云商店商品安全审核标准3.0

访问控制

不同用户确保相互隔离，无法越权访问对方资源

仅使用必要的角色、功能、服务和网络端口来保持最小占用空间，从而限制攻击面。

所有能对系统进行管理的人机接口以及可通过公网访问的机机接口必须有接入认证机制，标准协议没有认证机制的除外。

安全加固

商品正式发布前，应使用漏洞扫描工具进行漏洞扫描测试，CVSS评分≥7.0的高风险级别的漏洞必须得到解决或有效规避。

应用安全

对于每一个需要授权访问的请求都必须核实用户是否被授权执行这个操作，仅允许在服务端进行最终的认证处理。

Web应用程序的会话标识必须具备随机性；身份验证成功后，必须更换会话标识。

产品开发、发布和安装安全

禁止存在可绕过系统安全机制（认证、权限控制、日志记录）对系统或数据进行访问的功能。

禁止包含恶意软件，在商品发布前使用业界知名杀毒软件扫描，不存在病毒、木马、恶意程序。

禁止包含带后门访问的软件行为。

禁止对外提供服务的和能够被远程访问的进程使用root账户（或等同）权限运行。

加密

必须使用通过认证的或业界开源公认的密码算法，密码算法中使用到的随机数必须是密码学意义上的安全随机数。

数据保护

敏感数据包括不限于认证凭据（如口令、动态令牌卡）、银行帐号、业务密钥等，不允许存储在OBS公开桶中，同时应该加密保护并提供访问控制，并且禁止明文存储。

在公网之间进行敏感数据的传输须采用安全传输通道或者加密后传输，有标准协议规定除外

禁止在系统中存储的日志、调试信息、错误提示中明文打印认证凭据

系统管理和维护安全

系统自身操作维护类口令满足口令复杂度要求:

口令至少满足如下要求：

1、口令长度至少8个字符；

2、口令必须包含如下至少两种字符的组合:

－一个小写字母；

－一个大写字母；

－一个数字；

－一个特殊字符：`~!@#$%^&*()-_=+\|[{}];:'",<.>/? 和空格

3、口令不能和账号一样；

管理面所有对系统产生影响的用户活动、操作指令必须记录日志，日志内容要能支撑事后的审计，记录包括用户ID、时间、事件类型、被访问资源的名称、访问发起端地址或标识、访问结果等；日志要有访问控制，应用系统禁止提供手动删除、修改审计日志的能力

禁止口令硬编码在软件中（包含二进制代码和用户不可修改的脚本），应支持用户修改；系统外部可访问的所有管理账号的缺省口令应在系统初始设置时强制修改；不得默认具有访问客户的运行实例的权限。

系统必须有明确的用户权限管理机制，新建账号默认不授予任何权限或者默认只指派最小权限的角色

隐私保护

作为数据控制者时，如收集处理了个人数据，须向用户提供隐私声明。隐私声明客观说明收集的个人数据种类、处理目的、留存时限、存储地点、数据控制者联系方式等关键信息

如收集处理了如生物特征、身份信息、金融账户、行踪轨迹等敏感个人数据，须获得用户单独同意。

仅收集业务处理所必须的个人数据，且收集处理的个人数据的类型、处理目的应与隐私声明或产品资料说明保持一致。

须基于业务处理目的设置个人数据的留存期限，留存到期后应删除或匿名化个人数据

须向用户提供查看、更新、导出、删除个人数据的机制。

须对个人数据提供安全保护机制（如认证、加密、权限控制、日志记录等）

如将个人数据分享给了第三方，须获得用户单独同意。用户拒绝后，停止将个人数据分享给第三方。

如将个人数据跨境传输，须获得用户的单独同意或跨境传输双方签订了数据转移协议

如个人数据用于自动化决策、个性化推荐，画像、营销广告，须获得用户单独同意，并向用户提供便捷的拒绝/撤销机制。

数据安全

伙伴应遵从所在国家、区域的数据安全法律法规要求，确保数据全生命周期的处理活动合法合规。伙伴数据若涉及中国数据安全法中的重要数据、核心数据，应遵从监管要求完成申报、备案、安全风险/安全事件上报等工作；

伙伴应在服务声明中，明确对客户数据安全保护的责任、义务，以及采集客户数据的目的、范围、使用期限，并明确客户退订服务时数据的留存周期和清除方式，并承诺不会通过技术手段还原已清除数据信息。

伙伴如果向客户提供数据相关的服务，应在服务声明中明确数据来源的合法性、真实性。

伙伴应对华为云和客户的数据资产实施安全防护措施，避免华为云或客户的数据信息因伙伴保护不当导致泄露；

未经华为云授权，伙伴不得超出授权目的、范围、期限使用华为云提供的数据，不得将华为云相关数据提供给第三方。

若因伙伴原因导致客户发生数据安全事件，如数据泄露、数据破坏、加密勒索等，伙伴在感知到事件发生后，立即采取补救措施，并按监管要求进行事件信息和结果的上报，并将相关信息同步通知到华为云。

完整性保护

通过安全通道/加密方式向客户交付软件包/补丁包，且必须提供完整性校验机制，如哈希

生命周期管理

商品所使用的下属所有组件（包括平台、开源和第三方软件）禁止使用任何带有生命周期终止的版本。

运营运维安全

面向公网的接口禁止使用预置口令、空口令和弱口令。

系统默认检测口令复杂度，口令至少满足如下要求：

1、口令长度至少8个字符；

2、口令必须包含如下至少两种字符的组合:

－一个小写字母；

－一个大写字母；

－一个数字；

－一个特殊字符：`~!@#$%^&*()-_=+\|[{}];:'",<.>/? 和空格

3、口令不能和账号一样；

若设置的口令不符合上述规则，必须进行警告；

对于输入受限、符合业界惯例的场景，不强制要求口令复杂度。

漏洞通知与修复遵守《云商店商家合作管理规范》的约定

禁止对公网开放高危服务，如果产品因正常业务诉求必须对外开放，须做好相关外围网络安全防护措施，并在资料中进行说明。