中国信通院-软件开发包-SDK-安全与合规报告-2020-_75页_6mb

软件开发包（SDK）安全与合规报告总结

核心内容概览

本报告由中国信息通信研究院安全研究所与北京市环球律师事务所联合发布，旨在分析第三方SDK在移动互联网中的应用现状、存在的安全问题、法律合规风险，并结合欧盟与美国的管理经验，提出适用于我国的管理建议。报告发布于2020年9月，针对SDK收集使用个人信息的合规性进行深入探讨。

主要观点与关键信息

一、第三方SDK的业内现状

• SDK类型多样：包括登录分享类、支付类、推送类、广告类、数据分析类、地图类、风控插件等。
• 应用广泛：据统计，29.46%的App嵌入了SDK，其中游戏类App占比最高（23.85%），其次是生活服务类（18.16%）和教育类（15.46%）。
• SDK成为App开发的重要工具：其原因包括提升开发效率、优化用户体验、增强App兼容性等。

二、第三方SDK的主要安全问题

1. SDK自身安全性问题：存在HTTP误用、SSL/TLS不正确配置、敏感权限滥用、身份识别、日志泄露、开发人员失误等安全漏洞。
2. 成为病毒传播新途径：恶意SDK通过代码分离、动态加载等方式实现隐蔽攻击，如“寄生推”事件。
3. 隐蔽收集个人信息：部分SDK在未告知用户的情况下收集用户信息，如Zoom接入Facebook SDK事件。

三、第三方SDK的主要合规问题

1. 数据处理的法律正当性不足：
   • SDK作为数据处理者时，需基于App的授权获得用户同意。
   • 若SDK作为数据控制者，需直接向用户征得同意，否则将承担合规责任。
2. 用户知情权与选择权缺失：用户往往对SDK的个人信息收集行为无感知，App开发者也未充分披露。
3. 责任划分不清晰：App开发者与SDK提供者在数据处理中的角色与责任需明确，避免举证责任倒置。

四、域外经验借鉴

欧盟（GDPR）

• 角色划分：SDK可能作为数据控制者或数据处理者，需明确其在数据处理中的法律地位。
• 用户同意机制：必须获得用户的明示同意，且不得采用默认同意方式。
• 跨境数据传输：需明确用户个人信息的出境目的与接收方。

美国（CCPA）

• 企业定义：若SDK收集或代为收集个人信息，且满足特定条件（如年收入、数据量等），则需遵守CCPA。
• Opt-Out机制：用户可选择退出个人信息的出售，但不强制要求Opt-In。
• 未成年人保护：对16岁以下用户，出售个人信息需获得明示同意。

我国相关建议

（一）完善法律法规，明确责任义务

• 立法建议：在《个人信息保护法》《数据安全法（草案）》等法规中，明确App开发者与SDK提供者在数据处理中的责任划分与合规要求。
• 惩罚性条款：对超出授权范围收集使用个人信息的行为进行处罚。

（二）App开发者履行数据合规义务

1. 完善隐私政策：需披露SDK的类型、目的、范围，并提供用户选择退出机制。
2. 用户同意机制：
   • 通过弹窗、链接等方式征得用户对SDK的同意。
   • 提供用户自主控制SDK开启或关闭的界面（如图9）。
3. 合作协议：明确双方角色与责任，包括数据处理范围、安全合规机制、用户授权范围等。

（三）SDK提供者构建数据安全合规体系

1. 制定隐私政策：明确SDK在数据处理中的角色与功能，公开个人信息收集使用规则。
2. 签订数据处理协议：与App开发者明确数据处理范围、安全措施、用户授权与责任划分。
3. 加强数据安全防护：在数据采集、传输、存储、使用、销毁等各阶段采取加密、脱敏、访问控制等技术措施。
4. 安全审计与评估：定期对SDK进行安全评估与审计，确保其符合数据安全标准。

（四）完善SDK安全管理主体责任

• 行业标准与指南：推动制定与SDK相关的行业准入标准、安全标准及合规指南。
• 明确主体责任：在SDK与App的合作中，明确SDK提供者与App开发者在数据处理中的角色与责任划分。

（五）鼓励行业自律

• 推动SDK企业自律：鼓励第三方SDK企业主动遵守数据安全规范，加强内部合规管理。
• 行业协作与透明度：通过行业协作提升SDK透明度，减少恶意SDK的使用。

关键数据与案例

• 用户规模：截至2020年3月，我国手机网民规模达9.04亿，占比98.6%。
• SDK数量：2019年12月，我国App总量达367万款，第三方SDK嵌入情况广泛。
• 典型案例：
  • Zoom接入Facebook SDK事件（2020年3月）。
  • “寄生推”恶意SDK事件（2018年4月）。
  • Facebook App Events事件（2019年2月）。

总结

第三方SDK已成为移动互联网生态中不可或缺的一部分，但其在安全与合规方面仍存在诸多问题。SDK提供者与App开发者需共同承担责任，完善数据收集使用机制，确保用户知情权与选择权。同时，我国需加快相关法律法规与标准的制定，推动行业自律，提升SDK整体安全合规水平，以保障用户个人信息安全与移动互联网生态健康发展。