【合规建设】快速通过APP(小程序)安全评估实操办法

一、申报前：落实八大核心合规要求

      这几项是审核重点，也是申请驳回的高发点。所有安全措施不能只写进报告，业务系统必须真实落地执行。

第一，配齐安全管理人员。明确安全管理负责人、信息审核工作人员，业务体量较大的还应当设立专门安全管理机构，梳理完整岗位职责，形成内部书面管理制度。

第二，严格执行用户真实身份信息登记。具备评论、发帖、群组、内容分享等交互式功能，必须落实用户实名核验，完整留存注册相关信息，杜绝匿名随意发布内容的情况。

第三，做好操作日志留存。完整记录用户账号行为、内容发布记录、访问 IP、设备特征等信息，按照规范要求保存日志，保障事件溯源、调查取证需要。

第四，建立违法有害信息处置流程。针对账号昵称、个人简介、帖子、评论、群聊内容，具备识别、拦截、删除的处置能力，同步留存处置台账。社区、社交类产品，技术过滤加人工审核的机制要切实运行。

第五，做好个人信息保护与风险管控。遵循最小必要原则采集用户信息，对用户敏感数据做加密脱敏处理。带有舆论传播、社会动员属性的功能，配套相应管控手段，防范有害信息大范围扩散。

第六，公开投诉举报渠道。在产品醒目位置设置投诉举报入口，配套完整受理、处置、反馈的闭环流程，保存好全部处理记录。

第七，建立监管协同工作机制。完善内部制度，保障可以配合公安、国家安全等机关依法开展工作，做好技术与数据方面的协助对接。

第八，提前补齐各类前置资质。开展新闻、教育、金融等特殊领域业务，应当提前取得对应前置许可；达到相应等级要求的系统，完成网络安全等级保护备案。

      评估可以选择自主评估，也可以委托第三方机构开展，两种方式具备同等效力。如果选择第三方评估，提交申请时必须同步上传第三方检测报告，不能遗漏附件材料。

二、撰写自评估报告，规避模板化问题

      不少申请被退回，并不是产品本身不合规，而是报告直接套用网络模板，文字描述和自身业务实际情况不匹配。

      填报的评估对象、版本号，要和平台登记的 APP、小程序版本完全对应。每一项安全措施都要结合自身业务场景写明实际做法，不要堆砌 “强化安全管理” 这类空泛表述。客观梳理业务存在的安全风险，逐条写明对应的管控手段。

      报告从系统下载之后，一定要打印出来签字并加盖公章，扫描生成清晰 PDF 文件，没有盖章的报告将直接不予受理。

三、平台填报注意事项，减少程序性驳回

      开办主体信息、APP 或小程序登记内容，要和自评估报告信息统一。单位主体填写真实办公地址，个人主体填写负责人常住地址，该地址直接确定负责审核的属地公安机关。

      APP、小程序要完善版本信息，没有维护版本号将无法发起安全评估。许可证明、业务截图等附件保证画面清晰，文件大小符合平台上传限制。

      提交申请之前反复核对全部内容，提交完成后的 30 分钟之内可以撤销修改。系统草稿仅保存 30 天，不要长期把材料存放在草稿箱等待后续处理，避免草稿过期丢失。

四、提交申请之后，审核阶段关键要点

      安全评估审核时限为 30 个自然日。申请提交后，请保持负责人手机号码畅通，属地公安机关可能会电话问询，必要时会开展现场核查，企业要能够随时提供制度文件，配合系统功能演示。

      遇到超期没有审核结果的情况，可以直接联系属地公安网安部门，也可以使用平台底部 “政府网站找错” 功能留言反馈问题。

      如果收到整改意见，需要对照反馈内容逐项落实。不只是修改报告文本，产品对应的业务功能也要同步完成整改，之后再发起重新评估。

五、需要重新开展安全评估的情形

      出现以下几种情况，不能直接沿用旧版报告提交，必须重新开展安全评估。 新增评论、发帖、社群、内容分享等具备舆论属性的功能；产品重大版本迭代，业务功能、技术架构发生较大调整；用户规模快速增长，舆论传播能力发生明显变化；业务运行过程中发生过有害信息传播相关事件。

      安全评估不是一份纸面报告，报告写的制度、技术防护手段，业务平台必须真实落地。现场核查会对各项措施进行核验，切忌报告内容和实际业务脱节。具体办理要求，请以属地公安机关审核意见为准。

来源：网络安全工作室