新版《信息安全技术-移动智能终端应用软件安全技术要求和测试评价方法》征求意见稿-编制说明.doc
信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法
信息安全技术移动智能终端应用软件安全技术要求和测试评价方法信息安全技术移动智能终端应用软件安全技术要求和测试评价方法介绍移动智能终端应用软件的普及带来了便利和便捷，但也伴随着安全风险。
为了保障用户的信息安全和个人隐私，有必要对移动智能终端应用软件进行安全技术要求和测试评价。
安全技术要求以下列举了一些移动智能终端应用软件的安全技术要求：•数据加密：敏感信息应该进行加密存储和传输，例如用户密码、银行账号等。
•身份认证：用户登录应该采用安全可靠的身份认证方式，如密码、指纹、面部识别等。
•漏洞修复：及时修复已知漏洞，确保软件的安全性。
•权限管理：合理的权限管理可以避免恶意软件的滥用，用户应该有权选择授权哪些权限给应用程序。
•防护机制：防止恶意软件的安装和运行，可以采用黑名单、防病毒软件等方法。
•安全传输：用户在使用应用软件时，敏感数据的传输应该采用加密通信协议，如HTTPS。
测试评价方法为了更好地评价移动智能终端应用软件的安全性，可以采用以下测试评价方法：•静态分析：对应用软件的源代码进行静态分析，查找代码中的潜在安全漏洞。
•动态分析：通过模拟应用软件的运行环境，测试软件的安全性能，包括对抗病毒能力、恶意软件的检测等。
•安全审计：对应用软件的安全策略、身份认证、权限控制等进行审计，检查是否符合安全技术要求。
•渗透测试：以攻击者的角度，测试软件的可攻击性，发现可能的安全漏洞。
•用户反馈评价：用户对应用软件的评价和反馈也是评估安全性的重要指标，可以借助用户调查问卷、红队活动等方式进行评估。
结论移动智能终端应用软件的安全技术要求和测试评价方法对于保障用户信息安全至关重要。
只有不断提升软件的安全性，才能更好地保护用户的隐私和数据安全。
作为创作者，我们应该关注信息安全，并按照规范要求进行测试和评估，努力提供安全可靠的移动应用软件。
以下是更详细的信息安全技术要求和测试评价方法：信息安全技术要求1.数据保护：–敏感信息加密存储和传输；–数据备份与恢复机制；–数据完整性和可用性的保护。
移动智能终端安全能力技术要求YDT 2407-2021
目次前言 (II)引言 (V)1 范围 (3)2 规范性引用文件 (3)3 术语、定义和缩略语 (3)3.1 术语和定义 (3)3.2 缩略语 (4)4 移动智能终端安全能力框架及目标 (4)4.1 移动智能终端安全能力框架 (4)4.2 移动智能终端安全目标 (5)5 移动智能终端安全能力技术要求 (5)5.1 基本要求 (5)5.2 移动智能终端硬件安全能力要求 (6)5.3 移动智能终端操作系统安全能力要求 (7)5.4 移动智能终端外围接口安全能力要求 (10)5.5 移动智能终端应用层安全要求 (11)5.6 移动智能终端用户数据安全保护能力要求 (13)6 移动智能终端功能限制性要求 (14)7 移动智能终端安全能力分级 (14)7.1 概述 (14)7.2 安全能力分级 (14)附录 A （资料性附录）安全能力等级标识 (19)引言随着移动智能终端的广泛应用以及功能的不断扩展，其使用过程中的安全问题被越来越多的用户所关注。
近年来，恶意吸费、窃听、窃录、位置信息泄露等安全事件频发，使用户对移动智能终端的安全性产生顾虑，进而影响到移动智能终端和移动互联网应用的发展。
本标准的制定，旨在通过提高移动智能终端的自身的安全防护能力，防范移动智能终端上的各种安全威胁，避免用户的利益受到损害，同时防止移动智能终端对移动通信网络安全产生不利影响。
本标准的基本原则是：移动智能终端上发生的行为和应用要符合用户的意愿。
本标准并不规定具体的实现方法和措施，以利于创新和发展。
本标准从硬件安全能力要求、操作系统安全能力要求、外围接口安全能力要求、应用软件安全要求、用户数据安全保护能力要求5个层面对移动智能终端的安全能力提出了要求，并从基本的安全保障、实现难度、特殊安全能力等层面对安全能力进行了分级，以便于产品具有特定品质，便于消费者选择。
通过本标准一方面能够引导移动智能终端中的预置应用软件更加规范、安全；另一方面也能引导移动智能终端提高自身的安全防护能力，操作系统自身符合安全要求，并对下载的第三方应用进行安全管控；同时也能防范移动智能终端中预置恶意代码对网络造成安全影响。
信息安全技术 智能家居安全通用技术要求和测试评价方法 编制说明
《信息安全技术智能家居安全通用技术要求和测试评价方法》（征求意见稿）编制说明一、工作简况1、任务来源为了建立和完善国家信息安全标准体系，根据《关于通报全国信息安全标准化技术委员会2018年信息安全标准项目的通知》（信安秘字[2018]028号），制定本标准。
根据中移（杭州）信息技术有限公司的申请，全国信息安全标准化技术委员会于2018年在《关于通报全国信息安全标准化技术委员会2018年信息安全标准项目的通知》（信安秘字[2018]028号）下达了《信息安全技术智能家居安全通用技术要求》的标准制定任务，由中移（杭州）信息技术有限公司牵头承担标准制定工作，起草单位包括：中移（杭州）信息技术有限公司、中国移动通信集团有限公司、中国信息通信研究院、公安部第三研究所、国家计算机网络应急技术处理协调中心、北京京东尚科信息技术有限公司、联想控股股份有限公司、北京百度网讯科技有限公司、华为技术有限公司、中国网络安全审查技术与认证中心、小米科技有限责任公司、中国信息通信科技集团有限公司、杭州安恒信息技术股份有限公司。
2、主要起草单位和工作组成员本标准起草单位：中移（杭州）信息技术有限公司、中国移动通信集团有限公司、中国信息通信研究院、公安部第三研究所、国家计算机网络应急技术处理协调中心、北京京东尚科信息技术有限公司、联想（北京）有限公司、北京百度网讯科技有限公司、阿里巴巴集团控股有限公司、中国电子标准化技术研究院、中国软件评测中心、海信集团有限公司、北京奇虎科技有限公司、深圳市优点科技有限公司、广东欧珀移动通信有限公司、华为技术有限公司、中国网络安全审查技术与认证中心、小米科技有限责任公司、中国信息通信科技集团有限公司、杭州安恒信息技术股份有限公司。
主要起草人有：路晓明、张滨、智绪龙、许蓓蓓、邱勤、董靖宇、李轶、贾倩、王华景、乔喆、冯运波、李汝鑫、何清林、张艳、宁华、周毅、刘陶、王剑、王艳红、刘继顺、李笑如、包沉浮、孙科、方强、李世斌、孙宗臣、张屹、汪国平、李腾、姚一楠、衣强、王晖、申永波、李明菊、吴国燕、王辉。
信息安全技术移动智能终端个人信息保护技术要求
信息安全技术移动智能终端个人信息保护技术要求信息安全技术在移动智能终端个人信息保护方面扮演着至关重要的角色。
随着智能手机、平板电脑等移动智能终端的普及，个人信息泄露和数据安全问题日益突出，因此，如何有效保护用户的个人信息成为了各大科技公司和企业亟需解决的问题。
本文将从移动智能终端个人信息保护的技术要求、技术实现以及未来发展趋势等方面进行探讨。
一、技术要求1.数据加密在移动智能终端中，用户的个人信息存储在设备的内部存储器或者外部存储卡中，要求对这些数据进行加密保护。
数据加密技术可以有效防止数据在传输或存储过程中被窃取或篡改，保障用户的个人信息安全。
2.访问控制为了保护用户的个人信息，移动智能终端需要设置强大的访问控制机制，确保只有经过授权的用户才能够访问到相关的信息。
目前，智能终端设备多采用密码、指纹等生物特征识别技术进行访问控制，确保只有合法用户才能够访问到设备中的敏感信息。
3.安全通信移动智能终端在进行信息传递和通信过程中，需要采用安全通信技术，保障信息在传输过程中不被窃取或者篡改。
目前，SSL/TLS等安全通信协议被广泛应用于移动智能终端，确保用户在使用移动设备时的通信安全。
4.安全存储移动智能终端的操作系统和应用程序需要通过安全存储技术来保护用户的个人信息和敏感数据。
安全存储技术可以有效防止恶意程序或攻击者对设备中的数据进行窃取或篡改，保障用户信息在设备中的安全存储。
5.恢复与销毁移动智能终端需要具备数据恢复与销毁功能，当用户的设备丢失或者被盗时，能够及时远程锁定、清除设备中的敏感信息，避免个人信息泄露。
同时，对于设备的废弃和报废，还需要确保设备中存储的个人信息能够被完全销毁，避免被不法分子利用。
二、技术实现1.数据加密技术数据加密技术是信息安全技术中的重要组成部分。
移动智能终端可以通过使用对称加密、非对称加密等技术对存储在设备中的个人信息进行加密保护。
同时，对于设备的数据传输，可以通过SSL/TLS等安全通信协议对数据进行加密保护。
信息安全技术 移动智能终端个人信息保护技术要求
信息安全技术移动智能终端个人信息保护技术要求随着移动智能终端的普及，越来越多的个人信息被存储在手机、平板电脑等设备中，例如联系人、短信、照片、音频、视频等，这些信息对用户及其生活安全都起到了至关重要的作用。
然而，个人信息泄露的风险也逐渐增加。
因此，保护移动智能终端个人信息安全已成为当务之急。
本文将讨论移动智能终端个人信息保护技术的要求。
第一，强密码策略。
为了防止密码被破解，需要要求用户在创建密码时采用足够强度的密码策略，例如使用含有字母、数字、特殊符号等三种或以上元素的密码并定期更换密码。
第二，数据加密。
移动智能终端存储的数据需要通过可信的加密算法加密，使得即使终端被盗或遭受攻击，数据也不易被窃取和泄露。
第三，应用程序权限控制。
应用程序权限控制是应用在移动智能终端上的一项重要措施，可以确保应用在访问用户信息时得到用户的授权。
应用程序要明确告知用户所需获取的数据和操作类型，并获得用户的许可才能访问相关数据。
第四，升级及时。
设备的安全漏洞经常被广泛报道，因此在任何时候都保持操作系统和应用软件的最新版本十分重要。
这能够及时消除已知漏洞和弥补系统和软件可能存在的安全隐患。
第五，开启远程锁定/数据清除。
为了在移动智能终端遗失或被窃情况下保护用户信息的隐私和安全，需要开启远程锁定功能。
用户可以通过远程锁定功能要求在设备无法访问后自动锁定屏幕，防止数据泄露。
同时，也可以选择开启远程数据清除功能，以确保在设备被盗用或者丢失的情况下，数据不会落在他人手中。
第六，安装应用程序来源。
用户需要下载应用程序时，应尽量从官方应用商店下载，并注意查看安装应用程序的细节信息。
不要下载未知来源的应用程序并避免以管理员权限安装软件，以此防止恶意软件和病毒的入侵。
总的来说，移动智能终端个人信息保护技术的要求包括强密码策略、数据加密、应用程序权限控制、升级及时、开启远程锁定/数据清除功能以及安装应用程序来源等。
如果用户能够对移动智能终端的保护有一个清晰的认识，并采取适当的措施保证设备的安全，那么个人信息的安全也能得到有效的保障。
《信息安全技术移动智能终端操作系统安全测试评价方法》
《信息安全技术移动智能终端操作系统安全测试评价方法》《信息安全技术移动智能终端操作系统安全测试评价方法》编制说明工作简况任务来源2012年，经中国国家标准化管理委员会批准，全国信息安全标准化技术委员会（SAC/TC260）上海辰锐信息科技公司阿里巴巴网络技术有限公司2012年12月接到标准编制任务后随即组建标准编制组，编制组成员均具有丰富的移动智能终端安全测评经验、操作系统安全加固相关产品检测经验，以及标准编制经验；人员包括张艳、陆臻、俞优、陈妍、邹春明、赵婷、顾玮、胡亚兰、赵戈、李曦等；标准编制协作单位相关技术领域的研发负责人及主要研发人员参与标准的调研与内容研讨。
1.3.2制定工作计划编制组首先制定了编制工作计划，并确定了编制组人员例会安排以便及时沟通交流工作情况。
1.3.3参考资料该标准编制过程中，主要参考了：GB17859-1999计算机信息系统安全保护划分准则GB/T18336.3－2015信息技术安全技术信息技术安全性评估准则第3部分：安全保障组件GB/T20271-2006信息安全技术信息系统通用安全技术要求GB/T25069－2010信息安全技术术语移动智能终端、操作系统安全加固相关产品及其技术资料1.3.4确定编制内容经标准编制组研究决定，以发改委专项测试要求为理论基础，以现有移动智能终端操作系统的发展动向为研究目标，以GB17859-1999《计算机信息系统安全保护等级划分准则》和GB/T18336-2008《信息技术安全技术信息技术安全性评估准则》为主要参考依据，完成《信息安全技术移动智能终端操作系统安全测试评价方法》标准的编制工作。
图1移动智能终端安全构成操作系统是移动智能终端的安全根基，通过对移动智能终端操作系统的安全风险分析，得到移动智能终端操作系统主要的安全机制应涵盖以下方面：1）应提供访问控制机制，限制对终端的非授权访问（如对系统资源如CPU指令、存储器、通信模块、设备驱动及系统内核等资源实现自主访问控制或强制访问控制，防止非法操作）；2）应对系统资源和各类数据进行安全域隔离，对存储空间进行划分，不同存储空间用于存储不同的数据，不同进程所使用的空间和资源也应进行逻辑隔离（如采用沙盒和虚拟机技术）；3)应建立数据的分类原则，设计安全级别，针对不同级别采用不同的安全机制。
工业和信息化部信息通信管理局公开征求对《关于进一步规范移动智能终端应用软件预置行为的通告》的意见
工业和信息化部信息通信管理局公开征求对《关于进一步规范移动智能终端应用软件预置行为的通告》的意见文章属性•【公布机关】工业和信息化部,工业和信息化部,工业和信息化部•【公布日期】2022.02.16•【分类】征求意见稿正文公开征求对《关于进一步规范移动智能终端应用软件预置行为的通告》的意见为进一步规范移动智能终端应用软件预置行为，提升移动互联网应用服务供给水平，工业和信息化部信息通信管理局会同国家互联网信息办公室网络安全协调局起草了《关于进一步规范移动智能终端应用软件预置行为的通告（征求意见稿）》（见附件）。
现面向社会公开征求意见，请于2022年3月3日前反馈意见。
联系单位：工业和信息化部信息通信管理局联系电话：************传真：************邮箱：*****************.cn附件：关于进一步规范移动智能终端应用软件预置行为的通告（征求意见稿）工业和信息化部信息通信管理局2022年2月16日附件关于进一步规范移动智能终端应用软件预置行为的通告（征求意见稿）为进一步规范移动智能终端应用软件预置行为，提升移动互联网应用服务供给水平，构建更加安全、更有活力的产业生态，促进移动互联网繁荣发展，根据《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国电信条例》和《移动智能终端应用软件预置和分发管理暂行规定》（工信部信管〔2016〕407号），现将有关事项通告如下：一、移动智能终端预置应用软件是指由移动智能终端生产企业（以下简称生产企业）预置，在移动智能终端主屏幕或辅助屏幕界面内存在用户交互入口，为满足用户不同的应用需求而提供的、可独立使用的软件程序。
二、移动智能终端预置应用软件应遵循依法合规、用户至上、安全便捷、最小必要的原则，按谁预置、谁负责的要求落实企业主体责任，依法维护用户知情权、选择权，保障用户合法权益。
三、生产企业应确保除基本功能软件外的预置应用软件均可卸载，并提供安全便捷的卸载方式供用户选择。
信息安全技术移动智能终端数据存储安全技术要求与测试评价方法
《信息安全技术移动智能终端数据存储安全技术要求与测试评价方法》编制说明一、任务来源根据国家标准化管理委员会2012年信息安全国家标准项目计划，国家标准《信息安全技术移动智能终端数据存储安全技术要求与测试评价方法》由中国移动通信研究院负责主办。
任务参加单位：北京智言金信信息技术有限公司、中科院研究生院委员会。
二、编制原则本标准是全新编制的标准，以自主编写的方式完成。
标准编制参考了《GB/T 20271-2006 信息安全技术信息系统通用安全技术要求》、《GB/T 17859-1999 计算机信息系统安全保护等级划分准则》、《YD/T 2407-2013 移动智能终端安全能力技术要求》《GB/T 20272-2006 信息安全技术操作系统安全技术要求》、《GB/Z 28828-2012 信息安全技术公共及商用服务信息系统个人信息保护指南》等国家、行业标准，在进行广泛调研、征求意见的基础上，同时借鉴国外先进理念和技术，以先进性、实用性、兼容性、可操作性为原则，完成国家标准《信息安全技术移动智能终端数据存储安全技术要求与测试评价方法》的研制。
三、主要工作过程1.成立专门标准编写组中国移动通信研究院于2012年筹建标准编制组，进行了前期研究工作。
2013年3月，由中国移动通信研究院牵头，北京智言金信信息技术有限公司、中科院研究生院委员会联合组成编制组，进行标准编写。
2.制定工作计划编制组首先根据调研和收集资料、完成草稿、征求意见稿、送审稿的工作流程，制定了相应的工作计划，并确定定期召开编制组人员会议或组内通报编制情况，以及时征求到意见和交流情况。
3.确定标准内容经编写组多次会议讨论之后，编写完成《信息安全技术移动智能终端数据存储安全技术要求与测试评价方法》标准草稿，“技术要求”部分包括安全框架、安全目标、数据存储安全等级划分、数据存储安全技术要求，“测试方法”部分包括基础级测试评价方法和增强级测试评价方法。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《信息安全技术移动智能终端应用软件安全技术要求和测试评价方法》编制说明（征求意见稿）1 工作简况1.1任务来源经中国国家标准化管理委员会批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究制定移动智能终端应用软件安全技术要求和测试评价方法的国家标准。
该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由公安部计算机信息系统安全产品质量监督检验中心（公安部第三研究所）负责主办。
1.2协作单位在接到《信息安全技术移动智能终端应用软件安全技术要求和测试评价方法》标准的任务后，公安部计算机信息系统安全产品质量监督检验中心立即与相关厂商进行沟通，并得到了多家业内知名厂商的积极参与和反馈。
经过层层筛选之后，最后确定由新能聚信(北京)科技有限公司、北京奇虎科技有限公司作为标准编制协作单位。
1.3主要工作过程1.3.1成立编制组2012年12月接到标准编制任务，组建标准编制组，由本检测中心、新能聚信及北京奇虎联合编制。
检测中心的编制组成员均具有资深的产品检测经验、有足够的标准编制经验、熟悉CC；其他厂商的编制成员均为移动智能终端应用软件的研发负责人及主要研发人员。
检测中心人员包括俞优、顾健、陈妍、陆臻、张笑笑、沈亮等。
1.3.2制定工作计划编制组首先制定了编制工作计划，并确定了编制组人员例会安排以便及时沟通交流工作情况。
1.3.3参考资料该标准编制过程中，主要参考了：•GB 17859-1999 计算机信息系统安全保护划分准则•GB/T 18336.3－2015 信息技术安全技术信息技术安全性评估准则第3部分：安全保障组件•GB/T 20271-2006 信息安全技术信息系统通用安全技术要求•GB/T 25069－2010 信息安全技术术语1.3.4确定编制内容移动智能终端应用有着自身的特点，在测试策略上不能完全照搬传统应用软件的测试策略、方法和内容，需要分析其使用特点以及使用过程中可能存在的一些安全性隐患，针对这些隐患提出针对性的安全要求，可以有效提高移动智能终端应用软件的安全性和可靠性，从而保证终端用户的软件使用安全。
移动智能终端号称永远在线,可以随时联机公共网络和专用网络,并基本具有了桌面计算机所具有的功能。
终端应用软件多数是通过无线网络下载到终端用户的便携式设备上的,包括通过E-mail、Internet下载、多媒体通讯服务、WAP下载、红外或蓝牙传输、PC 同步及可移动存储介质获得并安装各种最新的软件（其典型应用见图1显示）。
图1 移动智能终端J2M2程序的应用过程然而,大部分智能终端用户并不将它看作一台计算机,并不认同终端和计算机一样存在巨大的安全风险,认为终端比PC机更加安全、可靠,而是将其当作一部安全和没有任何风险的通信设备,这给一些黑客直接或间接（例如通过互联网）的破坏用户利益创造了可乘之机。
终端应用软件在不同设备都可通过网络进行下载和执行。
如果没有正确的防范机制, 用户将面临程序被破坏，数据丢失和信息窃取等安全威胁。
目前威胁移动智能终端安全的主要形式包括通过蓝牙、红外、彩信等方式传递的手机病毒, 垃圾邮件/短信（包括诈骗短信）,骚扰电话,恶意程序,黑客,木马,手机后门,监听软件/私密数据窃取等。
移动智能终端应用软件在使用过程中往往存在一些安全性隐患，其面临的常见安全风险如下所述：1)故意行为非受权访问：即使设备不丢失,局外人会使用盗取的密码进人设备,导致数据被修改或数据丢失。
电子窃听和修改数据：局外人可能会窃取网络上传输或转换的数据，并导致数据的更改。
敏感信息泄露：软件在未经用户许可的情况下，泄露和破坏用户个人信息和敏感数据。
后门和陷门：主要是指用于调试用的人口,如直接存取硬编码的口令。
逻辑炸弹、木马、病毒。
病毒和蠕虫。
2)管理疏忽如设备丢失,导致存储在设备内、SIM卡和存储卡内信息被别人存取,以及通过设备接收的信息如email等相关信息。
3)用户故障比如删除关键数据或输人错误。
4)技术故障导致数据中断、删除和不可存取。
5)其他其他不可预期和预防的失效和事件。
移动智能终端应用软件在设计、开发过程中如果存在导致上述安全漏洞的缺陷和弱点，将影响用户数据和信息的安全。
此外，由于在移动智能终端上运行的应用软件更是由众多独立的软件开发商或开发组织甚至是个人所研发的，其开发过程缺乏行之有效的安全监管。
综上所述，移动智能终端应用软件不应局限于功能的正常运行，而应对移动智能终端应用软件安全评估需求分析，确立应用软件安全性衡量指标，主要考虑软件应用的安全性和应用程序的自身安全。
研究范畴主要包括：软件授权、访问控制等安全功能建模与测试研究；形式化安全测试方法的研究、基于风险的安全测试及其在软件工程实践中的应用、模糊测试、语法测试、基于属性的安全测试方法研究。
1.3.5编制工作简要过程按照项目进度要求，编制组人员首先对所参阅的产品、文档以及标准进行反复阅读与理解，查阅有关资料，编写标准编制提纲，在完成对提纲进行交流和修改的基础上，开始具体的编制工作。
2013年1月，完成了对移动终端应用软件安全相关技术文档和前期基础调研。
编制组充分调研了移动智能终端应用软件在使用过程中面临的安全隐患，借鉴传统PC平台的安全防护思路，结合移动智能终端的特点，提出了移动终端应用软件安全防护要求。
2013年3月完成了标准草案的编制工作。
以编制组人员收集的资料为基础，在不断的讨论和研究中，完善内容，最终形成了本标准草案。
2013年5月，编制组在检测中心内部对标准草案进行了讨论，修改完成后形成草稿（第一稿）。
2013年6月，编制组以邮件方式征求了新能聚信、奇虎360等参与编制厂商的意见。
编制组根据反馈意见，积极修改，形成了草稿（第二稿）。
2013年12月，编制组以现场研讨方式征求了信大捷安、上海辰锐和上海交大等单位的意见。
编制组根据反馈意见进行修改，形成了草稿（第三稿）。
2014年3月，CCSA在成都召开了标准工作组会议，与会专家对文本进行了认真审议，并提出了相关意见和建议。
编制组根据专家意见进行修改完善。
2014年10月，编制组在检测中心广泛征求意见，编制组根据意见进行了修改，形成了征求意见稿（第一稿）。
2014年12月，CCSA在北京召开了标准工作组会议，与会专家对文本进行了认真审议，并提出了相关意见和建议。
编制组根据专家意见进行修改完善，形成了征求意见稿（第二稿）。
2015年4月，编制组以邮件方式征求了金山软件、华为等单位的意见，编制组根据意见进行了修改，形成了征求意见稿（第三稿）。
2016年3月，CCSA在北京召开了标准工作组会议，与会专家对文本进行了认真审议，并提出了相关意见和建议。
编制组根据专家意见进行修改完善，形成了送审稿。
2016年6月，WG6工作组在北京召开了标准工作组会议，与会专家对文本进行了认真审议，并提出了相关意见和建议。
编制组根据专家意见进行修改完善。
1.3.6起草人及其工作标准编制组具体由俞优、顾健、陈妍、陆臻、张笑笑、沈亮等人组成。
俞优全面负责标准编制工作，包括制定工作计划、确定编制内容和整体进度、人员的安排；陆臻和张笑笑主要负责标准的前期调研、现状分析、标准各版本的编制、意见汇总的讨论处理、编制说明的编写等工作；沈亮负责标准校对审核等工作；顾健主要负责标准编制过程中的各项技术支持和整体指导。
2 标准主要内容2.1编制原则为使标准的内容从一开始就与国家标准保持一致，符合我国的实际情况，遵从我国有关法律、法规的规定。
编制过程中遵循下述几个原则:（1）符合国家的有关政策法规要求；（2）与已颁布实施的相关标准相协调；（3）充分考虑我国移动智能终端应用软件的现状；（4）适度考虑目前处于发展成熟过程中的技术，保持一定的前瞻性。
2.2编制思路标准将从安装与卸载、访问权限控制、数据安全、运行安全等方面规范移动智能终端应用软件的开发、设计。
一、安装与卸载的安全为了防止移动智能终端应用软件对原有系统内的应用造成不当的影响或破坏,使其得到认可并被安装，应用软件应具备供应者或开发者的数字签名信息, 其安装过程只能运行在特定环境中且不能破坏其运行环境，需要检查相应的授权和数字签名。
卸载时应将其安装进去的文件全部卸载，自动运行权限需要得到用户的明确授权等。
二、访问权限控制移动智能终端应用软件的权限，包括网络访问、信息发送、自动启动、媒体录制、读取\写入用户数据等权限，关系到用户个人信息和隐私的保护，需要对应用软件的权限和访问安全机制进行要求。
三、数据安全从密码的显示、存储，敏感数据处理的预期行为，数据备份和恢复、安全性提示等等方面进行要求，确保用户数据的安全性。
四、运行安全从程序的实现安全、稳定性和容错性等方面进行要求，保证程序的正常工作。
2.3标准内容2.3.1标准结构本标准的编写格式和方法依照GB/T1.1-2009 标准化工作导则第一部分：标准的结构和编写规则。
本标准主要结构包括如下内容：1.范围2. 规范性引用文件3. 术语和定义4. 安全技术要求5. 测试评价方法2.3.2主要内容2.3.2.1范围、规范性引用文件、术语和定义和缩略语该部分定义了本标准适应的范围，所引用的其它标准情况，及以何种方式引用，术语和定义部分明确了该标准所涉及的一些术语。
2.3.2.3 安全技术要求一、安全要求1) 安装与卸载的安全安装要求：应具备供应者或开发者的数字签名信息，其安装过程只能运行在特定环境中且不能破坏其运行环境, 需要检查相应的授权和数字签名。
——应能正确安装到相关终端上，并生成相应的图标；——应包含数字签名信息、软件属性信息；——应用软件启动前应得到用户的许可；——不应对系统软件和其他应用软件造成影响。
卸载要求：卸载时应将其安装进去的文件全部卸载，自动运行权限需要得到用户的明确授权等。
——安装的文件应能完全移除；——修改的系统配置信息（如注册表）应能复原；——卸载用户使用过程中产生的数据时应有提示；——不应影响其他软件的功能。
2) 鉴别机制身份鉴别：若终端应用软件本身涉及敏感数据，则应对访问用户提供有效的身份鉴别机制。
——在用户访问应用业务前，终端应用软件对其身份进行鉴别，并提供鉴别失败处理措施；——具备登录超时后的锁定或注销功能。
口令安全机制：若终端应用软件使用过程中涉及用户口令，应提供完善的口令保护机制。
——在使用过程中不应以明文形式显示和存储；——不应默认保存用户上次的账号及口令信息；——具备口令强度检查机制；——具备口令时效性检查机制；——修改或找回口令时，具备验证机制。
3) 访问控制基于用户的控制：若终端应用软件本身涉及敏感数据，则应对访问用户提供有效的授权机制。
——授权用户访问的内容不能超出授权的范围；——限制应用用户账号的多重并发会话。