文档介绍：该【基于APP的个人隐私安全保护研究 】是由【彩霞】上传分享，文档一共【8】页，该文档可以免费在线阅读，需要了解更多关于【基于APP的个人隐私安全保护研究 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。基于APP的个人隐私安全保护研究
摘要:近年来,手机APP强制授权、过度索权、超范围收集个人信息的现象大量存在,APP背后的个人隐私安全问题面临着严峻挑战。为了更好的保障个人隐私安全,文章分析了APP个人隐私安全存在的制度不完善、越界获權等威胁,通过对APP隐私安全治理进行研究,设计了隐私政策内容及制定规范,并从法律、政府职能、开发管理者、个人层面提出安全防范对策。
关键词:APP;隐私安全;隐私政策;防范对策
1引言
伴随着移动互联网相关技术的快速发展和应用,我国移动设备和智能终端占据市场规模份额持续增长,移动互联网应用程序(Application,APP)市场不断活跃。据国家互联网应急中心统计,我国境内应用商店数量已超过200家,上架APP近500万款,下载总量超过万亿次,发展势头迅猛。移动互联网应用程序正不断地渗透到人们的日常生活、学****工作中。
在各类APP为人们生活带来便捷的同时,APP背后的个人隐私安全问题也日益突出。例如超范围收集个人信息、强制授权、过度索权的现象屡禁不止,APP隐私政策缺失或设计不足,大量个人隐私信息包括账号信息、IMEI、短信、通讯录、通话记录严重外泄,却无法追究责任,违法违规使用用户个人信息的问题十分突出。
2APP个人隐私安全威胁
自《中华人民共和国网络安全法》(以下简称“网络安全法”)[1]的正式实施以来,APP行业标准日益完善,大部分APP开发管理者已经意识到个人信息保护的重要性,按照相关法律法规制定了隐私政策并公开发布。但是仍有一部分APP未以单独成文的形式发布隐私政策,而是作为用户协议、用户说明等文件中的一部分,甚至无隐私政策。即使是制定了隐私政策的APP,仍存在着隐私政策描述不清晰、不完整的问題,未能逐一说明APP涉及收集个人信息的各项业务功能及其收集的个人信息类型,也未能清晰完整地描述个人信息处理规则等情况。
目前,虽然没有明确的法律法规明文规定APP上架必须具有隐私政策,但是APP开发管理者应当制定并完善单独成文的隐私政策,明确告知用户个人信息收集、使用、存在的危险等内容,保障用户个人信息的安全性。
根据《网络安全法》第四十一条规定,网络运营者收集、使用个人信息应当遵循合法、正当、必要的原则,公开收集、使用规则,明确收集、使用信息的目的、方式和范围,并经过被收集者的同意。处理个人信息要遵循“最小够用”原则,要征得个人信息主体同意等原则。但是,根据中国消费者协会发布的《100款APP个人信息收集与隐私政策测评报告》显示,91款APP列出的权限涉嫌“越界”,越界违规获取了定位、通讯录、摄像头等信息APP占总比91%,APP涉嫌过度收集或使用个人信息情况如图1所示。
SDK(SoftwareDevelopmentKit)[2]即软件开发工具包。很多互联网初创型企业,在创业之初,由于资金和人力方面的限制,APP运营者为了节约开发成本、提高工作效率,通常都会使用多种第三方的SDK。
第三方开发的SDK在设计能力上也是良莠不齐,有些SDK往往侧重于功能性的完善,而在安全性方面考虑不足,从而导致APP使用第三方SDK时会发生许多安全问题。一些APP对嵌入的第三方SDK未采取任何明示方式告知用户SDK收集个人信息目的、方式、范围,利用第三方SDK隐瞒收集个人信息标识、轨迹、个人偏好、网络设备信息等类型的个人信息,并向远程服务器甚至境外服务器进行回传。
***
手机病毒是一种具有传染性、破坏性的手机恶意程序,可以做到侵入用户手机、获取个人短信、通讯录等信息,APP用户却毫不知情。据吕云峰[3]文章研究显示,近年来手机病毒增长迅速,主要以信息窃取、资费消耗、流氓行为、恶意扣费为主。手机病毒类型比例如图2所示,其中信息窃取类病毒占比26%,位居第一,其次是资费消耗类病毒占比25%,第三名是流氓行为类病毒占比18%。
除官方应用商城外,部分APP开发商会通过弹窗、广告等形式,为用户推送含有木马病毒的APP下载链接,用户点击下载并安装后,病毒就会自动扫描手机中通信、短信、账号密码等个人隐私信息[4],并将相关数据回传服务器,严重威胁用户个人信息安全。
3APP隐私安全治理研究
自2016年以来,我国制定了多项移动互联网应用程序服务管理规范,有效指导APP运营者加强用户个人信息保护,规范市场秩序。我国近年来制定的个人信息保护指导与政策文件如表1所示。
为了更好的保障个人信息安全,维护广大网民合法权益。中央网信办、工业和信息化部、公安部、市场监管总局于2019年在全国范围内组织开展APP违法违规收集使用个人信息专项治理,组织开展移动应用专项评估。专项治理工作初见成效,发布了包括《APP违法违规收集使用个人信息自评估指南》《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》《APP违法违规收集使用个人信息行为认定办法》等多项隐私安全治理指导文件。
隐私政策文件将作为APP上线的基本规范内容,APP开发管理者应明确按照相关法律法规,制定内容清晰易懂,符合通用语言****惯,易于访问(少于五次点击可访问)的成文隐私政策。同时应保证隐私政策所告知的信息应真实、准确、完整,当APP功能发生变化时,应及时更新隐私政策并重新告知个人信息主体。若APP无独立成文的隐私政策,监管部门应指导各应用商店拒绝其上架。
隐私政策制定规范内容,参考毕颖[5]提出的报告指南,包括但不限于八点。(1)个人信息控制者的基本情况,包括注册名称、注册地址、常用办公地点和相关负责人的联系方式等。
(2)收集、使用个人信息的目的,以及目的所涵盖的各个业务功能,例如将个人信息用于推送商业广告,将个人信息用于形成直接用户画像及其用途等。
(3)各业务功能分别收集的个人信息,以及收集方式和频率、存放地域、存储期限等个人信息处理规则和实际收集的个人信息范围。
(4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及所承担的相应法律责任。
(5)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施。
(6)个人信息主体的权利和实现机制,如访问方法、更正方法、删除方法、注销账户的方法、撤回同意的方法、获取个人信息副本的方法、约束信息系统自动决策的方法等。
(7)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响。
(8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式。
4APP隐私安全防范对策
在数据时代下,APP个人隐私安全需要社会各界共同努力。一是国家立法部门应建立更完善的网络隐私保护立法,为消费者个人信息安全提供最根本的制度保障。二是各部门应采取严厉手段,对违法使用个人信息进行牟利行为进行打击。三是APP开发管理者应开发更加完善的个人信息保护手段,避免第三方恶意SDK造成个人信息泄露的威脅;同时应建立规范的隐私政策,并积极提示用户阅读;对于权限的调用,个人敏感信息的采集,应明确告知目的并通过显著方式提醒用户,充分保障用户知情权和自愿权。四是APP使用者下载手机软件时一定要通过正规应用市场下载,切勿直接点击不安全的网页弹窗安装;同时积极阅读隐私政策,明确个人信息收集规则,尽量减少APP权限的授予,避免非必要权限授权;最后,当发现强制、隐瞒开启权限,隐私收集个人信息的软件,及时向APP专项治理组或有关部门举报。
5结束语
随着移动互联网应用程序数量不断增长,APP的安全问题需求和呼声也越来越高。本文首先分析了APP个人隐私安全存在的APP隐私政策不完善、越界违规获取隐私权限、第三方SDK良莠不齐和病毒***威胁。接着进行隐私安全治理相关研究,并针对隐私政策设计了指导规范。最后应对APP隐私安全,从上层法律法规到开发管理者最后到使用者,提出了APP隐私安全保护策略。
参考文献
[1][EB/OL]..
[2][J].LaserFocusWorld,2019,55(7).
[3][J].信息安全研究,2019,5(03):186-191.
[4]“开刀”[J].智慧中国,2019(06):72-73.
[5]毕颖.《互联网个人信息安全保护指南》剑指何方[J].保密工作,2019(07):60-62.
1/view-