信息安全影響分析與風(fēng)險(xiǎn)評(píng)估，督促整改；d)個(gè)人信息管理制度應(yīng)由個(gè)人信息保護(hù)負(fù)責(zé)人或機(jī)構(gòu)制訂，明確制訂程序e)應(yīng)對(duì)相關(guān)制度執(zhí)行情況進(jìn)行記錄，確保實(shí)際工b)應(yīng)對(duì)應(yīng)用軟件進(jìn)行審核和檢測(cè)，對(duì)違法違規(guī)軟件進(jìn)行處置；e)對(duì)于違法違規(guī)應(yīng)用軟件，以及在通信主管部門監(jiān)督檢查中發(fā)現(xiàn)的惡意應(yīng)用軟件4b)不應(yīng)抗拒、不配合監(jiān)督檢查工作；e)不應(yīng)阻撓開發(fā)者或運(yùn)營(yíng)者積極整改，例如c)應(yīng)定期進(jìn)行安全培訓(xùn)、考核，確保人員掌握個(gè)人信息安全人信息安全事件得到及時(shí)有效處置，應(yīng)急響應(yīng)機(jī)3)啟動(dòng)所需的資源，如人員、設(shè)備、場(chǎng)所、工d)應(yīng)配備應(yīng)急響應(yīng)所需的資源，確保應(yīng)急響對(duì)可能危害國(guó)家安全、公共安全、經(jīng)濟(jì)安全和社會(huì)穩(wěn)定的應(yīng)按相關(guān)要求向有關(guān)部門報(bào)告。調(diào)研評(píng)估對(duì)象制定評(píng)估計(jì)劃調(diào)研評(píng)估對(duì)象制定評(píng)估計(jì)劃確定評(píng)估對(duì)象個(gè)人信息處理活動(dòng)個(gè)人信息處理者的義務(wù)個(gè)人信息處理活動(dòng)個(gè)人信息處理者的義務(wù)管理要求當(dāng)前安全措施情況確認(rèn)指標(biāo)符合性情況判定綜合判定評(píng)估結(jié)果出具評(píng)估報(bào)告多個(gè)關(guān)鍵信息系統(tǒng)和關(guān)鍵業(yè)務(wù)流程，也可以是被評(píng)估方的部談等方法確認(rèn)評(píng)估內(nèi)容的實(shí)際保護(hù)措施或要求落實(shí)情況出具評(píng)估結(jié)論階段應(yīng)包括評(píng)估報(bào)告和結(jié)論，根據(jù)評(píng)估實(shí)施內(nèi)容和具體評(píng)估指標(biāo)相符合情況給出說6b)主