SDK安全 | 《重庆市金融服务类移动互联网应用程序个人信息保护指南》再谈SDK管理——近年SDK安全要求浅析

2024年4月，国家金融监督管理总局重庆监管局、重庆市地方金融管理局、重庆市通信管理局三部门联合印发《关于促进金融服务类App个人信息保护合规经营能力提升的通知》，并梳理完成《重庆市金融服务类移动互联网应用程序个人信息保护合规指南（V1.0）》（以下简称“《指南》”）为辖地金融服务移动应用（App）的开发、运营提供安全合规宣导。

近年来，软件开发工具包（SDK）得到广泛应用，其安全合规问题引发关注。重庆市三部门在《指南》中明确提出加强软件开发包（SDK）接入管理，并参考现有SDK相关安全合规政策、标准要求，结合金融行业“强合规、重安全”特点，从SDK准入审核、权责划分、明示同意等方面切入，给出了“第三方SDK评估重点、接入开源SDK注意事项、明示SDK信息要点”等详细指引，为相关要求的落地实施提供了有益参考，助力金融服务App接入第三方SDK服务安全合规水平。

此前，工业和信息化部（以下简称“工信部”）于2023年曾发布《工业和信息化部关于进一步提升移动互联网应用服务能力的通知》，其中不仅提出加强SDK使用管理，要求App开发运营者主动展开针对SDK个人信息保护能力相关评估，更就SDK提供者需履行的责任与义务进行了明确，提出规范SDK服务的三项举措，即“建立信息公示机制、优化功能配置、加强服务协同”。同年，我国首部SDK国家标准《信息安全技术 移动互联网应用程序（App）软件开发工具包（SDK）安全要求》发布，该标准从产品设计、开发、发布、运营、终止运营等生命周期视角出发，明确了SDK各阶段安全要求，其中在开发、运营阶段，标准规定SDK产品需开展相应评估，并应向App开发者提供安全能力说明。

此外，近年金融等行业也针对SDK安全合规接入、使用出台了多份标准。其中，2020年发布的行业标准《网上银行系统信息安全通用规范》对网上银行客户端接入第三方SDK提出了总体的安全管理要求，指出App开发过程中需规避SDK安全风险，并应在必要时要求开发者进行SDK选型安全测试。2021年发布的《银行业第三方软件开发工具包（SDK）安全接入指南》则进一步明确了App开发者集成“交互、无交互、推送”等不同类型SDK时应具备的安全措施，要求App开发者实施引入前审核、引入中监控、退出时审计追溯等全周期管理，确保引入第三方服务的安全性，保障业务服务及数据安全。

SDK相关政策、标准、指南文件梳理（部分）

通过对相关政策、标准的追踪不难发现，2020年以来，SDK安全合规要求已逐步明晰，配套标准日益完善，安全合规工作已逐步进入落地实施阶段。2020年，工信部发布《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》，明确将SDK提供者列为整治对象。2022年以来，相关监测巡查工作持续深化，工信部及地方行业主管部门针对SDK违法违规行为开展了多次通报。

作为移动互联网软件开发中不可或缺的一环，面对SDK安全合规要求的日益清晰与治理工作的不断深化，需从供、需两侧入手，提升行业整体安全合规水平。一方面，App开发者应加强安全意识，接入SDK前开展审慎的安全评估，针对广告、支付、认证、安全风控等对用户影响较大、安全要求较高的SDK开展选型测试与定期核查，把好第三方服务安全准入关。另一方面，SDK提供者应提升产品安全运营水平，在设计开发、运行维护等各环节坚持安全合规底线，持续追踪法律法规及标准要求，完善安全合规能力建设，努力营造能够“安全开发、规范集成、放心使用”的健康行业生态。