T∕TAF 109-2022 移动应用分发平台 APP开发者信用评价体系.pdf

ICS 33.050 CCS M 30 团体标准 T/TAF 109-2022 移动应用分发平台 APP 开发者信用评价体系 Mobile application distribution platformCredit evaluation system of application developer 2022-02-23 发布 2022-02-23 实施 电信终端产业协会 发布 T/TAF 109-2022 I 目 次 前言 . II 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 缩略语 . 2 5 基本原则 . 2 6 信用评价体系模型 . 2 6.1 模型 . 2 6.2 信用事件 . 3 6.3 信用事件库 . 3 7 信用评价指标 . 3 7.1 概述 . 3 7.2 监管评价指标 . 4 7.3 平台运营信用评价指标 . 4 7.4 社会信用评价指标 . 4 附录 A（资料性）信用事件的应用 . 7 T/TAF 109-2022 II 前 言 本文件按照 GB/T 1.1-2020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由电信终端产业协会提出并归口。 本文件起草单位：中国信息通信研究院、OPPO广东移动通信有限公司、麒麟合盛网络技术股份有限公司、北京三星通信技术研究有限公司、高通无线通信技术（中国）有限公司、华为终端有限公司、维沃移动通信有限公司、荣耀终端有限公司、北京字节跳动科技有限公司、北京奇虎科技有限公司、郑州信大捷安信息技术股份有限公司、北京快手科技有限公司、武汉安天信息技术有限责任公司、百度在线网络技术（北京）有限公司、北京版信通技术有限公司、阿里巴巴（中国）有限公司。 本文件主要起草人：付艳艳、刘陶、杨晓丹、宁华、李腾、邓佑军、王艳红、武林娜、杜云、常新苗、王江胜、邓小波、吴越、衣强、王宇晓、贾科、赵晓娜、姚一楠、刘献伦、吴月升、落红卫、李晨、罗成、余丽娜、刘克强、黄天宁、李越、罗元海、何恩。 T/TAF 109-2022 1 移动应用分发平台 APP 开发者信用评价体系 1 范围 本文件通过建立移动应用分发平台APP开发者信用评价体系模型，提出APP分发平台对APP开发者的信用评价指标。 本文件适用于移动应用分发平台、 APP开发者， 为移动应用分发平台建立APP开发者信用积分体系提供指导，其他分发平台也可参考使用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 35273 信息安全技术 个人信息安全规范 T/TAF 069.1-2020 移动应用分发平台系列规范：APP信息展示规范 3 术语和定义 GB/T 35273和T/TAF 069.1-2020界定的以及下列术语和定义适用于本文件。 3.1 移动应用软件 mobile application 移动智能终端系统之上安装、运行的，向用户提供服务功能的应用软件，包括集成的 SDK 等第三方产品或服务，包含快应用、小程序等多种形态。 3.2 APP 开发运营者 application developer and operator 从事APP开发和运营活动的主体。 注：本文件中，APP开发运营者简称为APP开发者。 3.3 APP 分发平台 application distribution platform 通过应用商店、应用市场、网站等方式提供APP下载、升级服务的软件服务平台。 3.4 APP 开发者信用 credit of application developer T/TAF 109-2022 2 APP开发者在APP开发和运营活动中遵守法律法规要求和履行社会责任的意愿、能力和表现。 4 缩略语 下列缩略语适用于本文件。 APP：移动应用软件（Application） 5 基本原则 本文件以APP开发者的信用行为作为评估对象， 通过相关信用事件建立评估指标，形成APP开发者信用评价体系，为移动应用分发平台落实APP用户权益保护行动提供指导。 6 信用评价体系模型 6.1 模型 信用评价体系模型以信用事件库为中心，监管机构、APP分发平台、APP开发者对信用事件库进行写入、查询等操作。信用评价体系模型如图1所示。其中： 信用事件库：信用事件库以APP开发者为主体，信用事件为客体建立。一个开发者可以对应多个信用事件，一个信用事件仅能对应一个开发者。 监管机构： 监管机构建设和管理中心级信用事件库， 接受各APP分发平台的信用事件写入/查询请求，可写入事件预警信息和开发者信用评价。 APP分发平台：APP分发平台建设和管理独立的分发平台信用事件库。当信用事件发生后，可根据情况写入自身的分发平台信用事件库。 APP开发者： APP开发者可向分发平台独立信用事件库查询以自身为主体的信用事件。 当信用事件发生后，可自主上报或根据情况向所属分发平台信用事件库进行申诉。 中心级信用事件库APP分发平台APP开发者分发平台独立信用事件库查询信用事件写入事件预警、信用评价查询信用事件写入信用事件监管机构查询信用事件信用事件举证、事件申诉查询信用事件写入信用事件 图1 信用评价体系模型 T/TAF 109-2022 3 6.2 信用事件 APP开发者在APP开发和运营过程中发生的影响APP开发者信用评价的事件。本文件中信用事件仅指对行业生态建设具有一定影响的APP开发者信用事件。 开发者信用事件分为负面事件和正面事件。 负面事件由各监管机构或APP分发平台下达通知， 由APP开发者举证和申诉。正面事件由APP开发者举证和上报，由各监管机构或APP分发平台视情况受理。 开发者信用事件具有有限的有效周期，如信用事件发生之后的3年。超过有效周期后，相应信用事件不应对APP开发者的信用评价产生影响。 APP开发者从APP分发平台注销账号时， 有权利要求APP分发平台删除与其有关的信用事件记录， APP分发平台应在相应信用事件有效周期结束后及时删除。 6.3 信用事件库 根据信用事件库的建设实现目的不同， 信用事件库由不同角色进行管理。 信用事件库的管理者负责对信用事件进行写入和定期复核。信用事件库的管理形式如下。 a） 由监管机构建设的中心级信用事件库，应由监管机构负责管理。由监管机构授予权限后，APP分发平台可向中心级信用事件库写入和查询信用事件。 监管机构根据中心级信用事件库定期对APP开发者进行信用评价打分，向APP开发平台共享和向APP开发者公开查询。 b） 由各APP分发平台独立建立的信用事件库，应由各APP分发平台负责管理。由APP分发平台授予权限后， 监管机构、 其他APP分发平台可向该事件库查询信用事件。 由APP分发平台授予权限后，APP开发者可向事件库查询以自身为主体的信用事件。 为保护APP开发者的权益，APP分发平台独立信用事件库应提供面向APP开发者的申诉和举证渠道，并在约定的时间内，如15天，向开发者进行回复。 7 信用评价指标 7.1 概述 根据APP开发者信用事件的监督主体和被监督客体不同， APP开发者信用评价体系包含的指标可分为监管评价指标、平台运营信用评价指标和社会信用评价指标三类，详细如表1所示。其中： a） 监管评价指标来源于上级监管机关监督和发布的信用事件； b） 平台运营信用评价指标来源于开发者在平台运营活动中的信用事件； c） 社会信用评价指标来源于APP行为相关的信用事件。 表 1 信用评价指标分类 指标分类 指标 监管评价指标 监管部门处置事件指标 监管部门奖励事件指标 平台运营信用评价指标 欺骗平台行为事件指标 不尽责行为事件指标 侵害平台恶意行为事件指标 社会信用评价指标 黑产行为事件指标 欺骗用户行为事件指标 恶意行为事件指标 T/TAF 109-2022 4 表 1 信用评价指标分类（续） 指标分类 指标 违反内容安全要求行为事件指标 其他侵害用户权益行为事件指标 主动合规行为事件指标 7.2 监管评价指标 7.2.1 监管部门处置事件指标 APP开发者所开发的任一款APP被监管部门公开通报的， 应按开发者被通报问题次数累计。 开发者因同一版本APP的同一问题被多次通报的，以最高行政级别通报记一次。通报公开渠道由监管部门公布。 APP开发者涉嫌存在违法违规行为被公安机关立案侦查的，应按开发者被通报次数累计。通报公开渠道由公安机关公布。 7.2.2 监管部门奖励事件指标 APP开发者被省级及以上监管部门公开奖励，且该奖励有益于行业信用体系建设的，应按开发者被奖励次数累计。奖励公开渠道由监管部门公布。 7.3 平台运营信用评价指标 7.3.1 欺骗平台行为事件指标 APP开发者在上架运营APP时应提供符合法律法规要求的资质证明。 不具有相应资质而提供虚假证明等欺骗平台的行为，应按开发者欺骗行为次数累计。 APP开发者通过伪装APP分类、内容等方式上架，上架后再修改APP内容等欺骗平台的行为，应按开发者欺骗行为次数累计。 7.3.2 不尽责行为事件指标 APP开发者应在移动应用分发平台进行实名认证。提供虚假身份信息或联系信息的、不按照平台要求及时进行实名认证的、不按照和平台的约定及时回复平台的联系的，应按开发者违反次数累计。 APP开发者接到平台整改通知但不配合整改或整改反复出现同一问题的， 包括用户举报、 监管通报、平台检测发现的应整改项，应按开发者违反次数累计。平台通知整改项的范围包括但不限于高危漏洞、侵犯隐私行为等。 APP开发者消极处理用户在分发平台举报的问题，按开发者违反次数累计。消极处理的形式包括但不限于不在约定时限内响应用户举报、不对用户举报的问题作出合理解释或处理等。 7.3.3 侵害平台恶意行为事件指标 APP开发者存在攻击平台行为的，包括通过伪造、篡改等方法影响APP在平台的运营效果的，应按开发者攻击次数累计。 APP开发者恶意增加平台工作量的，包括频繁检测、测试平台检测标准等，应按开发者尝试次数累计。 7.4 社会信用评价指标 T/TAF 109-2022 5 7.4.1 黑产行为事件指标 开发者利用APP进行黑产行为的， 应按开发者黑产行为的次数累计。 APP黑产行为包括但不限于下列类别： a） 偷窃：利用漏洞或者采取欺骗手段盗取用户账户信息，账号中的金钱，或者积分、礼券、票券等虚拟财产； b） 刷量刷榜：在用户不可见或不知情的情况下，通过模拟人工点击广告或链接、下载软件、修改软件业务逻辑等刷量刷榜行为； c） 资源消耗：在用户不知情的情况下利用终端的计算能力来为攻击者获取电子加密货币，或利用终端的网络资源、计算资源、存储资源作为下载或转发节点，对用户设备造成性能损耗、电量损耗，甚至造成财务损失； d） 勒索：通过加密用户数据，窗口遮蔽，滥用锁屏、锁应用等权限，或利用拒绝服务漏洞，影响用户对手机的正常使用，并以恢复正常使用为由向用户勒索钱财。 7.4.2 欺骗用户行为事件指标 开发者利用APP欺骗用户的，应按开发者实施欺骗行为的次数累计。开发者欺骗行为包括但不限于下列类别： a） 伪装系统应用：通过图标或内容等方式，伪装成系统应用，在用户不知情的情况下实施恶意行为； b） 伪装界面：直接展示虚假的系统或应用界面，滥用悬浮窗权限，在其他应用或系统界面之上展示虚假的界面，欺骗用户执行操作； c） 伪装通知：伪装成系统或其他应用发送的通知，欺骗用户执行操作； d） 钓鱼：在应用中展现钓鱼网站，欺骗用户访问，盗取用户重要的认证凭据或其他敏感信息； e） 隐蔽扣费：通过欺骗的方式自动向用户收费，在未经用户同意情况下发送付费短信或者订阅服务，未经用户同意拨打付费电话号码，或者诱骗用户订阅、购买内容。 7.4.3 恶意行为事件指标 APP存在攻击智能移动终端操作系统以及操作系统中运行的其他APP等恶意行为的， 应按恶意行为类别累计。恶意行为包括但不限于下列类别： a） 自动下载或安装：未经用户同意下载病毒、木马等恶意软件，或利用系统漏洞自动安装应用； b） 远程控制：允许远程攻击者控制手机，接收攻击者下发的远程控制指令，在用户未授权、未知情的情况下，侵害用户隐私、窃取用户资产或者执行其他恶意行为； c） 权限滥用：滥用自己所具备的权限，实施恶意行为。包括但不限于滥用设备管理权限，防卸载、防关停；滥用辅助服务权限，获取用户的输入信息，模拟用户输入修改系统重要配置，窃取用户资金； d） 尝试root：应用程序代码尝试获取系统的最高权限； e） 动态加载恶意插件：滥用热更新、热修复或者插件化技术，在应用运行时动态加载新的恶意代码； f） 剪切板劫持：除了正常使用剪贴板功能外，对系统剪切板进行监听，获取、修改剪切板中的敏感信息，包括但不限于根据剪贴板内容的变化触发悬浮窗干扰系统功能，欺骗用户，影响其他应用正常使用； g） 拒绝服务攻击：在用户不知情的情况下对其他系统和资源进行拒绝服务攻击，或做为分布式拒绝服务攻击的一环使用户无法得到服务。 T/TAF 109-2022 6 7.4.4 违反内容安全要求行为事件指标 APP应满足内容相关法律法规的要求，存在违反内容安全要求行为的，应按开发者违反次数累计。具体要求包括但不限于下列类别： a） 不应包含淫秽、色情、赌博、迷信、恐怖、暴力的内容； b） 不应表达对民族、种族、宗教、残疾、疾病歧视的内容； c） 不应包含危害国家安全、荣誉和利益， 煽动颠覆国家政权、 推翻社会主义制度， 煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序的内容。 7.4.5 其他侵害用户权益行为事件指标 在APP上架检测或日常检测中，被平台检测发现存在侵害用户权益行为的，应按侵害用户个人权益的类型和次数累计。侵害用户权益的行为包括但不限于下列类别： a） 违规处理用户个人信息； b） 强制、频繁、过度索取权限； c） 频繁自启动和关联启动； d） 欺骗误导用户提供个人信息。 7.4.6 主动合规行为事件指标 APP开发者主动提升合规水平的， 应按开发者合规行为的类型和次数进行累计。 APP开发者合规行为主要包括以下几类： a） 标准认证：APP开发者主动进行权威安全合规标准认证； b） 采用先进安全、隐私技术：APP开发者主动采用先进安全、隐私技术，并提供三方机构证明的； c） 合规检测： APP开发者在APP上架前主动使用分发平台或其他可信三方提供的检测服务进行合规检测，并通过检测的。 T/TAF 109-2022 7 附 录 A （资料性） 信用事件的应用 附录A给出APP开发者信用评价体系中关于信用事件的应用示例， 信用事件流转示意图如图A.1所示。 信用事件流转更新发现查询申诉监管机构APP开发者APP分发平台发现某件信用事件更新信用事件库发现某件信用事件入库成功查询信用事件库发起查询申请更新信用事件库发起查询申请发起申诉申请接收查询结果接收查询结果更新信用事件信息申诉成功受理申诉发现某件信用事件入库成功举证、申诉查询信用事件库发现信用事件异常发出事件预警信息入库成功发起查询申请接收查询结果 图A.1 信用事件流转示意图 A.1 发现 信用事件的发现，可由APP开发者、监管机构或者APP分发平台发现。如APP开发者向APP分发平台独立信用事件库进行举证和申诉， 由APP分发平台视情况审核确认后则进行入库写入， 即更新信用事件库。监管机构通过中心级信用事件库发现存在信用事件异常，也可向中心级信用事件库写入事件预警信息，更新信用事件库。 A.2 更新 监管机构/APP分发平台，视情况对信用事件信息进行更新，并更新信用事件库。各APP分发平台独立信用事件库可向中心级信用事件库写入信用事件。 T/TAF 109-2022 8 A.3 申诉 APP开发者可以向APP分发平台独立信用事件库对于自身的信用事件信息提出申诉/更正申请， 该APP分发平台独立信用事件库进行受理，如确认属实，对信用事件信息进行更新，并更新信用事件库。 A.4 查询 APP开发者可向APP分发平台独立信用事件库查询自身的信用事件信息，由APP开发者提出申请，该APP分发平台独立信用事件库受理，知会APP开发者查询结果。监管机构中心级信用事件库以及APP分发平台独立信用事件库之间可以互相查询事件信息。 为保护APP开发者的权益，APP分发平台独立信用事件库应提供面向APP开发者的申诉渠道，并在约定的时间内向开发者进行回复。 T/TAF 109-2022 电信终端产业协会团体标准 电信终端产业协会团体标准 移动应用分发平台 APP 开发者信用评价体系 T/TAF 109-2022 * 版权所有 侵权必究 电信终端产业协会印发 地址：北京市西城区新街口外大街 28 号 电话：[phone] 电子版发行网址：