# 云商店商品安全标准3.0
商家应对发布的产品中出现的安全漏洞及其造成的后果负责，具体标准如下：
| 安全属性                                                                                              | 云商店商品安全标准3.0                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
|:---|:---|
| 访问控制                                            | 不同用户确保相互隔离，无法越权访问对方资源                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 访问控制                                            | 仅使用必要的角色、功能、服务和网络端口来保持最小占用空间，从而限制攻击面。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 访问控制                                            | 所有能对系统进行管理的人机接口以及可通过公网访问的机机接口必须有接入认证机制，标准协议没有认证机制的除外。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 安全加固                                                                                              | 商品正式发布前，应使用漏洞扫描工具进行漏洞扫描测试，CVSS评分≥7.0的高风险级别的漏洞必须得到解决或有效规避。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| 应用安全                                                  | 对于每一个需要授权访问的请求都必须核实用户是否被授权执行这个操作，仅允许在服务端进行最终的认证处理。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| 应用安全                                                  | Web应用程序的会话标识必须具备随机性；身份验证成功后，必须更换会话标识。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 产品开发、发布和安装安全                              | 禁止存在可绕过系统安全机制（认证、权限控制、日志记录）对系统或数据进行访问的功能。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| 产品开发、发布和安装安全                              | 禁止包含恶意软件，在商品发布前使用业界知名杀毒软件扫描，不存在病毒、木马、恶意程序。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              |
| 产品开发、发布和安装安全                              | 禁止包含带后门访问的软件行为。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
| 产品开发、发布和安装安全                              | 禁止对外提供服务的和能够被远程访问的进程使用root账户（或等同）权限运行。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  |
| 加密                                                                                                | 必须使用通过认证的或业界开源公认的密码算法，密码算法中使用到的随机数必须是密码学意义上的安全随机数。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| 数据保护                                               | 敏感数据包括不限于认证凭据（如口令、动态令牌卡）、银行账号、业务密钥等，不允许存储在OBS公开桶中，同时应该加密保护并提供访问控制，并且禁止明文存储。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
| 数据保护                                               | 在公网之间进行敏感数据的传输须采用安全传输通道或者加密后传输，有标准协议规定除外                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                |
| 数据保护                                               | 禁止在系统中存储的日志、调试信息、错误提示中明文打印认证凭据                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          |
| 系统管理和维护安全                                  | 系统自身操作维护类口令满足口令复杂度要求: 口令至少满足如下要求： 1、口令长度至少8个字符； 2、口令必须包含如下至少两种字符的组合: －一个小写字母； －一个大写字母； －一个数字； －一个特殊字符：\`\~!@#$%\^\&\*()-_=+\\\|\[{}\];:'",\<.\>/? 和空格 3、口令不能和账号一样；                                                                                                                                             |
| 系统管理和维护安全                                  | 管理面所有对系统产生影响的用户活动、操作指令必须记录日志，日志内容要能支撑事后的审计，记录包括用户ID、时间、事件类型、被访问资源的名称、访问发起端地址或标识、访问结果等；日志要有访问控制，应用系统禁止提供手动删除、修改审计日志的能力                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 系统管理和维护安全                                  | 禁止口令硬编码在软件中（包含二进制代码和用户不可修改的脚本），应支持用户修改；系统外部可访问的所有管理账号的缺省口令应在系统初始设置时强制修改；不得默认具有访问客户的运行实例的权限。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
| 系统管理和维护安全                                  | 系统必须有明确的用户权限管理机制，新建账号默认不授予任何权限或者默认只指派最小权限的角色                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
| 隐私保护         | 作为数据控制者时，如收集处理了个人数据，须向用户提供隐私声明。隐私声明客观说明收集的个人数据种类、处理目的、留存时限、存储地点、数据控制者联系方式等关键信息                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          |
| 隐私保护         | 如收集处理了如生物特征、身份信息、金融账户、行踪轨迹等敏感个人数据，须获得用户单独同意。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
| 隐私保护         | 仅收集业务处理所必须的个人数据，且收集处理的个人数据的类型、处理目的应与隐私声明或产品资料说明保持一致。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                    |
| 隐私保护         | 须基于业务处理目的设置个人数据的留存期限，留存到期后应删除或匿名化个人数据                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 隐私保护         | 须向用户提供查看、更新、导出、删除个人数据的机制。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| 隐私保护         | 须对个人数据提供安全保护机制（如认证、加密、权限控制、日志记录等）                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       |
| 隐私保护         | 如将个人数据分享给了第三方，须获得用户单独同意。用户拒绝后，停止将个人数据分享给第三方。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
| 隐私保护         | 如将个人数据跨境传输，须获得用户的单独同意或跨境传输双方签订了数据转移协议                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   |
| 隐私保护         | 如个人数据用于自动化决策、个性化推荐，画像、营销广告，须获得用户单独同意，并向用户提供便捷的拒绝/撤销机制。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  |
| 数据安全                           | 伙伴应遵从所在国家、区域的数据安全法律法规要求，确保数据全生命周期的处理活动合法合规。伙伴数据若涉及中国数据安全法中的重要数据、核心数据，应遵从监管要求完成申报、备案、安全风险/安全事件上报等工作；                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     |
| 数据安全                           | 伙伴应在服务声明中，明确对客户数据安全保护的责任、义务，以及采集客户数据的目的、范围、使用期限，并明确客户退订服务时数据的留存周期和清除方式，并承诺不会通过技术手段还原已清除数据信息。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
| 数据安全                           | 伙伴如果向客户提供数据相关的服务，应在服务声明中明确数据来源的合法性、真实性。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 |
| 数据安全                           | 伙伴应对华为云和客户的数据资产实施安全防护措施，避免华为云或客户的数据信息因伙伴保护不当导致泄露；                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       |
| 数据安全                           | 未经华为云授权，伙伴不得超出授权目的、范围、期限使用华为云提供的数据，不得将华为云相关数据提供给第三方。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                    |
| 数据安全                           | 若因伙伴原因导致客户发生数据安全事件，如数据泄露、数据破坏、加密勒索等，伙伴在感知到事件发生后，立即采取补救措施，并按监管要求进行事件信息和结果的上报，并将相关信息同步通知到华为云。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
| 完整性保护                                                                                             | 通过安全通道/加密方式向客户交付软件包/补丁包，且必须提供完整性校验机制，如哈希                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                |
| 生命周期管理                                                                                            | 商品所使用的下属所有组件（包括平台、开源和第三方软件）禁止使用任何带有生命周期终止的版本。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                           |
| 运营运维安全                                           | 面向公网的接口禁止使用预置口令、空口令和弱口令。 系统默认检测口令复杂度，口令至少满足如下要求： 1、口令长度至少8个字符； 2、口令必须包含如下至少两种字符的组合: －一个小写字母； －一个大写字母； －一个数字； －一个特殊字符：\`\~!@#$%\^\&\*()-_=+\\\|\[{}\];:'",\<.\>/? 和空格 3、口令不能和账号一样； 若设置的口令不符合上述规则，必须进行警告； 对于输入受限、符合业界惯例的场景，不强制要求口令复杂度。 |
| 运营运维安全                                           | 漏洞通知与修复遵守《云商店商家合作管理规范》的约定                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| 运营运维安全                                           | 禁止对公网开放高危服务，如果产品因正常业务诉求必须对外开放，须做好相关外围网络安全防护措施，并在资料中进行说明。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                |