Dotyczy tego, jak aplikacja przechowuje i przetwarza dane, uwierzytelnia użytkowników, komunikuje się z usługami, używa funkcji platformy, włącza komponenty stron trzecich, opiera się manipulacji i obsługuje zachowania wrażliwe dla prywatności w ramach ograniczeń bezpieczeństwa urządzeń mobilnych.
Praca łączy wymagania, bezpieczne projektowanie i kodowanie, kontrole łańcucha dostaw, testowanie statyczne i dynamiczne, zabezpieczenia dystrybucji, telemetrię i reagowanie na podatności. Zapewnienie powinno odzwierciedlać dane aplikacji, uprawnienia, użytkowników, model wdrożenia i środowisko zagrożeń, a nie samą uniwersalną listę kontrolną.
Najważniejsze punkty
Kontrole specyficzne dla aplikacjiMinimalizuj uprawnienia i wrażliwe przechowywanie lokalne, chroń klucze kryptograficzne, waliduj komunikację między procesami, zabezpieczaj ruch sieciowy i zapobiegaj wyciekom poświadczeń lub danych osobowych przez logi, kopie zapasowe, powiadomienia lub zrzuty ekranu tam, gdzie istotne.
Dowody cyklu życiaPrzeglądaj architekturę i kod, identyfikuj zależności, testuj instalowalne buildy na obsługiwanych wersjach platformy, weryfikuj interakcje z backendem i łącz wyniki z decyzjami o wydaniu i remediacji.
Relacja z platformąUżywaj odpowiednio izolacji systemu operacyjnego, uprawnień, bezpiecznego przechowywania, atestacji i możliwości aktualizacji, dokumentując założenia o stanie urządzenia i obsługiwanych wersjach.
Istotne ograniczenieZgodny wynik testu nie dowodzi, że aplikacja, jej backend ani urządzenie jest bezpieczne. Stan runtime, logika biznesowa, skompromitowane zależności, wady platformy i późniejsze zmiany mogą unieważnić wcześniejsze dowody.