操作系统应采用完整性校验手段对核心服务、安全网关、权限管理等关键代码或文件进行校验 关键文件被算改

5.2.3终端接入认证

应通过数字签名、证书或其他方式保证只有通过认证的终端才可以接入、使用和操作融合功能 非法设备接人，从而导致敏感信息泄露、功能异常等

用户在第一次使用时，操作系统应对用户配置标识，且在整个生命周期内实现标识唯一，保证终端 所有使用行为可追溯到用户主体， 在用户执行任何与操作系统安全功能相关操作之前应对用户进行鉴别。 鉴别信息应是不可见的，应采用加密方法对鉴别信息的存储进行安全保护。 当用户执行鉴别失败达到操作系统预定义阈值时隧道标准规范范本，系统应采取安全措施执行鉴别失败处理

终端应提供访问控制机制，防止用户或应用软件非授权访问终端应用软件、数据等资源， 文件访问属性应至少包括读、写、执行等；访问方式包括本地和远程两种方式。 访问控制策略应按照预定义方式执行，仅授权用户可以更改，宜采用安全策略模型实现强制 制

GB/T 395752020

5.2.7 安全域隔离

终端应对系统资源及各类数据进行安全域划分，不同安全域之间应有相应的安全策略，安全域之间 的安全策略应通过相应的访问控制机制实现

终端应支持生成审计记录，审计内容应包括日期、对象、描述和结果等。 终端应提供审计记录保护机制，能够生成、维护及保护审计过程，使其免遭修改、非法访问及破坏， 审计记录应仅支持授权管理员访问

具有融合功能的移动终端应及时1 重漏，保证终端不具有 CNVD或CNNVD所公布的6个月以前

5.2.10 升级更新

终端应提供升级更新功能，且能够对更新来源进行鉴别，并对更新文件完整性进行校验，防止非授 权更新。 应具有原始数据备份能力，且安全属性在升级前后保持一致。 应能够进行必要的回滚操作，避免更新失败导致系统失效，

5.2.11.1应用软件来源

支持融合功能的应用软件应预置于具有融合功能的移动终端内，或仅可从授权渠道实现应用的下 载、部署和更新

5.2.11.2应用软件签名

应用软件应采用签名认证机制，终端应可识别应用软件签名状态，仅可安装经过用户授权或经过签 名认证的应用软件

5.2.11.3应用软件安全

支持融合功能的应用软件应采取必要的安全机制，防止软件被逆向分析，应至少包括反编译、反 护，相关要求见YD/T3228一2017中6.5.1的内容

5.2.11.4身份鉴别认证

支持融合功能的应用软件，操作涉及用户个人信息时，在操作之前应支持必要的身份认证、登陆 节，防止非授权用户擅自使用融合功能

GB/T 395752020

在进行高风险敏感业务操作（例如支 证码、动态口令、生物特征等方式保证业务安全

5.2.11.5最小化权限

终端预置应用软件应在业务范围内申请和使用系统权限和资源，防止应用软件权限滥用。 支持融合功能的应用软件应对不同用户可使用的业务进行分权管理，采用权限最小化原则，避免用 户权限滥用发生

5.3.1网络接入安全

支持接入网络中的鉴权和认证、加密 传输等安全扩展功能，协议安全性应符合相应国家标准或行业标准 应支持相应融合功能协议在终端侧的实现，协议安全部分应符合相应国家或行业标准

5.3.2外围接口安全

终端不应存在未经声明的外围接口。 当终端外围接口（包括但不限于WLAN、蓝牙、NFC、USB、SD)建立数据连接及传输时，终端应能 够发现并提示用户状态，保证连接的可执性和可控性。 宜禁用或授权使用终端闲置的物理端口，同时应禁用终端的外接存储设备自启动功能。

5.3.3数据传输完整性

具有融合功能的移动终端与融合功能平台的通信数据应采用完整性检验机制，保证数据传输 ，且具有通信时延和中断处理机制

5.3.4数据传输保密性

具有融合功能的移动终端与融合功能平台的通信数据应提供加密传输功能，所采用的加密算法 合国家或行业相关标准规定；与融合功能平台的通信信道宜与公开网络逻辑隔离，保证数据传输通 保密性

5.3.5数据传输健壮性

5.4.1个人信息采集

具有融合功能的移动终端设备 业务服务的同时进行，需要收集个

5.4.2个人信息存储

当个人信息存储在终端内部时，应为数据文件提供访同控制机制，防止未授权访问。存储账户 、传感采集类、金融支付类数据时，应采用密文方式存储。个人信息类型定义见YD/T3082一201

GB/T39575—2020

重庆标准规范范本5.4.3个人信息加工

具有融合功能的移动终端加工个人信息 前，应明示加工数据的目的和范围，并提供访问控制机制， 对数据设置适当操作权限，防止未经授权的访问和操作。应对传感采集类数据采取适当的脱敏措施加 工后进行存储，避免存储其原始数据，

5.4.4个人信息转移

具有融合功能的移动终端进行 的和用途进行，传输数据之前应对双方 进行身份认证和授权。若通过公共网络传输账户设置类、传感采集类、金融支付类个人信息时，应采用 数字签名等技术手段保证数据的完整性和抗抵赖性，同时应采用密文方式传输。宜先对个人信息进行 脱敏加工，消除能够识别特定个体的所有数据字段后再进行转移

工程规范5.4.5 个人信息删除

具有融合功能的移动终端应提供删除功能，允许授权用户自行删除其在终端内保存的信息通信类 记录类、账户设置类、传感采集类、金融支付类信息。对于传感采集类，金融支付类信息应提供彻 余选项，允许授权用户彻底删除相关信息

[1］GB/T34976一2017信息安全技术移动智能终端操作系统安全技术要求和测试评价方法 [2] GY/T289一2015NGB有线智能融合终端总体架构 [3] YD/T2407 移动智能终端安全能力技术要求 ［4] YD/T 2408 移动智能终端安全能力测试方法 『51YD/T 2674 2013移动智能终端信息安全设计导则