网络安全实践指南

TC260-PG-20191A网络安全实践指南—移动互联网应用基本业务功能必要信息规范v1.0-201906全国信息安全标准化技术委员会2019年6月本文档可从以下网址获得：前言《网络安全实践指南》（以下简称“实践指南”）是全国信息安全标准化技术委员会（以下简称“信安标委”，TC260）发布的技术文件。实践指南旨在推广网络安全标准，应对网络安全事件，改善网络安全状况，提高网络安全意识。II声明本实践指南版权属于全国信息安全标准化技术委员会。未经委员会书面授权，不得以任何方式复制、抄袭、影印、翻译本指南的任何部分。凡转载或引用本指南的观点、数据，请注明“来源：全国信息安全标准化技术委员会”。技术支持单位本实践指南得到中国电子技术标准化研究院、中国网络安全审查技术与认证中心、北京信息安全测评中心、北京大学、华为技术有限公司、小米科技有限责任公司、方达律师事务所，以及百度地图、高德地图、滴滴出行、微信、QQ、百度贴吧、知乎、微博、支付宝、财付通、今日头条、搜狐新闻、抖音短视频、快手、淘宝、京东、顺丰速运、菜鸟裹裹、美团、饿了么、铁路12306、中国国航、百合佳缘、BOSS直聘、京东金融、贝壳找房、瓜子二手车、毛豆新车网、人人车等移动互联网应用运营单位的技术支持。III引言为落实《网络安全法》第四十一条提出的“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”和“网络运营者不得收集与其提供的服务无关的个人信息”等要求，本文件依据相关国家标准提出的个人信息最少够用原则，针对当前移动互联网应用中存在的超范围收集、强制授权、过度索权等个人信息安全问题，结合当前移动互联网技术及应用现状，围绕用户数量大、社会关注度高的移动互联网应用基本业务功能，给出了保障其正常运行所需收集的个人信息，为移动互联网应用收集个人信息提供实践指引。1目录一、适用范围................................................................................................................2二、术语定义................................................................................................................2三、个人信息收集原则................................................................................................4四、基本业务功能相关必要信息................................................................................5（一）地图导航.....................................................................................................5（二）网络约车.....................................................................................................6（三）即时通讯社交.............................................................................................6（四）社区社交.....................................................................................................7（五）网络支付.....................................................................................................8（六）新闻资讯...................................................................................................10（七）短视频.......................................................................................................10（八）网上购物...................................................................................................11（九）快递配送...................................................................................................12（十）餐饮外卖...................................................................................................13（十一）交通票务...............................................................................................14（十二）婚恋相亲...............................................................................................15（十三）求职招聘...............................................................................................15（十四）金融借贷...............................................................................................16（十五）房产交易...............................................................................................18（十六）汽车交易...............................................................................................19五、通用功能相关必要信息......................................................................................202一、适用范围本规范给出了移动互联网应用收集个人信息的原则，以及地图导航、网络约车、即时通讯社交、社区社交、网络支付、新闻资讯、网上购物、短视频、快递配送、餐饮外卖、交通票务、婚恋相亲、求职招聘、金融借贷、房产交易、汽车交易16类基本业务功能正常运行所需的个人信息。本规范适用于移动互联网应用提供者规范个人信息收集行为，也适用于主管监管部门、第三方评估机构等对个人信息收集行为进行监督、管理和评估，还可为移动互联网应用开发者、移动互联网应用分发平台运营者和移动智能终端厂商提供参考。二、术语定义1、移动互联网应用安装、运行在移动智能终端上的应用程序。2、业务功能满足个人信息主体的具体使用需求的业务或功能。如地图导航、网络约车、即时通讯社交、社区社交、网络支付、新闻资讯、网上购物、快递配送、交通票务等。3、基本业务功能满足个人信息主体选择使用移动互联网应用的最主要需求和根本期待的业务或功能。34、非基本业务功能移动互联网应用所提供的基本业务功能之外的其他业务或功能。5、必要信息保障移动互联网应用基本业务功能正常运行所需的个人信息。关于个人信息的范围和类型参见GB/T35273《信息安全技术个人信息安全规范》附录A。6、移动互联网应用提供者提供移动互联网应用的组织或个人。7、移动互联网应用开发者设计开发移动互联网应用程序的组织或个人，包括移动互联网应用程序的开发者，以及移动互联网应用集成的第三方代码开发者和提供者。8、移动互联网应用分发平台运营者面向公众提供移动互联网应用分发服务的组织，负责管理移动互联网应用分发平台，对移动互联网应用开发者上传的应用软件进行内容审核、版权保护、发布和管理，同时向移动互联网应用消费者提供应用软件搜索、浏览、下载的渠道。9、移动智能终端厂商生产移动智能终端的组织。移动智能终端，是指能够接入移动通信网，具备能够提供应用程序开发接口的开放操作系统，并能够安装和运行应用软件的移动终端。4三、个人信息收集原则移动互联网应用个人信息收集活动，主要依据GB/T35273《信息安全技术个人信息安全规范》的“4个人信息安全基本原则”，遵循以下基本原则：1）权责一致原则——个人信息收集应遵循法律法规要求，不采用非法的方式和渠道收集个人信息，不收集法律法规禁止的个人信息，不违反与用户的约定收集使用个人信息，并对因个人信息处理活动对个人信息主体合法权益造成的损害承担责任。2）目的明确原则——向用户明示收集使用个人信息的目的、方式和范围，收集的个人信息及申请的权限应具有合法、正当、必要、明确的收集使用目的和业务功能。3）最少够用原则——不收集与其提供的服务无关的个人信息，不申请打开可收集无关个人信息的权限。只收集满足业务功能所必需的最少类型和数量的个人信息，自动收集个人信息的频率不超过业务功能实际所需的频率。4）选择同意原则——仅当用户知悉收集使用规则并明确同意后，网络运营者方可收集个人信息。不以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，以默认授权、功能捆绑等形式强迫、误导个人信息主体同意其收集个人信息。不因个人信息主体拒绝或者撤销同意收集必要信息以外的其他信息，而拒绝提供基本业务功能服务或频繁征求用户同意。5）公开透明原则——以明确具体、简单通俗、易于访问的方式5公开收集、使用个人信息的规则，并接受外部监督。6）确保安全原则——采用足够的安全技术和管理措施，保障个人信息收集安全，防范数据窃取、违规爬取、采集传输泄密等安全风险。四、基本业务功能相关必要信息依据个人信息收集最少够用的原则，本规范针对地图导航、网络约车、网上购物等16类基本业务功能，给出了每类业务功能相关的必要信息范围。必要信息主要包括基本业务功能相关必要信息和通用功能相关必要信息：基本业务功能相关必要信息，是与基本业务功能直接关联，一旦缺少会导致基本业务功能无法实现或无法正常运行的个人信息；通用功能相关必要信息，是相关法律法规要求、保障移动互联网应用安全风险管控所必需的个人信息。（一）地图导航地图导航是指基于用户地理位置，为用户提供互联网地图和导航服务的业务功能，包括基于用户地理位置定位提供地图搜索和展示服务，及根据用户指令提供由起点到终点的路线规划、导航服务。地图导航基本业务功能收集的必要信息如表1所示。表1地图导航基本业务功能必要信息业务功能收集信息使用要求地图导航位置信息•精准定位信息•行踪轨迹精准定位信息仅用于确定用户位置，进行地图搜索展示和导航服务。行踪轨迹仅用于在导航服务中判断实时路况及重新规划导航路线。6（二）网络约车网络约车是指为用户提供网络预约汽车服务（不包含汽车租赁