中國西藏網(wǎng)訊 9月17日，在2019年國家網(wǎng)絡(luò)安全宣傳周的個人信息保護分論壇上，中國信息通信研究院安全研究所所長魏亮向記者介紹了如何應(yīng)對App個人信息安全風險。

圖為2019年網(wǎng)絡(luò)安全博覽會上App個人信息保護展臺“共創(chuàng)安全”展板

　　現(xiàn)狀如何？10月底之前對主流App進行安全檢查

　　目前,在群眾的生活中，App已經(jīng)成為生活的必需品。只要是智能手機上，都會下載一些社交的、生活類的、地圖導航類等各種App。魏亮列舉了一連串的數(shù)字，在移動互聯(lián)網(wǎng)時代，我國手機網(wǎng)民有8.47億，截至2018年約有449萬款App，第三方應(yīng)用下載1.8萬億次。

　　隨著互聯(lián)網(wǎng)技術(shù)的開發(fā)和App應(yīng)用，強制授權(quán)、過度授權(quán)、超范圍收集個人信息導致一些個人信息被濫用或者惡意使用，給人們的生活帶來一些不便，甚至給財產(chǎn)帶來損失。魏亮說，“現(xiàn)在不單個人用戶注意到了這個問題，相關(guān)的部門也注意到了。”今年1月，中央網(wǎng)信辦、工信部、公安部、市場監(jiān)管總局聯(lián)合開展綜合治理，指導成立了App專項治理工作組，開發(fā)舉報平臺，進行App違法違規(guī)收集個人信息的專項治理行動。

　　“工信部在電信和互聯(lián)網(wǎng)行業(yè)保護安全提升工作方案中也要求，10月底之前要對全部的基礎(chǔ)電信企業(yè)，50家重點互聯(lián)網(wǎng)企業(yè)，200款主流App進行安全檢查。App安全已經(jīng)受到了關(guān)注，已經(jīng)付諸行動。”

　　問題來了！關(guān)掉GPS真的就不會被收集位置信息嗎

　　魏亮羅列了一些App應(yīng)用獲取個人信息的典型問題。

　　第一種，隱蔽地收集個人信息。魏亮介紹，“我們在媒體和測評中看到，部分App存在未經(jīng)個人同意的情況就開始收集、上傳個人信息。比如說手機號、MAC地址、賬號、密碼等個人信息，有些可能不在意，但是賬戶密碼涉及到個人資產(chǎn)。很典型的是獲取系統(tǒng)的高危權(quán)限等，隱蔽地收集個人信息。”

　　第二種，超出用戶心理預期。把GPS關(guān)了，那它不收集手機的位置信息了吧？魏亮直接指出這種想法是錯誤的，“實際上它還能通過wifi知道我的位置，這就超出預期了。”

　　第三種，誤導用戶同意后收集個人信息。幾乎每個智能手機用戶都會遇到的這樣的情況，安裝某些軟件或者充值時，收到提示信息顯示“允許開啟手機通訊錄權(quán)限，以便讀取聯(lián)系人電話號碼，進行充值”。魏亮說：“這就是一個誤導，它要獲取你的通訊錄信息。”

　　第四種，第三方SDK存在安全風險。魏亮坦言，“第三方SDK自身存在安全漏洞，第三方SDK成為惡意代碼傳播途徑，SDK隱蔽收集個人信息……App也不清楚，這是使用了第三方SDK存在的風險。大量的App都嵌入SDK，存在一些風險，比如說Facebook。”

圖片為魏亮在論壇上發(fā)表演講

　　如何解決？各方努力共建良好生態(tài)

　　魏亮舉例，在App使用過程中，即使用戶不喜歡廣告，也不能很簡單粗暴的禁止廣告，“因為廣告是一個很大的產(chǎn)業(yè)，有了這些廣告可以給你提供更便利的服務(wù)和信息，簡單粗暴的禁止是不現(xiàn)實的，可能最后是一個平衡”。

　　他表示“一刀切”的做法不可取，“一刀切很簡單，但對產(chǎn)業(yè)的傷害是非常嚴重的。App個人信息安全復雜多樣，涉及多個主體，解決好個人信息的問題，要構(gòu)建一個生態(tài)，需要政府部門、相關(guān)企業(yè)、App企業(yè)、SDK企業(yè)、手機企業(yè)、應(yīng)用商店企業(yè)、行業(yè)組織、研究機構(gòu)共同處理。”

　　“要加快立法，細化個人信息收集使用規(guī)范，現(xiàn)在的法律規(guī)范雖然有相關(guān)內(nèi)容，但不能滿足需求。”魏亮認為，推動個人信息保護法的出臺，明確個人信息保護的義務(wù)、權(quán)利，加強對違法違規(guī)行為的追究，同時也是對數(shù)據(jù)的所有權(quán)，數(shù)據(jù)資產(chǎn)保護等問題的分析研判，厘清法律邊界，梳理相關(guān)立法線條。

　　在App個人信息保護過程中，做好安全升級，貫徹隱私保護的設(shè)計理念必不可少。“不管是App廠家也好、SDK廠家也好，研發(fā)的過程中，編碼的過程中就要關(guān)注到隱私保護的理念，貫徹到代碼和設(shè)計思路和整體架構(gòu)中，這樣才能夠保護到一些個人信息，提高個人信息保護的水平。”除此之外，魏亮認為，應(yīng)該加快技術(shù)革新，加強數(shù)據(jù)安全技術(shù)研發(fā)。“比如說防竊密、防篡改、防泄漏、數(shù)據(jù)脫敏、關(guān)鍵數(shù)據(jù)審計、流動追溯和數(shù)據(jù)備份等安全技術(shù)的研發(fā)和商業(yè)部署，更好的保護個人信息，此外還要運用大數(shù)據(jù)、人工智能，提升安全防護的能力。”（中國西藏網(wǎng) 記者/王茜 攝影/王茜）