最新《軟體開發包（SDK）安全與合規報告》發布

近日，由中國信息通信研究院（以下簡稱「中國信通院」）安全研究所與北京環球律師事務所主辦的「加速推進數據要素市場化背景下——數據安全與治理研討會」主題論壇在深圳舉辦。

論壇上，藍皮報告《軟體開發包（SDK）安全與合規報告（2020）》（以下簡稱「報告」） 正式發布。報告對2019年版進行修訂，補充了中國信通院與北京環球律師事務所在第三方SDK安全與合規問題方面的最新研究成果，為移動網際網路網絡與數據安全、個人信息保護管理要求及規則的制定提供有益參考。作為國內第三方SDK代表廠商，TalkingData參與了本報告的討論與編寫，在開發者協議和隱私政策、標識用戶方法及安全措施、數據存儲安全措施等SDK安全與合規方面的相關實踐，也獲得報告的收錄。

以下為報告節選

完整報告請前往文末下載

報告前言

App在提供各類便捷、高效、普惠服務的同時，也在無時不刻地收集、使用用戶的個人信息，與App存在密切聯繫的第三方軟體開發包（SDK）收集個人信息問題也已經進入各方視野。2019年下半年起至2020年，不論是立法動態還是監管角度，均將SDK違法違規收集個人信息作為審查的重點之一。

在立法和國家標準制定方面，《數據安全管理辦法（徵求意見稿）》《GB/T 35273-2020信息安全技術 個人信息安全規範》《網絡安全標準實踐指南 移動網際網路應用程式（App）中的第三方軟體開發工具包（SDK）安全指引（徵求意見稿）》《信息安全技術 個人信息告知同意指南（徵求意見稿）》等國家標準的研究也開始涉及第三方介入（包括SDK）這一特定領域。

在監管方面，中央網信辦、工業和信息化部、公安部、市場監督總局四部委組建的App專項治理工作組在全國範圍開展較大規模的App的審查與治理行動，從曝光的結果來看，已對App中嵌入的違規SDK廠商，採取了包括但不限於約談企業負責人、網上曝光、App下架等措施。由此可見，2020年，SDK的合規性已經成為監管的重點。

本報告將在2019年版本的基礎上，進一步梳理當前應用較為廣泛的第三方SDK類型和市場情況，結合實際案例分析第三方SDK存在的主要安全問題以及第三方SDK提供者與App開發者合作過程中面臨的法律合規問題。通過調研歐盟、美國的相關經驗做法，從法律法規、企業責任、技術標準、行業自律等方面結合我國實際情況提出了有針對性的建議。

本報告2020年版比照2019年版的主要修訂在於：

• 更新了2019年至今監管層面、國家標準層面針對SDK的規制；
• 更新了對App開發者嵌入第三方SDK的合規實踐建議；
• 更新了第三方SDK自身的合規實踐建議；
• 更新了第三方SDK產品最新的合規實踐案例。

報告目錄

01，第三方SDK的業內現狀

1. 第三方SDK常見類型及應用情況
2. 第三方SDK安全標準化現狀
3. 第三方SDK普遍應用的原因分析

02，第三方SDK的主要安全問題及分析

1. 第三方SDK自身安全性不容樂觀
2. 第三方SDK成為病毒傳播新途徑
3. 第三方SDK隱蔽收集個人信息問題逐步顯現

03，第三方SDK的主要合規問題及分析

04，第三方SDK管理的域外經驗

1. 歐盟的第三方SDK管理經驗
2. 美國的第三方SDK管理經驗

05，針對我國第三方SDK管理的相關建議

1. 儘快完善相關法律法規，明確相關主體的責任義務
2. App開發者需要積極履行數據合規義務
3. 第三方SDK提供者需要加快構建數據安全合規體系
4. 加快完善SDK安全標準及指南
5. 鼓勵第三方SDK企業開展行業自律

附屬，第三方SDK產品的安全與合規實踐

1. 極光SDK的安全與合規實踐
2. 小米推送SDK的安全與合規實踐
3. TalkingData SDK的安全與合規實踐

關於TalkingData：TalkingData 成立於2011年，是國內領先的數據服務提供商。TalkingData秉承「數據改變企業決策，數據改善人類生活」的願景，圍繞TalkingData SmartDP數據智能平臺（TalkingData數據中臺）構建「連接、安全、共享」的數據智能應用生態，致力於用數據+科技的能力為合作夥伴創造價值，幫助商業企業和現代社會實現以數據為驅動力的智能化轉型。

↓↓↓下載完整報告，請點擊「擴展連結」