為提昇app使用安全,經濟部工業局今天(8/17)宣布啟動行動應用app安全認證機制,未來將鼓勵國內app通過測試取得認證,以強化行動應用安全。

去年小米手機引發國內行動裝置使用安全的議題,行政院因此規畫擬定我國行動裝置、應用軟體安全檢測規範,NCC負責研擬手機及平板電腦的硬體、預載系統,與軟體的安全規範,去年已對小米等多家手機檢測,經濟部負責擬定行動應用程式的安全規範。

今天經濟部工業局宣布正式啟動國內行動應用app的基本資安規範及檢測機制,經濟部次長沈榮津表示,考量app產業特性,廠商規模小、家數多、進入門檻低、產品變動快速,採用專家建議,app安全規範不會立法強制執行,而是以自主輔導方式進行,未來再視績效調整。

沈榮津指出,app安全認證機制是為了建立我國app資安檢測產業能量,以及培養國內app開發者的資安防護能力。有鑑於app資安問題已成為全球的焦點,我國搶先其他國家建立機制將能先一步搶占全球app檢測商機,也是國內app產業發展的里程碑。

行政院副院長張善政表示,經濟部完成app基本資安規範及相關檢測基準,著手檢測試辦,未來透過落實檢測可提昇app安全防護能力,降低民眾個資外流的風險。這套自主認證機制未來會先由政府的便民app,如「統一發票」、「公車動態」優先推動,逐漸擴大到政府其他app。未來期盼產業界一起加入推動。檢測規範對app使用者、開發者、檢測產業帶來三贏。

app安全規範分三級

工業局委託資策會擬定這項規範,而資策會則邀請資安專家等產官學人士研擬,參考國外如OWASP等檢測標準,今年7月完成「行動應用app基本資安檢測基準V1.0」及「行動應用app基本資安自主檢測推動制度V1.0」,8月14日已在經濟部通訊產業發展推動小組網站上公告

App安全規範對象包括通用性行動應用程式,以及非特定領域的行動應用程式,安全規範等級分初級、中級、高級。初級適用無連線之基礎功能app,中級適用於初級、連網、身份登入驗證的app,高級則包含中級、付費服務的app。

初級要求11項規範,包括程式發布、更新,敏感性資料的蒐集、利用、儲存、分享、刪除、防範惡意程式碼與漏洞、函式庫引用安全等等。中級規範除了初級的11項外,還有敏感性資料傳輸、使用者身份認證及授權、連線管理機制;高級規範除了需達到中級,還包含付費資源使用、付費資源控管、行動應用程式完整性。

目前已有12款app先通過初級的安全認證,包括華碩WebStorage、台灣大哥大M+ Messenger、博客來、驅動城市、源思Juiker等等。app安全認證機制今天啟用後,從今年10月1日開始到明年9月底,為期一年先由資策會進行試辦,有意願檢測的開發者可向資策會聯繫,未來將交由全國認證基金會(TAF)審核認證、合格的實驗室進行檢測,檢測需支付相關認證審核等費用,但詳細費用金額尚未公佈。

資策會技術長陳明義表示,通過安全認證的app將獲得認證標章,供國內民眾下載app前的參考,未來還會與Google Play、App Store協商將國內認證加入app下載服務平台中。通過認證的app也會持續檢視上架版本是否為獲得認證的版本,是否需要重新取得認證,以維持認證的品質。


Advertisement

更多 iThome相關內容