Colección de citas famosas - Consulta de diccionarios - Publicado el primer documento técnico sobre cumplimiento de seguridad en la industria de la mensajería instantánea.

Publicado el primer documento técnico sobre cumplimiento de seguridad en la industria de la mensajería instantánea.

Prefacio

A medida que la nueva ola de Internet móvil y las tecnologías de comunicación 5G arrasa el mundo, los modelos de comunicación tradicionales han experimentado cambios trascendentales. Las personas se han acostumbrado a compartir todos los aspectos de sus vidas a través de software de mensajería instantánea y plataformas de comunicación en línea. A medida que las personas se vuelven más abiertas acerca de sus vidas, comienzan a prestar atención a la privacidad y la seguridad.

La privacidad, como espacio privado, actividades privadas e información privada que la gente no quiere saber, siempre ha sido una preocupación para los internautas. Especialmente cuando utilizan servicios de mensajería instantánea, los usuarios pueden transmitir fácilmente su privacidad a Internet. Esto les facilita disfrutar de servicios convenientes y al mismo tiempo afecta su tranquilidad debido a las filtraciones de privacidad. En los últimos años, varias filtraciones de privacidad han hecho que la gente dude de las capacidades de protección de la privacidad de los proveedores de servicios de red mientras disfrutan de convenientes servicios de Internet. Hasta cierto punto, la protección de la privacidad se ha convertido gradualmente en un factor importante que los usuarios consideran al elegir servicios en línea. Para proteger la privacidad de los usuarios, se han promulgado leyes y regulaciones relacionadas con la protección de la privacidad en todo el mundo, lo que hace que la protección y el cumplimiento de la privacidad sean más desafiantes para las empresas.

Como fundador y líder de la nube global de mensajería de Internet, la seguridad de los datos y la privacidad del usuario es la mayor preocupación de Huanxin. Huanxin siempre considera la seguridad de los datos y la privacidad del usuario como su principal principio de seguridad y la integra como concepto en el desarrollo de capacidades de seguridad. En 2021, Huanxin Industrial tomó la iniciativa en la aprobación de los estándares de cumplimiento de seguridad pertinentes del RGPD, el proyecto de ley de protección de datos más estricto de la historia.

Para ayudar a los desarrolladores y usuarios a percibir y comprender los esfuerzos de Huanxin en los servicios de mensajería instantánea y comprender los atributos de seguridad de los servicios de Huanxin, CSDN y Huanxin publicaron el primer documento técnico sobre cumplimiento de seguridad de la industria de la mensajería instantánea. Este documento técnico proporciona un análisis integral de las tendencias de cumplimiento de seguridad y las prioridades regulatorias en el país y en el extranjero. Al mismo tiempo, se brindan la experiencia y sugerencias para el desarrollo del cumplimiento de seguridad de Huanxin en el campo de la mensajería instantánea, y también se enumera el trabajo relevante de cumplimiento de seguridad de los servicios en la nube de Huanxin, con la esperanza de proporcionar una referencia completa y detallada para la construcción. capacidades de seguridad para la industria.

Índice

1. Tendencias en el cumplimiento de la seguridad

1.1 Las regulaciones de privacidad son cada vez más estrictas.

1.2APP/SDK se vuelve más estricto.

1.3 Marco básico de cumplimiento de seguridad

2. Enfoque regulatorio nacional y extranjero

2.1 Lanzamiento de la aplicación nacional: recopilación de información

2.2 Nacional Lanzamiento de la aplicación: cumple con las normas de seguridad

2.3 ¿Atención en el extranjero? Derechos de la familia

2.4*** Preguntas frecuentes: datos transfronterizos

3. Requisitos de cumplimiento de seguridad

3.1 ¿Cómo evaluar los requisitos de cumplimiento de seguridad?

3.2 Dimensiones de la arquitectura del producto

3.3 Dimensiones del proceso de procesamiento de datos

4. Experiencia y sugerencias para el desarrollo del cumplimiento de la seguridad

4.1 ¿Cumplimiento de la seguridad? ¿Qué implica la construcción?

¿4.2? ¿Antes del cumplimiento de seguridad?

4.3 Sugerencias de desarrollo: campo de mensajería instantánea

5. Cumplimiento de la seguridad ambiental, protección de la privacidad y certificaciones relacionadas.

5.1 Cumplimiento de seguridad y protección de la privacidad de Huanxin

5.2 Estándares y certificación de seguridad (GDPR)

6. Seguridad del servicio PaaS de mensajería instantánea de Huanxin.

6.1 Seguridad de los recursos informáticos del centro de datos

6.2 Seguridad del SDK

6.3 Seguridad RESTfulAPI

7. >7.1 Política de seguridad de datos

7.2 Recopilación de datos

7.3 Desensibilización de datos

7.4 Protección de datos y transmisión cifrada

7.5 Uso y almacenamiento de datos

7.6 Derechos de los datos del usuario

8. Operaciones de seguridad

8.1 Gestión del ciclo de vida del desarrollo de seguridad SDL

8.2 Anti-intrusión y monitorización de seguridad

8.3 Mecanismo de emergencia de seguridad

8.4 Cooperación en materia de seguridad

Requisitos de cumplimiento de 9.9.

Los desarrolladores de aplicaciones acceden al SDK de Huanxin

9.1 Cumplimiento del contenido de la política de privacidad

9.2 Cumplimiento del formulario de visualización de la política de privacidad

10 Conclusión

Introducción

p>

Con regulaciones cada vez más estrictas, los escenarios de mensajería instantánea encontrarán muchos desafíos en el campo del cumplimiento de la seguridad. Cómo cumplir con estos requisitos de seguridad y cómo proteger la privacidad del usuario es un asunto muy desafiante.

Primero, tendencias de cumplimiento de seguridad

1.1, la supervisión de la privacidad es cada vez más estricta.

En los últimos cuatro o cinco años, la tendencia del cumplimiento de la seguridad se ha vuelto cada vez más estricta, y varios países han introducido leyes y regulaciones relativamente estrictas relacionadas con el cumplimiento de la seguridad, como la Ley de Privacidad del Consumidor de California y la Ley de Privacidad del Consumidor de California. La Ley de Protección de la Privacidad Infantil en Línea, la HIPPA en los ámbitos médico y de seguros y el Reglamento General de Protección de Datos más representativo introducido por la Unión Europea. El año pasado, China también promulgó una ley de protección de información personal.

La “Ley de Seguridad de Datos”, junto con la anteriormente publicada “Ley de Ciberseguridad”, ha ido mejorando su cobertura en el ámbito del cumplimiento de la seguridad.

1.2, App/SDK se vuelve cada vez más estricto.

En la Figura 1 se muestran las principales leyes y normativas relevantes en nuestro país, y esta tendencia es cada vez más estricta. Por ejemplo, todas las noticias o anuncios emitidos por el Ministerio de Industria y Tecnología de la Información involucran contenido relacionado con la privacidad de los datos personales.

1.3.Marco básico de cumplimiento de seguridad

El marco básico de cumplimiento de seguridad se puede resumir en dos direcciones, una es el consentimiento informado del usuario y la otra es la obligación de seguridad. Tomemos como ejemplo el Reglamento General de Protección de Datos (GDPR). Es una disposición legal que incluye diversas medidas regulatorias y sanciones, y también estipula los derechos de los usuarios que deben protegerse. Las siguientes secciones describen algunos permisos de usuario específicos.

2. Puntos clave de la supervisión nacional y extranjera

En cuanto a los puntos clave de la supervisión nacional y extranjera, desde una perspectiva nacional en los últimos años, incluyen principalmente los siguientes aspectos:

2.1, lanzamiento de la aplicación nacional: recopilación de información

Como se muestra en la Figura 2, la recopilación de información del usuario ha recibido cada vez más atención. Los ministerios y comisiones nacionales publicaron el "Reglamento sobre el alcance de la información personal necesaria para aplicaciones comunes de Internet móvil", señalando la información personal necesaria que se puede recopilar en veinte o treinta escenarios.

Por ejemplo, navegación por mapa, su función básica es la navegación de posicionamiento, y la información personal necesaria es información de ubicación, lugar de salida y lugar de llegada. Cuando los desarrolladores desarrollan aplicaciones, primero deben confirmar la información relevante. Si se recopilan datos innecesarios, la aplicación no estará disponible.

Otro ejemplo son las aplicaciones comunitarias online, cuyas funciones básicas son blogs, foros, etc. Esta información personal se acerca a la información necesaria para la mensajería instantánea, como el número de teléfono móvil del usuario, los contactos de la cuenta, etc. El tipo de llamada de automóvil en línea también estipula el número de teléfono, incluido el lugar de salida, el lugar de llegada, la hora de pago, la información de pago, etc. ¿Por qué la mensajería instantánea requiere un número de teléfono móvil? ¿Se cree generalmente que sólo se necesita una cuenta? Este problema se explica en las páginas siguientes.

2.2. Las Apps domésticas están en los lineales cumpliendo con las normas de seguridad.

Además de las restricciones sobre la información necesaria que se puede recopilar, existen muchas restricciones específicas relacionadas con diferentes industrias o campos en China.

Durante el proceso de poner una aplicación en los estantes, la tienda de aplicaciones tiene regulaciones de revisión detalladas. Si se trata de mensajería instantánea, transmisión en vivo o campos de opinión pública de los usuarios, se requiere un informe de evaluación de seguridad. Este informe de evaluación de seguridad agrega requisitos adicionales, como la verificación de la verdadera identidad del usuario, que consiste en verificar que la identidad del usuario en el servicio es verdadera y confiable. A continuación se ofrecen algunas respuestas a preguntas en el campo de la mensajería instantánea. Si realmente desea brindar un buen servicio a los clientes, debe poder implementar un sistema de registro de nombre real. De hecho, el sistema de registro de nombre real generalmente verifica los números de teléfonos móviles y los mensajes de texto.

Además, esto también involucra cuestiones de opinión pública de los usuarios. Es necesario establecer un mecanismo de quejas y reportes para este problema, publicar la información de contacto y el estado de manejo de las quejas y reportes, tener medidas de presentación relevantes para los apodos de estos usuarios, la divulgación de información y los comentarios reenviados, y apoyar el rastreo de esta información. a través de un determinado mecanismo de almacenamiento. Por un lado, limita la recopilación de información personal necesaria; por otro, añade requisitos adicionales en diferentes campos, como el financiero o el médico.

Los datos del Ministerio de Industria y Tecnología de la Información muestran que recientemente se han eliminado ilegalmente de los estantes unas 3.000 aplicaciones. La mayoría de los problemas involucrados son la recopilación ilegal de información personal y algunos están relacionados con la coerción o el permiso. Los problemas que pueden implicar las aplicaciones y sitios web domésticos se centran principalmente en estos aspectos.

2.3. Enfoque en el extranjero: derechos del usuario

Si los clientes objetivo están en el extranjero, encontrará que el enfoque en el extranjero es ligeramente diferente. Además de estas limitaciones de seguridad comunes, presta más atención a los derechos de los usuarios.

Da algunos ejemplos, como el derecho del usuario a saber, el derecho a obtener información, el derecho a modificar y el derecho al olvido. El derecho a saber indica claramente a los usuarios qué información se recopila, qué hacer con ella y durante cuánto tiempo conservarla. El derecho a obtener información significa que los usuarios deben poder exportar sus propios datos. El derecho a modificar significa que los usuarios pueden; modificar la información personal; y el derecho al olvido significa que los Usuarios tienen derecho a cerrar sesión y eliminar sus datos. Las grandes plataformas extranjeras, como Facebook, admiten funciones como la cancelación de cuentas y la exportación de datos personales. Estas funciones son más importantes en el extranjero.

Como se muestra en el caso de la Figura 3, el regulador británico de protección de datos emitió un aviso a una empresa canadiense de análisis de datos, solicitándole que los eliminara.

Todos los datos personales relacionados con ciudadanos del Reino Unido que no cumplan con sus obligaciones se enfrentarán a una multa de 20 millones de euros o el total global del año pasado.

Sanción por facturación 4. Los 20 millones de euros y 4 multas aquí están estipulados en el Reglamento General de Protección de Datos, y no es difícil ver que esta medida es muy estricta.

2.4, * * * También preocupado: los datos transfronterizos

Hay otro tema de preocupación común en el país y en el extranjero: los datos candentes transfronterizos. En pocas palabras, la información personal y los datos importantes deben estar en China, es decir, por ejemplo, la información y los datos importantes de los ciudadanos chinos no se pueden almacenar en servidores en el extranjero a voluntad, y los datos en la Unión Europea no se pueden almacenar. fuera de la UE a voluntad. Otras regiones, como el sudeste asiático o la India, también están sujetas a leyes y normativas locales.

Si realmente es necesario proporcionar datos a países extranjeros, el requisito de China es realizar una evaluación cuidadosa mediante métodos de evaluación. La UE exige que los datos puedan transferirse a través de fronteras desde regiones que consideran que cuentan con medidas de seguridad adecuadas, pero al menos hasta ahora, China no está en esa lista, por lo que los datos de la UE no pueden almacenarse en servidores chinos a voluntad.

En tercer lugar, ¿cómo evaluar y cumplir los requisitos de cumplimiento de seguridad?

Después de comprender las tendencias y los puntos clave correspondientes del cumplimiento de seguridad, ¿cómo evaluar y cumplir los requisitos de cumplimiento de seguridad? Primero, revisemos el marco de cumplimiento de seguridad presentado anteriormente.

El consentimiento informado del usuario incluye notificación completa y protección de derechos. Una notificación adecuada significa proporcionar un acuerdo de privacidad del usuario, la protección de derechos significa que los usuarios pueden rechazarlos y eliminarlos, y los datos recopilados deben cumplir con el principio de minimización (mínima necesidad).

Las obligaciones de protección de la seguridad son más complejas. En primer lugar, este tema estará involucrado en los procesos de evaluación de riesgos, construcción de sistemas internos y desarrollo de seguridad. Por ejemplo, desde la etapa de demanda de un producto, los expertos en seguridad deben confirmar si hay datos del usuario involucrados, cómo transmitir datos del usuario, cómo guardar datos del usuario, si es necesario, etc. Por lo tanto, la evaluación de la seguridad debe realizarse desde la etapa de requisitos del producto hasta la etapa de diseño de la solución y, finalmente, hasta la etapa de lanzamiento.

En segundo lugar, soporte técnico. El soporte técnico aquí se refiere a la necesidad de soporte técnico adecuado para la transmisión y el almacenamiento durante el proceso de recopilación, es decir, transmisión cifrada durante la transmisión y almacenamiento cifrado durante el almacenamiento. Las leyes y reglamentos no estipularán una medida de seguridad específica, sino que solo requerirán medidas técnicas necesarias para garantizar la seguridad de los datos del usuario.

Por lo tanto, desde una perspectiva técnica, es necesario adoptar medidas de seguridad relativamente estándar o de alto nivel en la industria. Por ejemplo, https utiliza otros protocolos de transporte de forma predeterminada, como TCP y UDP, y estos protocolos también deben cumplir con los estándares de seguridad de la industria.

Por supuesto, la seguridad es inseparable de la auditoría y la supervisión, lo que significa que debe haber un determinado proceso de desarrollo de seguridad o un sistema de seguridad para cumplir con los requisitos reglamentarios de las agencias reguladoras.

3.1. ¿Cómo evaluar los requisitos de cumplimiento de seguridad?

Entonces, ¿cómo evaluar los requisitos de cumplimiento de seguridad? Depende del negocio específico en el que estemos involucrados. Diferentes campos tienen diferentes requisitos. Los requisitos en los campos financiero, médico y otros serán más estrictos.

En algunos campos médicos, los datos o el procesamiento de los usuarios médicos (pacientes) deben registrarse durante al menos cinco años, lo cual es un requisito especial en este campo. Además, las diferentes regiones tienen diferentes requisitos para los usuarios. Por ejemplo, en el sudeste asiático mencionado hace un momento, Singapur tiene sus propias regulaciones especiales y otras regiones también tienen requisitos especiales relevantes.

Las industrias de los clientes también tienen diferentes requisitos de seguridad. Las empresas o instituciones importantes a veces tienen algunos requisitos especiales para las bases de datos, como que debe ser una base de datos nacional. Este es un requisito especial que pueden enfrentar diferentes industrias o diferentes clientes. Otro factor importante es la evaluación de las dependencias.

En esta sección, introduciremos sistemáticamente las medidas de control de riesgos de seguridad en cada capa de tecnología y enlaces operativos.

6.1 Seguridad de los recursos informáticos del centro de datos

El servicio de mensajería instantánea de Huanxin consta de servicios en la nube de múltiples centros de datos (IDC) nacionales y extranjeros y proveedores de nube pública, con el objetivo de construir una plataforma unificada y altamente entorno de recursos básicos disponible, altamente escalable, eficiente y seguro.

6.1.1 Aislamiento de la red

Dividir razonablemente la red, definir claramente sus usos y formular estrategias de control de acceso adecuadas son uno de los requisitos previos para la seguridad de la red. Huanxin divide la red en varias áreas de seguridad importantes, como núcleo, borde y TI, en función de las diferentes funciones portadoras de IMPaaS y niveles de seguridad. En diferentes dominios de seguridad, en función de diferentes requisitos de acceso empresarial y niveles de seguridad, Huanxin ha formulado diferentes estrategias de enrutamiento y estrictas estrategias de acceso de seguridad.

6.1.2 Resistencia a ataques DDoS

La denegación de servicio distribuida (DDoS) tendrá un gran impacto en la disponibilidad del sistema y del servicio de mensajería instantánea, e incluso conducirá a la interrupción o interrupción del servicio. degradación de la calidad. Por lo tanto, basándose en las características de sus propios servicios y las capacidades de la nube pública, Huanxin implementó una solución de defensa DDoS en sus servicios principales. Esta solución puede detectar y defenderse contra ataques DDoS en tiempo real desde la capa de red y la capa de transporte. La solución contra ataques DDoS puede detectar, programar y activar automáticamente funciones de limpieza. Puede completar acciones de limpieza de tráfico y ataques en unos pocos segundos para garantizar la disponibilidad de los servicios principales.

Además, todos los ataques DDoS serán notificados al equipo de seguridad lo antes posible mediante correo electrónico, mensaje de texto, llamada telefónica, etc. , para que los equipos de seguridad puedan seguir centrándose y respondiendo a las decisiones.

6.1.3 Seguridad de los recursos informáticos como hosts, bases de datos y middleware.

Los recursos de los que dependen varios servicios se satisfacen mediante programas en segundo plano, cachés, bases de datos y otros sistemas operativos o middleware en contenedores relevantes, y los recursos como CPU, memoria, disco, etc. se programan y asignan de manera razonable. Huanxin combina sus propios escenarios de servicios básicos y garantiza la seguridad de los recursos de carga informática básica mediante la formulación de líneas de base de seguridad adaptables, especificaciones de gestión de vulnerabilidades y la implementación de mecanismos profundos de detección de amenazas en operaciones de seguridad reales.

6.1.3.1 Línea base de seguridad

Huanxin ha establecido una línea base de seguridad para IDC y la nube pública, que cubre sistemas operativos host, contenedores, bases de datos, almacenamiento, servicios web y otro middleware, incluidas cuentas. Seguridad, autenticación de identidad, servicio mínimo, autorización mínima, auditoría de registros, sincronización de reloj, etc. Dependiendo del propósito, los sistemas operativos o el middleware se refuerzan en diversos grados para garantizar que los recursos de carga informática recién entregados cumplan con los requisitos básicos de seguridad relevantes. Para ejecutar recursos de carga, el equipo de seguridad realizará periódicamente comprobaciones de configuración, comparará las diferencias con la línea base de seguridad, generará elementos no conformes, notificará a los equipos de operación y mantenimiento relevantes y de tecnología empresarial, e implementará rectificaciones.

6.1.3.2 Gestión de vulnerabilidades

Todos los recursos de carga informática entregados en línea provienen de la gestión unificada de imágenes del sistema operativo o paquetes de middleware. Para los recursos entregados para su uso, el equipo de seguridad recopilará la información de la versión del sistema operativo y el middleware, y luego la enviará al sistema operativo de seguridad para su análisis e identificar si hay versiones afectadas por la vulnerabilidad. Para los recursos de alojamiento en la nube pública, Huanxin implementará el cliente de seguridad de la nube pública para lograr la detección de vulnerabilidades en tiempo real de sistemas operativos, middleware y otros productos de software. Además, al implementar productos comerciales de escaneo de vulnerabilidades reconocidos en la industria, el equipo de seguridad escanea y verifica periódicamente los recursos de carga informática, genera informes de escaneo de vulnerabilidades y recopila información en el sistema operativo de seguridad.

Una vez que se encuentra un componente que coincide con la versión vulnerable, el equipo de seguridad llevará a cabo una evaluación integral del riesgo de vulnerabilidad, proporcionará medidas de emergencia y sugerencias de reparación, y trabajará con los equipos técnicos de operación y mantenimiento y de negocios relacionados para implementar reparaciones de vulnerabilidades, refuerzo de configuración y actualización de duplicación para lograr una gestión de vulnerabilidades de bucle cerrado.

6.1.3.3 Operación de seguridad y mantenimiento de los recursos informáticos

Operación y mantenimiento de la seguridad de la cuenta

En la operación y el mantenimiento diarios, Huanxin ha formulado y habilitado IAM ( mecanismo de gestión de control de acceso e identidad. Todo el personal involucrado en la operación y mantenimiento del contenido debe tener una identidad válida y autorización para operar. Las cuentas de operación y mantenimiento corresponden a las identidades de los empleados uno a uno y MFA (autenticación multifactor) está habilitada de forma predeterminada.

Seguridad de la cuenta del sistema operativo

Para las cuentas del sistema, Huanxin ha formulado una serie de sistemas de seguridad y especificaciones operativas. Por ejemplo, evite el uso de contraseñas débiles como contraseñas y exija que se cambien periódicamente, y el equipo de seguridad de la información también pasará inspecciones de seguridad con regularidad.

Auditoría de operación y mantenimiento

Durante el proceso diario de operación y mantenimiento, la Información Ambiental registrará y archivará varias operaciones en tiempo real, formulará estrategias de alarma y monitoreo en tiempo real y manejará riesgos. operaciones en tiempo y forma.

Seguridad 6.2SDK

Huanxin proporciona soporte SDK para iOS, Android, Flutter, ReactNative, Windows, applets, Web y otras plataformas. , para satisfacer las diversas necesidades de acceso interactivo de audio y video en tiempo real de desarrolladores y usuarios. IMSDK no solo proporciona a los desarrolladores y usuarios un kit de desarrollo de mensajería instantánea fácil de usar, unificado, confiable y seguro, sino que también hace todo lo posible para brindarles a los desarrolladores y usuarios opciones de configuración seguras y compatibles para mejorar sus capacidades en tiempo real. escenarios de interacción de audio y video y la capacidad de cumplir con las regulaciones y responder a las amenazas a la seguridad de los datos de origen en las aplicaciones.

De acuerdo con las leyes y regulaciones nacionales y los requisitos de aplicación de la ley de las agencias reguladoras, cuando una aplicación utiliza un SDK de terceros, debe informar al usuario en la política de privacidad de la aplicación y configurar la inicialización retrasada en la secuencia de llamadas. para garantizar que solo después de que el usuario acepte la política de privacidad de la APLICACIÓN se pueda iniciar el SDK para la recopilación de datos y los servicios. Para ayudar a los desarrolladores a evitar riesgos de cumplimiento, Huanxin ha lanzado requisitos de cumplimiento de la política de privacidad, incluido el cumplimiento de la visualización del contenido y del formulario de visualización de la política de privacidad. Consulte el sitio web oficial de Huanxin (

6.2.1 Garantía de seguridad y cumplimiento del SDK

Cuando Huanxin proporciona un SDK a los desarrolladores, la credibilidad y la seguridad del SDK son las principales garantías 1. Al revisar funciones nuevas o iterativas del SDK, los puntos de riesgo de los requisitos funcionales en términos de cumplimiento, privacidad y seguridad se evaluarán completamente para garantizar la coherencia con las nuevas políticas de cumplimiento y privacidad cuando se implementen las funciones. en el código al realizar pruebas adecuadas de control de calidad (QA), y se realizarán controles de seguridad al hacer referencia o integrar archivos de biblioteca y SDK de terceros, especialmente la confirmación de cumplimiento, como si hay código malicioso o puertas traseras, si cumple con los derechos de autor o acuerdo de uso si se detecta un riesgo, el SDK se actualizará después de que se confirme que está libre de riesgos.

Los desarrolladores se actualizarán durante el proceso de lanzamiento y se brindará soporte de seguridad y cumplimiento para el usuario.

En el SDK, Huanxin proporciona cifrado de contenido de almacenamiento en el dispositivo, seguridad de registros y otras opciones de configuración de seguridad para ayudar a los desarrolladores y usuarios a mejorar la seguridad de los datos de mensajería instantánea y el cumplimiento de la privacidad. Los desarrolladores y usuarios que lo necesiten pueden consultar el cumplimiento de la privacidad del desarrollador. documentación para configuración y activación

6.2.2.1 Contenido de almacenamiento local

Huanxin SDK utiliza tecnología de cifrado estándar de la industria para cifrar y almacenar mensajes locales y otros registros de contenido

6.2.2.2 Desensibilización logarítmica

Huanxin SDK proporciona diferentes niveles de registro para facilitar el uso de los desarrolladores durante el desarrollo, la depuración y el lanzamiento, y desensibilizar los registros en el dispositivo para evitar que los datos del usuario sean identificados y robados.

6.3Seguridad RESTfulAPI

Para facilitar que los desarrolladores administren eficientemente sus aplicaciones y servicios, los desarrolladores llaman a muchas funciones comerciales y funciones de administración en forma de API RESTful.

En términos de seguridad, además de conectar el sitio al WAF, existen los siguientes controles de seguridad.

Autenticación

Antes de utilizar la API RESTful, los desarrolladores deben iniciar sesión en la consola y crear una clave específica del desarrollador.

amp secret. Las llamadas API posteriores deben utilizar la clave correspondiente.

ampliar pares secretos para distinguir entre diferentes proyectos o aplicaciones.

Seguridad de transmisión

RESTfulAPI admite el protocolo HTTPS, lo que garantiza que todas las comunicaciones API estén cifradas mediante SSL/TLS, lo que puede proteger las credenciales API y los datos transmitidos para evitar MITM (MITM, Mannint Meade ) y otros ataques.

Límite de velocidad de API

El servidor tiene un límite en la tasa de solicitudes de API. Si bien garantiza que se puedan responder las solicitudes de usuarios normales, también limita las solicitudes de API de usuarios malintencionados.

Verificación de entrada

Los parámetros solicitados por el desarrollador se filtrarán en segundo plano del servidor para evitar algunas vulnerabilidades comunes (inyección SQL, ejecución remota de código, etc.).

7. Seguridad de los datos de información ambiental

Como portador de actividades de información, el procesamiento legal, legal y seguro de los datos es particularmente importante. La seguridad de los datos es una de las mayores preocupaciones de Huanxin. En este apartado se presentarán las políticas adoptadas por Huanxin en materia de seguridad de datos y las medidas de gestión y control técnico implementadas.

7.1 Estrategia de seguridad de datos

En vista de la situación de seguridad de la red cada vez más grave y los requisitos regulatorios cada vez más estrictos, Huanxin insiste en la confidencialidad, integridad y alta disponibilidad de los datos para servir a la seguridad del negocio. La estrategia de desarrollo integra el concepto de seguridad de los datos en el proceso de construcción del sistema de seguridad, es decir, la confidencialidad: evitar el acceso no autorizado y las escuchas ilegales.

Integridad: Evita la manipulación maliciosa y la falsificación de datos.

Disponibilidad: Garantizar una alta disponibilidad de datos a través de diferentes centros de datos y nodos perimetrales.

Por lo tanto, Huanxin brinda a todos los empleados capacitación en seguridad en protección de la información, cumplimiento de la privacidad, conciencia de confidencialidad, etc., y firma un acuerdo de confidencialidad para aquellos que violen el sistema de seguridad de datos y los requisitos de confidencialidad que trataremos; Se tomarán las medidas correspondientes en la medida necesaria, incluidas, entre otras, conversaciones de amonestación, fortalecimiento de la capacitación y evaluación, rescisión de acuerdos laborales y cumplimiento de otras responsabilidades legales.

7.2 Recopilación de datos

Adopte el principio de recopilación mínima de datos y solo recopile campos de datos autorizados y acordados por los usuarios y necesarios para el negocio.

7.3 Desensibilización de datos

Para proteger la privacidad de los datos, Huanxin desensibiliza la información corporativa y personal en la consola del sitio web oficial. Esta estrategia también se aplica a diferentes servicios y SDK.

7.4 Protección de datos y transmisión cifrada

En el servicio IMPaaS, el protocolo de transmisión segura (HTTPS/TLS/WSS, etc.) admite diferentes canales de transmisión, como SDK y servidor, servidor y servidor de aplicaciones del usuario, etc.

7.5 Uso y almacenamiento de datos

Para la información confidencial de desarrolladores y usuarios, como contraseñas, las almacenaremos en forma de hash y salt. Para la información almacenada, el período de retención de datos se establecerá estrictamente de acuerdo con los requisitos reglamentarios pertinentes y la política de almacenamiento de respaldo de datos formulada, y se destruirá según sea necesario para las aplicaciones de procesamiento de datos de los desarrolladores y usuarios, seguiremos la autorización de los desarrolladores; y los usuarios y los correspondientes cumplen con los requisitos reglamentarios y cooperan con la implementación de la depuración o transferencia de datos.

7.6 Derechos de datos del usuario

Proporciona aspectos API de derechos de usuario en diferentes dimensiones para respaldar la exportación y eliminación de datos de usuario.

Ocho. Operación segura de Huanxin

La seguridad es un proceso continuo. En las operaciones de seguridad reales, Huanxin se desarrolla a través de las siguientes dimensiones en función de sus propias características comerciales.

8.1 Gestión del ciclo de vida del desarrollo de seguridad SDL

En el ciclo de vida del desarrollo de software, los requisitos relacionados con la seguridad y la privacidad están integrados.

Combinado con el ahora popular DevSecOps, el proceso SDL es más automatizado y puede verificar la seguridad y la privacidad de manera más eficiente en función del ciclo de vida del desarrollo de seguridad original.

8.1.1 Modelado de amenazas

En las fases de diseño y arquitectura, para detectar riesgos antes, se utiliza el modelado de amenazas para identificar posibles problemas de seguridad e implementar medidas de respuesta. Para descubrir y resolver eficazmente los riesgos potenciales durante la fase de diseño, nos referimos al método de modelado de amenazas de STRIDE y nos centramos en minimizar la superficie de ataque, la privacidad básica, minimizar los permisos, la seguridad predeterminada, el cifrado de datos, etc.

8.1.2 Detección de cuadros en blanco y negro de CI/CD

A nivel de pruebas de seguridad, se presta más atención a la protección de seguridad integrada defendida por DevSecOps y en blanco y negro. Se han integrado herramientas de caja a nivel CI/CD, incluidas las de código abierto, la herramienta de análisis de código estático SonarQube, la herramienta comercial de escaneo de cumplimiento y componentes BlackDuck, la herramienta de escaneo de aplicaciones/SDK MobSF, etc. , para mejorar el seguimiento de riesgos durante el proceso de lanzamiento de integración.

8.2 Monitoreo de seguridad y antiintrusión

Los diversos sistemas informáticos y servicios de aplicaciones comerciales de Huanxin generan cantidades masivas de datos de registro todos los días. Además de implementar una defensa en profundidad para hacer frente a las amenazas, el equipo de seguridad también recopilará registros con permisos mínimos para análisis de seguridad. A partir de estos registros se realizan operaciones en tiempo real a través de la plataforma de análisis y monitoreo de seguridad. Para eventos de seguridad anormales identificados, se emitirá una alarma de manera oportuna y los operadores de seguridad realizarán análisis de correlación y trazabilidad y revisarán los riesgos confirmados, se procesarán y rastrearán de acuerdo con el mecanismo de emergencia para garantizar la seguridad y disponibilidad de los mismos; sistema empresarial.

8.3 Mecanismo de Emergencia de Seguridad

Con base en las características de su propio negocio de mensajería instantánea, clasificar tipos de negocios, evaluar sistemáticamente la seguridad e identificar amenazas, formular diferentes estándares de clasificación de incidentes de seguridad y responder a puntualidad y procedimientos de procesamiento para garantizar el manejo oportuno y eficaz de las excepciones de seguridad.

8.4 Cooperación en materia de seguridad

Basado en su propia construcción de seguridad interna, Huanxin coopera con muchos proveedores de seguridad externos como Trustwave para realizar pruebas de penetración, revisión de código, ingeniería inversa, etc. Ayude periódicamente a Huanxin a descubrir vulnerabilidades de seguridad y diversos riesgos potenciales en aplicaciones, sistemas, servicios y SDK en línea, mejorando así la seguridad general del servicio y la solidez del sistema.

Nueve. Requisitos de cumplimiento para que los desarrolladores de aplicaciones accedan al SDK de Ring

De acuerdo con las leyes y regulaciones nacionales y los requisitos de aplicación de la ley de las agencias reguladoras, cuando una aplicación utiliza un SDK de terceros, debe informar a los usuarios en la política de privacidad de la aplicación. y Realizar una configuración de inicialización retrasada en la secuencia de llamada para garantizar que el SDK pueda iniciarse para la recopilación de datos y los servicios solo después de que el usuario acepte la política de privacidad de la APLICACIÓN. Para ayudar a los desarrolladores de Huanxin a evitar riesgos de cumplimiento, Huanxin ha introducido requisitos de cumplimiento de la política de privacidad, incluido el cumplimiento del contenido y la forma de visualización de la política de privacidad.

9.1. Cumplimiento del contenido de la política de privacidad

Nota: Esta descripción del alcance de la recopilación de información se aplica a la versión SDK 3.8.4 y superior.

Cuando los desarrolladores de aplicaciones acceden al servicio Huanxin SDK, deben seguir los requisitos de las leyes, regulaciones y documentos normativos chinos, y establecer los "servicios de terceros" en la política de privacidad o en la política de protección de información personal de la aplicación. y otros documentos públicos relevantes. La sección "/"Socios externos" enumera claramente el propósito, el método y el alcance de la recopilación y el uso de información personal. Huanxin proporciona las siguientes dos expresiones de referencia para facilitar que los desarrolladores de aplicaciones ajusten las políticas de privacidad de manera más eficiente y compatible.

Consulta la expresión 1. Presentado al usuario en texto.

Por ejemplo, utilizamos un tercero (Beijing Yismobo Network Technology Co., Ltd., en lo sucesivo denominado "Huanxin") para proporcionarle funciones. Para implementar con éxito esta función, debe autorizar a Huanxin SDK a proporcionar los servicios correspondientes; después de su autorización, Huanxin recopilará su información personal relevante; Respecto a los tipos y usos de la información recopilada por Huanxin, normas y reglamentos para la protección de información personal y reembolsos.

Mecanismos, etc. , Consulte el sitio web oficial de Huanxin (

Expresión de referencia 2: presentada al usuario en forma de tabla.

Por ejemplo, el nombre de su aplicación (versión iOS/versión Android) incluye los detalles del SDK de terceros.

9.2 Cumplimiento del formulario de visualización de la política de privacidad

Se debe agregar una ventana emergente clara con botones obvios de consentimiento y rechazo para permitir a los usuarios elegir si aceptan la política de privacidad. La Política de privacidad de la aplicación contiene un enlace a la Nueva política de privacidad de Ring, que permite a los usuarios hacer clic para verla.

X. Conclusión

Proporcionar a los desarrolladores una plataforma de mensajería instantánea en la nube compatible, segura y confiable es una de las principales consideraciones de Huanxin para todas las arquitecturas, productos y servicios. Huanxin promueve sistemáticamente la implementación de políticas de seguridad de la información desde el personal, la tecnología, la gestión, los procesos y otros aspectos, cumple con las obligaciones de cumplimiento normativo, trabaja en estrecha colaboración con clientes de la industria y comunidades o grupos de terceros, explora activamente nuevas tecnologías y promueve la automatización e inteligencia de la seguridad. , para lograr un rendimiento eficiente de las capacidades de protección de seguridad.

En un entorno de Internet cada vez más complejo, los ciclos de iteración tecnológica son cada vez más cortos y, uno tras otro, surgen nuevos métodos de ataque. Nos enfrentamos a diversas amenazas a la seguridad en todo momento. En este contexto, esperamos que este documento técnico pueda proporcionar una referencia para la construcción de seguridad de empresas o instituciones. ¡También invitamos a colegas de la industria a participar en mejoras y ayudar a la industria a desarrollar un desarrollo constante y de alta calidad!

Visite el sitio web oficial de Huanxin para descargar el PDF completo del documento técnico de forma gratuita.