开发者安全能力标准

更新时间：2021/12/07 访问次数：9349

一、背景概述

近年来国家陆续出台了个人信息保护和数据安全相关的法律法规，对保障消费者个人信息权益、规范数据处理活动提出了更明确的责任要求。

为了更好的保障用户信息的安全、提升开发者应用对于用户个人信息的保护及应用自身的安全防护能力。针对从淘宝平台、服务市场、开放平台与聚石塔（简称“TOP”）获取用户个人信息（包含不限于收件人姓名、手机号、地址等消费者敏感信息字段）的数据权限类应用，平台提出安全能力标准。

二、覆盖范围

通过平台可获取消费者个人敏感信息的所有IT类应用，应用标签包括但不限于：商家后台系统（简称“自研系统”）、国际商家后台系统（简称“自研系统”）、服务商后台系统、订单管理、ERP软件、进销存软件、全渠道ERP，仓储管理系统（WMS）、奇门-商家自研WMS系统等。

三、应用规模

1、梯队说明

梯队	梯队说明
第一梯队	应用订单量≥100万
第二梯队	10万≤应用订单量<100万
第三梯队	应用订单量<10万

2、统计说明

1）梯队说明：应用在TOP平台承接业务规模衡量标准之一，作为应用违反《开放平台&聚石塔安全违规行为及处罚规范》的安全违规处置参照标准。

2）应用订单量：单个应用近30天从平台获取的含敏感信息明文的订单量总和，登陆御城河-安全认证-体检查询应用梯队（数据T+1更新）。

3）以上应用日均订单量为除去38、618，99、双11、双12等大促外的日常订单数量。

四、安全能力

1、安全能力标准

类型		具体标准	分值上限
基础能力	基础信息	1、应用应向平台提供完整的企业基础信息、包括但不限于涉及淘宝平台相关资产清单（应用名称、应用ip、URL等），安全负责人信息（姓名、手机、邮箱等），如有变更需在3天内完成信息更新。 2、应用功能或通过接口发布的内容的文字、图片、视频、音频，及存储的数据等形式的信息内容不得出现包含涉政、涉黄、涉暴、辱骂、诽谤、违禁等违反国家法律法规的信息。 3、应法律法规等政策要求完成等保测评工作，或每年至少接受1次专业渗透测试，渗透测试需由第三方机构独立进行，并向平台提供1年内等保测评或渗透测试报告。	安全能力准入门槛，不参与安全分计算
	数据保护	1、涉及消费者个人信息数据在传输、展示过程中采取加密、去标识化等安全技术措施处理，通过平台官方接口获得涉及用户个人信息的订单数据后，仅限用于订单履约场景使用，不以任何（包括但不限于本地服务器或数据库等）形式存储。 2、应用禁止提供涉及用户敏感信息的导出功能，包括但不限于姓名、联系方式、地址、身份证号、支付宝帐号等。应用涉及非用户明文敏感信息的订单导出需要具备二次验证的能力。
防护能力	账号防护	1、建议接入淘系账号风控体系，如拥有自建账号体系，应具备身份识别与访问管理能力（简称“IDAAS”），无论是自建安全能力还是购买三方安全产品，都需要开启二次认证（短信或MFA）、弱密码监测、账号生命周期管理、登陆认证行为统一管控等具备保护和管理账号等安全策略，相关日志需回传御城河平台。【必选】 2、账号风控识别到的账号异常风险（包括但不限于账号被盗、暴力破解等问题），需在2h内响应并处置。 3、应用系统不得使用初始账户或初始口令，有明确账号密码的安全策略要求。账号配置满足业务场景所必须的最小权限集合，对不同账号角色有管控要求。	1.75
	应用防护	1、具备Web应用防护能力（简称“WAF”），对于非HTTP协议的C/S应用需要接入互联网边界防火墙进行防护，相关日志需回传御城河平台。 2、Web应用防护具备防爬功能，如WAF防爬或平台提供的端解密安全组件，可任选其一接入。【必选】 3、生产、开发环境接入安全访问服务边缘（简称“SASE”），并开启身份二次验证（短信或者MFA）。 4、所有资产接入主机入侵防护产品（异常登陆、恶意进程查杀等），具备自动化监测恶意代码和系统漏洞的能力。
运营能力	安全审计	1、应用系统应保存用户的登录、订单操作相关日志，并回传平台用以日常信息审计。 2、从TOP平台调用获取用户个人信息的接口数据，如OAID解密接口需将相关日志回传平台。 3、应用系统应对流量打点（HTTP请求日志打点保存）与WEB/服务器/数据库访问日志打点，用以日常运维，留存时间不少于180天。	2.65
	安全运营	1、日常运营对漏洞能够进行跟踪管理（异常登录、木马查杀、漏洞修复等），并满足高危漏洞24小时内修复，中危漏洞3天修复，低危漏洞7天修复的响应效率。 2、御城河产出的各类安全漏洞、风险、事件，包括但不限于安全整改、安全数据的告警分析、漏洞修复，应急响应等，应在风险提示的规定时间内完成响应处理。 3、有安全专职运营人员，并具备7*24小时安全应急响应能力，制定内部安全管理制度和操作规程，包含但不限于内部制定安全事件报告和处置管理制度，明确安全事件的现场处理、事件报告和后期恢复的角色职能及处理流程。 4、安全岗位应对被录用人员的身份、安全背景、专业资格或资质进行审查。并做好日常各类人员进行安全意识教育、岗位技能培训、权限管控（如离职人员应及时终止离岗人员的所有访问权限）等，并告知相关的安全责任和惩戒措施。
运维能力		1、所有系统、各类服务、WEB应用及其组件不允许使用弱口令，涉及存储在数据库中的用户密码，需使用不可逆加密算法处理。 2、应用系统具备系统脆弱性检测的能力，检测Web应用或组件漏洞、弱口令及系统安全配置，应对系统脆弱性进行跟踪管理。 3、服务器的accesskey以及其他各种key的调用使用白名单访问限制，有内部密钥管理规范，保障密钥信息的安全性。 4、所有资产不得公网开放数据库端口，关闭不需要的系统服务、默认共享和高危端口，不得开放集群、组件管理等相关系统。 5、通过安全组进行细粒度的网络访问控制策略，建议对每一个RDS设置IP白名单，如只允许其配置为特定的1个或多个IP且不允许绑定IP网段。 6、通过聚石塔云资源的公网IP默认开启5G基础DDOS防护能力，重要系统开启DDOS高防提高DDOS攻击能力，保障业务连续性。	0.6
附加项		1、积极筹参与由平台发起或组织的安全主题相关的活动及会议，并主动推广、分享经验，赋能行业。 2、通过官方反馈渠道主动上报潜在的重大风险隐患等，并经平台确认为有效的重要情报信息。 3、平台官方渠道公示的其他加分项。官方反馈渠道：ISV_ds_fankui@service.alibaba.com	-
扣分项		1、数据安全引发重大风险事件。 2、应用安全违规产生≥3分违规扣分事件。 3、平台官方渠道公示的其他减分项。	-5