2021年移动互联网数据安全蓝皮报告_73页_1mb

移动互联网数据安全蓝皮报告（2021年）总结

核心内容

本报告由中国信息通信研究院泰尔终端实验室发布，全面梳理了移动互联网数据安全的发展现状与趋势，深入探讨了移动应用在数据安全全周期面临的问题与挑战，并从数据安全管理要求、技术能力等多方面提出建议，旨在为行业企业提供支撑与指导。

主要观点

• 数据安全重要性提升：数据作为新型生产要素，深刻影响国家经济社会发展，是数字经济发展的重要支撑，但数据滥用、泄露等问题也对行业发展构成威胁。
• 国内外监管趋严：国家层面不断加强数据安全立法与标准制定，企业需加强合规性管理。欧美国家如欧盟（GDPR）和美国（CCPA）也已建立较为完善的隐私保护体系。
• 数据安全问题复杂多样：从数据采集、传输、存储、使用、共享到销毁，各环节均存在安全隐患，需建立全生命周期管理体系。
• 技术与管理并重：企业应从制度建设、人员职责、权限管理、安全审计、合作方管理等方面构建数据安全管理体系，同时提升技术防护能力。

关键信息

一、移动应用数据安全发展现状与趋势

国内现状

1. 移动应用种类和数量快速增长，覆盖金融、医疗、教育等多领域。
2. 数据安全立法与标准进入井喷期，如《网络安全法》《个人信息保护法（草案）》《数据安全法（草案）》等。
3. 工信部等监管机构持续开展专项治理，如App用户权益保护测评、数据合规性评估等。
4. 企业逐步探索数据安全最佳实践，如建立数据安全管理制度、安全审计机制等。

国外趋势

1. 欧盟通过GDPR构建全面的数据保护框架，对数据处理、用户同意、数据泄露通知等设定了严格要求。
2. 美国缺乏联邦层面统一立法，但加州等州已出台较严格的数据保护法案，如CCPA和CPRA。
3. 执法力度加大，如欧盟对万豪集团开罚单，美国FTC对Zoom进行处罚。

二、移动应用数据安全问题

数据安全问题贯穿于数据生命周期的六个主要环节：

1. 数据采集

   • 违规收集个人信息，如默认勾选隐私政策、强制授权等。
   • 过度索取权限，如拍摄、定位、录音等危险权限。
   • 第三方SDK存在安全漏洞，可能引发数据泄露。

2. 数据传输

   • 使用明文协议（如HTTP）导致数据被截取。
   • URL参数未加密，存在泄露风险。
   • SSL/TLS配置不当，易受中间人攻击。

3. 数据存储

   • 明文存储敏感信息，如密码、身份证、银行卡号等。
   • 数据备份缺失，如“删库”事件对业务造成严重影响。

4. 数据使用

   • 缺乏数据分类分级保护，难以实现差异化安全防护。
   • 敏感数据未脱敏处理，存在被非法使用的风险。
   • 权限管理混乱，存在内部人员越权操作风险。
   • 缺乏操作审计，难以发现异常行为。

5. 数据开放共享

   • 数据共享过程中存在泄露、滥用风险。
   • API接口安全问题突出，如未验证调用者身份、未加密传输数据。
   • 数据接收方管理不善，可能造成数据泄露。

6. 数据销毁

   • 注销流程复杂，存在数据过度留存问题。
   • 云端销毁存在残留风险，需采用不可逆的擦除或物理销毁手段。
   • 需对销毁过程进行记录与审计，确保真实性。

三、移动应用数据安全管理要求

1. 机构人员：设立数据安全责任部门，明确职责，落实到具体岗位。
2. 制度保障：建立数据安全管理制度体系，涵盖策略、流程、记录等。
3. 分类分级：明确数据分类与分级，制定相应安全措施。
4. 合规评估：定期进行数据安全合规性评估，形成报告并改进措施。
5. 权限管理：合理配置权限，实现最小授权原则。
6. 安全审计：对数据操作进行日志记录与审计，确保可追溯性。
7. 合作方管理：建立合作方台账，签订保密协议，明确责任。
8. 应急响应：制定应急预案，定期演练，及时响应安全事件。
9. 举报投诉处理：建立用户举报渠道，明确处理流程与时限。
10. 教育培训：制定培训制度，提升员工数据安全意识与技能。

四、数据安全生命周期管理

1. 数据采集：明确数据来源与范围，确保用户知情同意。
2. 数据传输：使用加密协议，防止数据被篡改或窃取。
3. 数据存储：加密存储敏感信息，定期检查与审计。
4. 数据使用：对敏感数据进行脱敏处理，限制使用范围。
5. 数据开放共享：严格审核共享范围，保障传输安全。
6. 数据销毁：采用安全擦除或物理销毁方式，确保数据不可恢复。

五、数据安全技术能力

1. 数据识别：自动识别敏感数据，进行分类分级管理。
2. 操作审计：记录用户操作日志，支持多维度查询与分析。
3. 数据防泄漏：采用DLP技术，结合加密、权限控制等手段，防止数据外泄。
4. 接口安全管理：实现认证、授权、加密、审批与日志审计。
5. 个人信息保护：明确数据收集、存储、使用准则，确保合法合规。

优秀案例

• 好大夫在线：通过建立合作方信息管理平台，提升数据安全管理水平。
• 每日优鲜：构建数据安全全景图，实现全流程数据安全管控。
• 爱奇艺：建立隐私与信息安全组织架构，强化数据安全组织保障。

结论

本报告强调，移动互联网数据安全需从法律、制度、技术、管理等多维度协同推进，构建数据安全全生命周期管理体系。同时，应加强技术防护能力，提升企业数据安全合规水平，以应对日益严峻的数据安全挑战。