移动应用分发平台 个人信息保护保障能力评估规范

Mobileapplicationdistributionp电信终端产业协会发布I II III 1 1 1 2 2 2 2 2 2 5 5 5 6 6 6 6 6本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定本文件起草单位：中国信息通信研究院、维沃移动通信有限公司、泰尔认证中心有限公司、OPPO讯技术有限公司、北京奇虎科技有限公司、系统性的保障能力建设、规程建设、技术建设，落实个人信息保移动应用分发平台个人信息保护保障能力评估规范本文件适用于第三方评估机构开展评估工作，同时也适用于个人信息处理者进行自评移动应用分发平台applicationsoftwaredistributionp移动应用软件mobileappl移动智能终端系统之上安装、运行的，向用户提供服务功能的应用软件，包括集成的SDK等第三移动应用软件开发者mobileapplicationsoftwarede以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然24缩略语APP：移动应用软件（Application）H5：第五代超文本标记语言（HTML5）5个人信息保护保障能力评估概述5.1评估原则开展移动应用分发平台个人信息保护保障能力评估应遵循以a)目的性原则：评估目的应明确具体，评估范围应与评估c)全面性原则：评估应当贯穿个人信息全周期，实现对个人信息保护c)应按照审批流程授权个人信息接触岗人员，不应出现未授权的d)访问控制应做到职责权限分离、最小化授权3a)处理个人信息达到国家网信部门规定数量的个人信息处理者应任命专门的个人信息保护负责2)具有较强独立性，负责人不宜兼任首席运营官、首席执行官等可能有利益冲突的3)应参与个人信息处理活动的重要决策，并直接向公司主要提供资源保障，包括但不限于提供人力、财力、物3)建立、维护、更新个人信息清单和4)组织开展个人信息安全影响分析与风险评估，督促整改；d)个人信息管理制度应由个人信息保护负责人或机构制订，明确制订程序e)应对相关制度执行情况进行记录，确保实际工b)应对应用软件进行审核和检测，对违法违规软件进行处置；e)对于违法违规应用软件，以及在通信主管部门监督检查中发现的恶意应用软件4b)不应抗拒、不配合监督检查工作；e)不应阻挠开发者或运营者积极整改，例如c)应定期进行安全培训、考核，确保人员掌握个人信息安全人信息安全事件得到及时有效处置，应急响应机3)启动所需的资源，如人员、设备、场所、工d)应配备应急响应所需的资源，确保应急响对可能危害国家安全、公共安全、经济安全和社会稳定的应按相关要求向有关部门报告。调研评估对象制定评估计划调研评估对象制定评估计划确定评估对象个人信息处理活动个人信息处理者的义务个人信息处理活动个人信息处理者的义务管理要求当前安全措施情况确认指标符合性情况判定综合判定评估结果出具评估报告多个关键信息系统和关键业务流程，也可以是被评估方的部谈等方法确认评估内容的实际保护措施或要求落实情况出具评估结论阶段应包括评估报告和结论，根据评估实施内容和具体评估指标相符合情况给出说6b)主