1 范围

      本标准规定了移动终端安全管理平台的技术要求，包括安全功能要求和安全保障要求。

      本标准适用于移动终端安全管理平台产品的设计、开发与检测，为组织或机构（以下简称“组织”）实施移动互联应用的安全防护提供参考。

2 规范性引用文件

      下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

      GB/T 18336.3-2015 信息技术 安全技术 信息技术安全评估准则 第3部分：安全保障组件

      GB/T 25069-2010 信息安全技术 术语

3 术语和定义

      GB/T 18336.3-2015和GB/T 25069-2010界定的以及下列术语和定义适用于本文件。

3.1

      移动终端 mobile terminal

      接入公众移动通信网络、具有操作系统、可由用户自行安装和卸载应用软件的移动通信终端产品。

3.2

      移动终端安全管理平台 mobile terminal security management platform

      为增强移动终端的安全性和可控性，通过定制安全策略对移动终端设备、应用等进行统一管理和安全接入控制的产品。

4 缩略语

      下列缩略语适用于本文件。

      SD卡：安全数据存储卡（Secure Digital Card）

      WiFi：无线局域网接入 (Wirelireless Fidelity)

5 产品描述

      本标准按照GB/T 18336.3-2015安全保障要求级别划分的原则，依据移动终端安全管理平台的安全功能要求和安全保障要求的强弱，将安全等级分为基本级和增强级。基本级可对应支撑等级保护三级以下要求。增强级对应支撑等级保护三级（含）以上要求。等级划分参见附录A。在增强级中新增的要求会通过黑体标识。

      本标准从安全功能要求和安全保障要求两个方面，规范了移动终端安全管理平台的安全技术要求，

典型应用场景参见附录B。安全功能要求包括终端管理、应用管理、数据安全、终端接入控制、安全管理、客户端保护和安全审计等七个方面，安全保障要求则主要包括开发、指导性文档、生命周期支持和测试等方面。

6 安全技术要求

6.1 基本级安全技术要求

6.1.1 安全功能要求

6.1.1.1 终端管理

6.1.1.1.1 终端注册

      应提供对移动终端的注册功能，注册信息包括注册日期、硬件型号、设备序列号、系统软件版本、所属部门等。

6.1.1.1.2 远程管理

      应支持以下远程管理功能：

      a）远程锁定移动终端；

      b）远程擦除移动终端存储的敏感业务数据；

      c）远程备份移动终端存储的敏感业务数据；

      d）授权人员远程设置功能限制策略，至少应包括禁用摄像头、禁止截屏、禁用WiFi、限制SD卡读写权限等。

6.1.1.1.3 存储介质管理

      应支持对移动终端外接存储介质的管理、监测等功能，对违规使用行为进行告警和阻断。

6.1.1.1.4 安全监测

      应支持以下监测功能：

      a）监测移动终端中恶意程序检测软件的安装、运行情况等；

      b）监测移动终端位置信息、运行服务、设备性能、软件版本（至少应包括操作系统等）等信息。

6.1.1.1.5 口令或生物特征鉴别策略

      应支持以下功能：

      a）远程设置终端开机口令策略，阻断未设置口令的终端接入，支持生物特征鉴别功能；

      b）监测是否设置用户账户口令，阻断未设置用户口令的终端接入；

      c）远程设置用户口令策略，至少应包括口令类型、定期更换策略、失败次数限制等。

6.1.1.2 应用管理

      应支持授权人员设置应用程序白名单、黑名单的功能，并能够根据白名单、黑名单执行相应的操作。

6.1.1.3 数据安全

6.1.1.3.1 数据安全传输

      应采用加密、数据完整性保护等安全机制，保障终端数据安全可靠传输。

6.1.1.3.2 数据安全存储

      应支持以下安全存储功能：

      a）对服务端中的敏感数据进行加密存储和完整性保护；

      b）对服务端中敏感数据实现基于角色或属性等的授权访问控制；

      c）对移动终端、外置存储设备存储的敏感数据应进行加密处理，并能擦除未加密的敏感数据；

      d）对移动终端、外置存储设备存储的敏感数据进行完整性保护。

6.1.1.3.3 数据防泄露

      应支持敏感数据防泄露安全策略配置，对终端中业务系统数据进行实时监测，支持数据内容的扫描、过滤和敏感数据外传阻断等功能。

6.1.1.3.4 个人信息保护

      应采取必要的措施，确保移动终端和服务端存储的个人信息安全，防止信息泄露、毁损、丢失等。

6.1.1.4 终端接入控制

6.1.1.4.1 接入鉴别

      应支持仅允许经服务端注册的移动终端接入组织业务系统的功能。

6.1.1.4.2 访问控制策略

      应支持以下访问控制策略配置功能：

      a）针对不同终端制定不同的应用资源访问控制策略。

      b）提供以下访问限制能力：

      ——仅允许授权终端对应用资源进行访问；

      ——授权终端对应用资源进行访问的内容不能超出预定义的范围；

      ——授权终端对应用资源进行访问的操作（如对文件、文件夹进行读、写、复制、下载等操作）不能超出预定义的范围（有则适用）；

      ——授权终端对应用资源进行访问的时间不能超出预定义的范围（有则适用）；

      ——授权终端通过网络对应用资源进行访问时，该终端所使用的移动终端的序列号/地址不能超出预定义的范围（有则适用）；

      ——授权终端对应用资源进行访问的次数不能超出预定义的范围（有则适用）。

      c）移动终端对应用资源的接入应受访问控制策略的约束。

6.1.1.5 安全管理

6.1.1.5.1 管理员属性初始化

      应支持对授权管理员的账户、口令等属性进行初始化的功能。

6.1.1.5.2 管理员唯一性标识

      应支持授权管理员唯一身份标识功能，并将授权管理员的身份标识与其所有可审计事件进行关联。

6.1.1.5.3 管理员属性修改

      应支持授权管理员属性（至少包括管理员口令）修改功能。

以上为标准部分内容，也可点击下方链接下载标准原文：

下载地址：《GB/T 37952-2019 信息安全技术 移动终端安全管理平台技术要求》