2023即时通讯行业安全合规白皮书

前言 Preface 随着移动互联网和5G通信新技术的浪潮席卷全球，传统的通信方式已经发生了翻天覆地的变化。人们已经习惯了通过即时通讯软件和网络交流平台分享自己生活的方方面面，随着人们越来越公开自己的生活，人们也开始关注隐私和安全等问题。 隐私作为人们不愿为他人知晓的私密空间、私密活动和私密信息，历来被互联网用户所关注。尤其是在即时通讯服务的使用过程中，用户可以轻易将自己的隐私传输至互联网上，这使得用户在享受便捷服务的同时，更容易因隐私泄露而影响生活安宁。近些年来各类隐私泄露事件更是让人们在享受便捷的互联网服务时，对网络服务提供者的隐私保护能力持怀疑态度。甚至在某种程度上，隐私保护逐渐成为用户选择网络服务时考虑的重要因素。为了保护用户的隐私，世界各地都相继出台了隐私保护相关的法律法规，使得企业的隐私保护合规工作更加具有挑战性。 作为全球互联网消息云的开创者和引领者，数据和用户隐私安全是环信最关切的问题。环信始终将数据和用户隐私安全作为首要安全原则，并将其作为理念融入安全能力建设当中，2021年环信行业首家通过了史上最严格的数据保护法案“GDPR”的相关安全合规标准。 为帮助开发者及用户感知和理解环信在即时通讯服务上的努力，了解环信服务的安全属性，CSDN联合环信特发布即时通讯行业首个《安全合规白皮书》。该白皮书全面分析了安全合规的趋势及国内外监管重点，同时给出环信在即时通信领域安全合规开发的经验及建议，还列举了环信云服务的相关安全和合规工作，希望能够为业界提供了全面、详实的安全能力建设参考。 目录 Content 一、安全合规的趋势01 1.1隐私监管趋紧01 1.2App/SDK趋严01 1.3安全合规的基本框架02 二、国内外的监管重点03 2.1国内App上架-信息采集04 2.2国内App上架-符合安全规定04 2.3海外的关注-用户权利04 2.4共同关注点-数据跨境05 三、如何评估和满⾜安全合规要求06 3.1如何评估安全合规的要求07 3.2产品架构维度07 3.3数据处理流程的维度09 四、安全合规开发经验及建议11 4.1安全合规能力建设需要做什么11 4.2⽬前安全合规的能力12 4.3开发建议-即时通讯领域12 五、环信安全合规、隐私保护及相关认证14 5.1环信安全合规和隐私保护14 5.2安全标准和认证（GDPR）15 六、环信即时通讯PaaS服务的安全17 6.1数据中心计算资源安全17 6.2SDK安全19 6.3RESTfulAPI安全20 七、数据安全22 7.1数据安全政策22 7.2数据采集22 7.3数据脱敏22 7.4数据保护和加密传输22 7.5数据使用和存储23 7.6用户的数据权利23 八、安全运营24 8.1安全开发生命周期管理SDL24 8.2反入侵和安全监控24 8.3安全应急响应机制25 8.4安全合作25 九、APP开发者接入环信SDK的合规要求26 9.1隐私政策内容合规26 9.2隐私政策展示形式合规27 十、结语28 引言 Introduction 在监管趋紧的形式下，即时通讯场景会遇到很多安全合规领域的挑战，如何满足这些安全合规的要求，如何保护用户的隐私安全，是一件非常有挑战的事情。 一、安全合规的趋势 1.1、隐私监管趋紧 最近四五年来，安全合规的趋势变得越来越严格，各个国家都有比较重磅的安全合规的相关法规出台，比如美国加州的《消费者隐私法案》《儿童在线隐私保护法》、保险医疗领域的HIPPA，以及欧盟推出的比较有代表性的《通用数据保护条例》。国内去年也出台了《个人信息保护法》《数据安全法》，加上之前发布的《网络安全法》，对于安全合规领域的覆盖逐渐比较完善。 1.2、App/SDK趋严 图1国内主要的有关法规和内容 图1所示为国内主要的有关法规和内容，而且这个趋势也是越来越严格，比如工信部发布的各种应用下架的新闻或者公告，都涉及了个人数据隐私相关的内容。 1.3、安全合规的基本框架 安全合规的基本框架可以总结成两个方向，一个是用户知情同意，另一个就是安全保障义务。我们以《通用数据保护条例》（GDPR）为例，它是一个法规条文，内容包括各种监管措施、惩罚措施，还规定了应保障的用户权利，后续章节将介绍一些具体的用户权利说明。 二、国内外的监管重点 关于国内外监管的重点，从国内这几年的角度来看，主要包括以下几个方面： 2.1、国内App上架——信息采集 第五条常见类型App的必要个人信息范围： （一）地图导航类，基本功能服务为“定位和导航”，必要个人信息为：位置信息、出发地、到达地。 （二）网络约车类，基本功能服务为“网络预约出租汽车服务、巡游出租汽车电召服务”，必要 个人信息包括： 1.注册用户移动电话号码； 2.乘车人出发地、到达地、位置信息、行踪轨迹； 3.支付时间、支付金额、支付渠道等支付信息（网络预约出租汽车服务）。 （三）即时通信类，基本功能服务为“提供文字、图片、语音、视频等网络即时通信服务”，必 要个人信息包括： 1.注册用户移动电话号码； 2.账号信息：账号、即时通信联系人账号列表。 （四）网络社区类，基本功能服务为“博客、论坛、社区等话题讨论、信息分享和关注互动”， 必要个人信息为：注册用户移动电话号码。 （五）网络支付类，基本功能服务为“网络支付、提现、转账等功能”，必要个人信息包括： 国内App上架-信息采集 《人信常息见范类围型规移定动》互联网应用程序必要个hc_tt1p6:1/7/9w9w09w9.7ca05c4.g2o7v7..chntm/2021-03/22/ 图2《常见类型移动互联网应用程序必要个人信息范围规定》 如图2所示，用户信息的采集方面正受到越来越多的重视，国家部委出台了《常见类型移动互联网应用程序必要个人信息的范围规定》，指出了二三十个场景下能够采集的必要的个人信息。 比如地图导航类，它的基本功能是定位和导航，必要的个人信息为位置信息、出发地和到达地。开发者在开发应用的时候首要确认相关信息，如果收集了其余非必要数据App就无法上架。 再比如网络社区类应用，它的基本功能是博客、论坛等，这些个人信息跟即时通讯类的必要信息比较接近，诸如用户的移动电话号码和账号联系人等信息。网约车类型中也规定了电话号码， 包括出发地、到达地、支付时间、支付信息等。为什么即时通讯类需要移动电话号码呢？一般认为是只需要账号就可以了？接下来的篇幅就解释了这个问题。 2.2、国内App上架——符合安全规定 除了可以采集的必要信息的约束之外，我国还有很多特定的相关不同行业或领域的约束。 在应用的上架流程中，应用商店都有详细的审查规定，如果涉及即时通讯、直播或者用户舆论领域，就需要一个安全评估报告，这个安全评估报告中增加了额外的要求，比如说用户真实身份的核验，就是要核验服务中用户的身份是真实可靠的，这里就回答了前面即时通讯领域的问题，想真正地服务客户，就要能够做到实名制，而实名制其实一般就是通过校验手机号和短信等方式。 另外，其实这还涉及用户舆论的问题，需要针对这个问题建立投诉举报的机制，公布投诉举报的联系方式和处理情况，对于这些用户的昵称、信息发布、转发评论等，要有相关的记录保存措施，通过一定的保存机制来支持追查这些信息。这样一方面约束了必要的个人信息的采集；另一方面在不同的领域也补充了额外的要求，比如金融或者医疗领域就有更高级别的相关要求。 根据工信部数据显示，近期违规下架应用累计为3000款左右，涉及的问题大部分是违规收集个人信息，少量是强制或者索取权限相关的问题，国内的应用、网站可能涉及的问题主要集中在这几个方面。 2.3、海外的关注——⽤户权利 如果⽬标客户是在海外，那么会发现海外的侧重点稍有不同。除了常见的这些安全约束之外，其更关注用户的权利。 举几个例子，比如用户的知情权、信息获取权、修改权和被遗忘权。知情权就是明确地告知用户要收集哪些信息、信息用来做什么以及保存多久；信息获取权就是用户必须能够导出自己的数据；修改权就是用户可以对个人信息进行修改；被遗忘权就是用户有权利注销和删除自己的数据。Facebook等海外的大型平台都支持注销账号、导出个人数据等功能，这些是海外比较 重视的方面。 图3 图3案例所示，英国的数据保护监管机构向加拿大的一家数据分析公司发出通知，要求其删除 所有跟英国公民相关的个人数据，如果不履行义务，将面临着2000万欧元或者上一年全球总营业额4%的罚款。这里的2000万欧元和4%的罚款就是《通用数据保护条例》中所做的规定，从中不难看出这个措施是非常严格的。 2.4、共同关注点——数据跨境 国内和国外还有一个共同的关注点，就是热点数据跨境，简单来说就是个人信息和重要的数据应当在境内，这里的在境内应该就是说，比如中国公民的信息和重要的数据不能被随意地存储到境外的服务器上，欧盟地区的数据也不能被随意地存储在欧盟以外。其他的地区比如东南亚或者印度，也有当地的相关法律法规来约束。 如果确实需要向境外提供数据，我国的要求是要通过评估办法进行慎重的评估。欧盟则是要求他们认为已经采取足够的安全保护措施的地区可以跨境转移数据，但至少现在为止中国还不在这个名单上，所以欧盟的数据也不能随意存储在中国境内的服务器上。 三、如何评估和满⾜安全合规要求 了解了安全合规的趋势和相应的重点之后，我们如何评估和满足安全合规的要求呢？首先回溯前面介绍的安全合规的框架。 用户知情同意包括充分告知和权利保障。充分告知就是提供用户隐私协议，权利保障就是用户可以拒绝、可以删除，而且收集的数据要符合最小化原则（最小必要）。 安全保障义务比较复杂。首先，从风险评估、公司内部的制度建设到安全开发流程中都会涉及这个问题，比如产品从需求阶段就要有安全方面的专家确认是否涉及用户数据、用户数据怎么传输、用户数据怎么来保存、是否是必要的等等，因此从产品需求阶段到方案设计阶段，到最后上线阶段都要有必要的安全评估。 其次是技术保障，这里的技术保障指的是采集过程当中的传输、存储都应当采取足够的技术保障，换算成技术角度就是说，传输过程中要进行传输的加密，存储过程中要进行存储的加密。法律法规不会规定具体的某个安全措施，只是要求采取必要的技术措施保障用户数据的安全。 所以从技术角度侧理解，要采取业内比较标准的或者比较高标准的安全措施，比如https默认是使用其他的传输协议，比如TCP、UDP等也应当符合业内的安全标准。 当然，安全保障还少不了审计和监管，就是说要有一定的安全开发流程或者安全制度，满足监 管机构的监管要求。 3.1、如何评估安全合规的要求 那么，如何评估安全合规的要求呢？这要看我们具体的涉及的业务，不同领域的要求是不一样的。诸如金融、医疗等领域的要求会更加严格。在某些医疗领域，对于医疗用户（患者）的数据或者处理要记录至少5年以上，这是该领域的一个特殊要求。另外，针对不同区域用户的要求也不一样，比如刚才提到的东南亚，新加坡就有自己的特殊规定，其他地区也有相关的特殊要求。 客户的行业之间也有不同的安全要求，重要的企业或者事业单位，对于数据库有时会有一些特殊的要求，比如要求必须是国内的数据库，这就是不同的行业或者不同的客户可能面临的特殊要求。还有一个重要的因素就是要评估依赖的第三方。 例如，我们现在开发产品或者服务，免不了要依赖一家甚至多家第三方，这些第三方是否能够满足特定的要求也是特别重要的，因为大多数的应用都会依赖多家第三方，在上架或者遭遇审查的时候，由于第三方因素引起应用下架也是很正常的。 最后一个是成本因素，就是说要采取技术措施来保证安全合规的要求，肯定会带来成本的增加，所以从方案角度或者预算角度来说，要考虑这方面的问题。从相关经验来说，比如开启了传输加密和存储加密之后，服务器成本大概是百分之四五十这个量级的增长，具体数字跟不同的行业和采用的不同技术关联性特别大。 3.2、产品架构维度 $VTUPNFSAQ