Aceasta adresează modul în care o aplicație stochează și procesează date, autentifică utilizatori, comunică cu servicii, folosește funcții ale platformei, încorporează componente terțe, rezistă modificării și tratează comportamentul sensibil pentru confidențialitate în limitele de securitate ale dispozitivelor mobile.
Munca combină cerințe, proiectare și codare sigură, controale ale lanțului de aprovizionare, testare statică și dinamică, măsuri de protecție a distribuției, telemetrie și răspuns la vulnerabilități. Asigurarea trebuie să reflecte datele, permisiunile, utilizatorii, modelul de implementare și mediul de amenințare ale aplicației, nu doar o listă de verificare universală.
Puncte esențiale
Controale specifice aplicațieiMinimizați permisiunile și stocarea locală sensibilă, protejați cheile criptografice, validați comunicarea inter-proces, securizați traficul de rețea și preveniți scurgerea de credențiale sau date personale prin jurnale, backup-uri, notificări sau capturi de ecran acolo unde este relevant.
Dovezi de ciclu de viațăRevizuiți arhitectura și codul, identificați dependențele, testați build-uri instalabile pe versiunile de platformă suportate, verificați interacțiunile cu backend-ul și legați constatările de decizii de lansare și remediere.
Relația cu platformaFolosiți capabilitățile de izolare, permisiuni, stocare sigură, atestare și actualizare ale sistemului de operare în mod adecvat, documentând în același timp ipotezele despre starea dispozitivului și versiunile suportate.
Limitare importantăUn rezultat de test conform nu dovedește că o aplicație, backend-ul său sau dispozitivul este sigur. Starea la rulare, logica de afaceri, dependențele compromise, defectele platformei și modificările ulterioare pot invalida dovezi anterioare.