TTSIA004-2023互联网软件运营安全管理规范.pdf

T/TSIA004-2023

互联网软件运营安全管理规范

1范围

本管理规范提出的安全管理和技术措施的相关要点和方法，可用于网络安全相关监管

部门以及网络安全第三方服务机构开展网络安全监督管理与评估等工作，可作为“联网软

件”的网络运营者开展安全自查的参考依据。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是标注日期的引用文件，仅标注日期的

版本适用于本文件。凡是不标注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用

于本文件。

GB/T5271.8-2001信息技术词汇第8部分:安全

GB/T20984-2022信息安全技术信息安全风险评估方法

GB/T25068.3-2022信息技术安全技术网络安全第3部分：面向网络接入场景的威

胁、设计技术和控制

GB/T25069-2022信息安全技术术语

GB/T31495.2-2015信息安全技术信息安全保障指标体系及评价方法第2部分：指标

体系

GB/T31509-2015信息安全技术信息安全风险评估实施指南

GB/T35273-2020信息安全技术个人信息安全规范

ISO/IEC27005:2018信息技术安全技术信息安全风险管理

3术语和定义

ISO/IEC27005:2018、GB/T5271.8-2001、GB/T25069-2022和GB/T25068.3-2022、

GB/T31495.2-2015界定的术语和定义适用于本文件。为了便于使用，以下更加明确了相

关术语和定义。

5

学兔兔标准下载

T/TSIA004-2023

3.1评价认定机构

网络安全评价认定机构，是指对网络安全第三方服务机构的服务能力和工程实施结果

进行评价认定，对上线运行的业务和应用系统进行安全评价认定的机构。评价认定机构可

以选择国家或地方认可的相关行业管理认定机构，如中国检验认证集团、中国信息安全测

评中心以及中国网络安全审查技术与认证中心等。

3.2网络安全第三方服务机构

网络安全第三方服务机构，是指负责对上线运行的业务和应用系统进行网络安全评

估，以及从事相关的网络安全服务工作（如：网络安全检测监测工作、网络安全应急响应

工作、网络安全运维工作、网络安全工程实施工作等）的机构。

3.3威胁感知能力

威胁感知能力，是指在一定程度上可以洞悉基于网络整体环境的安全风险能力，能够

做到对网络威胁进行检测分析、发现识别，当发生网络安全事件时能够及时预警并提供响

应处置的能力。

3.4联网软件

“联网软件”是“互联网软件”的简称，是指依托于互联网提供相关服务的网站、系

统、平台、应用（包括功能及应用形式）及相关支撑软件或技术，涉及到电信基础设施的

应按照国家或行业有关规定执行。

3.5个人信息

以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者

反映特定自然人活动情况的各种信息。

注：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信

通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、

健康生理信息、交易信息等。

6

T/TSIA004-2023

4基本要求

网络运营者作为“联网软件”的运营主体，包括网络的管理者、使用者和利用他人网

络从事相关服务的网络服务提供者，作为网络安全第一责任人，在开展经营和服务活动时，

必须遵守法律法规、遵守商业道德、诚实守信，提倡健康文明的网络活