（一）建立移动App安全组织架构规范

建议由工信部或者公安部牵头，参照由国家保密科技测评中心成立的移动App科技测评中心，其形成了统一规范、整体协同的科技测评机构体系，可自身开展系统测评、产品测评、漏洞分析、法规和标准研究，也可对授权方开展测评业务的资质进行审查和评估。对于送检的软件测试结果予以公开，以便App用户能在安全可靠的公共平台上查询和下载使用。

（二）采用各个环节分开定级方式

移动终端、移动应用、网络安全、应用服务端等所属责任主体经常会不一致，而且各个环节发生安全事件或者存在安全漏洞影响的范围和危害的程度也不一样，建议移动App系统各个环节分开定级，这样将更加精准并且责权更加清晰。移动终端安全由使用者自行负责，移动应用由开发者负责，网络安全由网络供应商负责，应用服务由应用服务提供商负责。对于客户端可以开发统一的移动终端安全测试和安全防护软件，目前很多移动安全软件都能实现。移动应用App相当于传统等级保护中的客户端软件，只须参照客户端软件安全提出相应的标准即可。安全厂商已经开发出了移动网络安全检测工具，可以在此基础上统一标准并完善终端网络检测工具，并且可以集成到终端安全防护软件中，强化终端整体防护。国内电信、移动、联通等几大主要的互联网络服务供应商作为国家基础设施建设单位，互联网服务等级保护定级必然不会很低，且很多的移动App均运行在这些网络上，只须一次定级和测评即可，无须每套系统都对移动网络进行测评。移动App应用服务端定级完全可以参考传统信息安全等级保护服务端信息安全要求。

（三）移动App强调整体网络安全

移动App运行的网络不仅仅是无线网络，其也可以运行在有线网络环境中。建议参考原有等级保护网络安全，在此基础上增加独有特色的无线网络安全，使得对其的网络安全要求更加全面和完善，避免了一些避开标准要求的特殊情况。

（四）加强对敏感信息的安全要求

细化移动App权限要求，按照最小权限获取移动终端资源和敏感信息的使用权。在安装或者使用过程中，需要获取特定权限或者个人隐私数据时，不应简单提示是否给予权限，而应明确标识为何需要此权限并且提示获取什么数据、提取的数据作何用途，督促App开发者实现“明示收集、使用信息的目的、方式和范围并经被收集者同意”，改变用户只知道App需要什么权限的传统模式，以适应新《网络安全法》的要求。

（五）规范安全测试、安全加固等业务市场

建议制定移动App安全测试和安全加固等信息安全业务服务标准，由统一的测评中心授权并公开获取开展信息安全服务业务资质的相关企业信息、业务范围，规范安全服务市场，具备什么资质开展什么业务，需求客户可以根据公开的信息选取和联系可靠的安全服务提供商，避免部分企业混水摸鱼，降低因第三方企业参与所带来的额外风险，实现市场规范化、业务明细化、测评标准化、结果公开化、软件可靠化。

（六）分化软件升级方式要求

建议根据安全等级对移动App升级方式进行分化，对于危害和影响不大的一级、二级系统可以采取在线升级方式。为了保障三级、四级系统的高可靠性和高安全性，必须采用整体打包重新安装升级方式，降低在线升级带来的不稳定和潜在植入病毒的风险。

（七）强化移动App身份验证功能

当今世界，对用户的身份认证基本方法可以分为3种：一种是根据用户所知道的信息来证明用户的身份 （what?you?know，你知道什么）；另一种是根据用户所拥有的东西来证明用户的身份（what?you?have，你有什么）；第三种是直接根据独一无二的身体特征来证明用户的身份（who?you?are，你是谁），比如指纹、面貌等。为了达到更高的身份认证安全性，某些场景会将上面3种挑选2种混合使用，即所谓的双因素认证。建议安全性较高的三级以上系统身份验证应对同一用户采用双因素认证的鉴别技术实现用户身份鉴别，而不是简单地在数量上要求两种鉴别技术。