即时通信帐号安全

ICS35.
030CCSL80中华人民共和国国家标准GB/TXXXXX—XXXX信息安全技术即时通信服务数据安全指南Informationsecuritytechnology—Datasecurityguidelinesforinstantmessagingservices(本稿完成时间:2021年2月3日)XXXX-XX-XX发布XXXX-XX-XX实施目次前言III1范围12规范性引用文件13术语和定义14缩略语35概述35.
1即时通信服务组成35.
2即时通信服务数据范围35.
3即时通信服务数据活动35.
4即时通信服务数据安全风险46基本要求47数据收集57.
1即时通信服务必要个人信息57.
2即时通信服务可选功能收集的个人信息57.
3即时通信服务所需系统权限57.
4告知同意58数据使用68.
1数据展示68.
2加工使用69数据交换69.
1账号开通第三方应用69.
2使用第三方SDK完善服务79.
3第三方办公应用共享数据79.
4第三方商业广告系统共享数据79.
5第三方内容创作者共享数据79.
6数据出境710数据存储、传输与删除710.
1数据存储期限710.
2数据存储安全810.
3数据删除811个人信息主体权利811.
1个人信息查询、更正811.
2个人信息删除911.
3个人信息撤回授权同意912特殊场景912.
1未成年人应用即时通信服务的保护措施912.
2防范网络诈骗的个人信息安全10附录A(资料性)即时通信服务数据分级分类示例11附录B(资料性)即时通信服务可选个人信息收集范围及使用要求15附录C(资料性)即时通信服务App相关系统权限申请范围及使用要求16参考文献18前言本文件按照GB/T1.
1—2020《标准化工作导则第1部分:标准化文件的结构和起草规则》的规定起草.
本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口.
本文件起草单位:深圳市腾讯计算机系统有限公司、中国电子技术标准化研究院、中电长城网际安全技术研究院(北京)有限公司、浙江翼信科技有限公司、探探文化发展(北京)有限公司、蓝信移动(北京)科技有限公司、中国信息通信研究院、国家计算机网络应急技术处理协调中心、中国移动通信集团公司、阿里巴巴(北京)软件服务有限公司、北京奇虎科技有限公司、上海观安信息技术股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司、北京字节跳动科技有限公司、国家工业信息安全发展研究中心、恒安嘉新(北京)科技股份公司、苏宁易购集团股份有限公司、北京陌陌科技有限公司、、国家信息技术安全研究中心、中国汽车工程研究院股份有限公司、中国电子科技网络信息安全有限公司、北京三星通信技术研究有限公司、OPPO广东移动通信有限公司、郑州信大捷安信息技术股份有限公司、格尔软件股份有限公司等.

本文件主要起草人:武杨、陈舒、郭晓雷、潘慧炜、王维、邱勤、舒敏、陈湉、倪平、徐永太、周晨炜、胡影、吴华强、裴利杰、张屹、俞克群、胡绍勇、朱锦涛、田申、荆伟、吴春雨、江为强、王小璞、刘为华、周开宇、代威、朱震宇、杨厂普、黄超、刘洋、孙岩、孟娟等.

信息安全技术即时通信服务数据安全指南范围本文件规定了即时通信服务可以收集、使用、交换、存储、传输、删除的数据种类、范围、方式、条件等,以及数据安全保护要求.
本文件适用于即时通信服务运营者规范数据活动,也适用于主管监管部门、第三方评估机构对即时通信服务数据活动进行监督、管理、评估时参考.
规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.
其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件.

GB/T25069-2010信息安全技术术语GB/T35273-2020信息安全技术个人信息安全规范GB/T37964-2019信息安全技术个人信息去标识化指南GB/TAAAAA信息安全技术网络数据处理安全规范GB/TBBBBB信息安全技术移动互联网应用(App)收集个人信息基本规范术语和定义GB/T25069-2010、GB/T35273-2020和GB/T37964-2019界定的以及下列术语和定义适用于本文件.
即时通信服务instantmessagingservice即时通信服务运营者通过计算机、智能终端等的客户端软件、浏览器等向用户提供以在线实时交互为主,包括发送和接收信息(例如文本、图片、文件、音视频等)的服务.
注1:本文件所称的即时通信服务,主要针对相关商业服务,组织内部自建服务不涉及第三方的不包含在内.
注2:即时通信服务的典型应用场景包括:社交、社区、在线客服、组织通信等.
个人即时通信服务consumerinstantmessagingservice面向个人用户的即时通信服务.
组织即时通信服务enterpriseinstantmessagingservice面向组织(例如企业、政务机关等)办公场景的即时通信服务.
即时通信服务运营者instantmessagingserviceoperator即时通信平台的所有者、管理者和即时通信服务提供者.
即时通信信息instantmessaginginformation包括社交标识、通信记录、通信内容等由个人用户或组织用户在通信过程中形成的信息.
即时消息instantmessage利用互联网实时交流的信息内容,包括但不限于文本、图片、表情、短语音、短视频、分享链接、分享名片、业务表单、位置等内容.
离线消息offlinemessage用户处于下线或离线状态时,即时通信服务通过消息缓存的方式推送给用户的内容.
在线状态onlinestatus当前用户的在线状态,包含设备在线、离开、离线等状态.
单聊peer-to-peerchat两个用户之间、用户和管理员之间直接沟通.
群聊groupchat三人及以上成员构成群组,在群内收发消息.
聊天室chatroom一种多人在线实时交谈的网络空间,在同一聊天室的用户可以实时地沟通、广播和阅读公开信息.
直播聊天livechat以直播形式进行聊天室形式的即时通信.
消息同步messagesynchronization不同设备登录时,将服务器记录的消息进行同步.
社交关系链socialchain以用户为中心连接其他更多用户形成的关联结构,简称关系链.
缩略语以下缩略语适用于本文本:App移动互联网应用程序(MobileInternetApplication)SDK软件开发工具包(SoftwareDevelopmentKit)概述即时通信服务组成即时通信服务包括个人即时通信服务和组织即时通信服务,具体如下:个人即时通信服务:个人即时通信服务的参与相关方包括个人用户、即时通信服务运营者.
个人即时通信服务的主要功能包括通信交互(单聊、群聊、直播聊天)、关系链管理、群组管理、账号管理.
个人即时通服务根据业务需要,可拓展的社区信息发布、信息订阅、广告订阅等功能.
上述业务的参与相关第三方包括资讯信息、广告相关的商业机构.

组织即时通信服务:组织即时通信服务的参与相关方包括个人用户、组织用户、即时通信服务运营者.
组织即时通信服务主要功能,除个人即时通信服务的主要功能外,还包括组织资料管理、组织权限管理、组织应用管理等.
组织即时通信服务可以拓展个人即时通信服务的非主要功能,也可以根据业务需要拓展办公需要的应用集成功能.
应用集成的第三方包括软件开发相关商业机构.

即时通信服务数据范围即时通信服务数据范围包括用户身份相关数据、用户服务相关数据、用户服务衍生数据、平台类数据、业务管理类数据、运营类数据等,具体示例参考附录A.
即时通信服务数据活动即时通信服务数据活动包括收集、存储、传输、使用、共享、委托、删除等.
即时通信服务的数据活动及其角色和功能如图1所示.
个人即时通信服务活动,主要涉及个人用户注册/登录、服务平台对用户登录安全风控/审计、关系链管理、通信交互、群组管理等步骤.
组织即时通信服务活动除个人即时通信服务活动外,还包括:组织用户将从员工处收集到的资料和自身的组织架构提供给服务平台并进行实体认证,服务平台为组织员工创建账号,或员工自行创建账号,通过实体认证与组织关联,服务平台为组织用户提供即时通信、办公应用接入、风控管理等服务.

即时通信服务数据活动、风险、角色和功能示意图即时通信服务数据安全风险即时通信服务数据主要面临如下安全风险:在数据收集活动中,即时通信服务运营者过度收集个人信息或者过度索取移动终端权限的风险;在数据使用活动中,数据展示和加工处理环节可能存在对用户个人信息的滥用风险,尤其是在好友匹配、广告推荐、资讯推荐等个性化场景中,以及对未成年人的过度追踪;在数据共享活动中,如在账号开通第三方应用、使用第三方完善服务、第三方办公应用接入、第三方广告和内容创作等场景中,可能存在对用户信息的过度共享,以及第三方滥用和泄漏用户个人信息的风险;在数据传输、存储活动中,即时通信服务运营者未采取充分安全保护措施,因链路监听、攻击拖库和权限不当等带来数据泄漏、损坏和滥用风险,尤其是关系链信息泄漏造成的网络诈骗等风险;办公场景下,即时通信服务数据除了用户个人信息外,还包含组织数据,同时还面临组织数据泄漏、丢失等安全风险;收集信息时,未能有效识别未成年用户及征得未成年人监护人的有效同意,导致无法有效提供未成年人保护措施.
基本要求即时通信服务运营者应满足以下基本要求:即时通信服务的数据活动应符合GB/TAAAAA要求;即时通信服务的个人信息处理活动应符合GB/T35273—2020要求,即时通信App的个人信息收集活动应符合GB/TBBBBB要求;即时通信服务运营者应识别数据活动涉及的数据,形成数据保护目录,并对即时通信服务数据进行分级分类保护.
即时通信服务数据分级分类示例见附录A.
数据收集即时通信服务运营者在数据收集环节应符合GB/T35273-2020第5章,GB/TAAAAA第5.
1-5.
3章节和GB/TBBBBB第5.
1章节的要求.
即时通信服务必要个人信息个人即时通信服务最小必要个人信息个人即时通信服务通过App收集的用户必要个人信息按照GB/TAAAAA附录A.
2的规定执行.
组织即时通信服务必要信息根据法律法规要求或开展业务的需要,组织用户提供的信息如表1所示:组织用户注册必要信息类型具体信息收集目的及使用要求组织管理组织全称、组织地址、官方网址用于识别组织.
组织架构、部门名称用于组织成员可以便捷的找到需要沟通的人员证件类型、营业执照复印件、统一社会信用代码、组织名称、地址、法人代表姓名、法人代表身份证号、认证公函等组织实体认证组织成员信息姓名、所属部门、职位、英文名、性别、手机号、邮箱、座机号、工号等人力资源相关信息用于组织成员互相之间可以快速了解对方,与对方沟通.
即时通信服务可选功能收集的个人信息在即时通信服务过程中,即时通信服务运营者会提供一些允许用户自主选择是否使用的业务功能.
即时通信服务中典型可选功能,以及这些业务功能对应收集的个人信息范围见附录B.
.
即时通信服务所需系统权限用户在使用即时通信服务的业务功能时,业务功能会申请系统(Android、IOS)相关权限,申请权限时,应遵循"最小必要"、"授权同意"等原则.
基于即时通信服务的业务,申请的系统权限范围见附录C.