《奇安信SRC隐私合规漏洞评级标准V1.0》

漏洞级别

判定标准

高危

·漏洞在行业内较为新颖且比较罕见，需要一定技术深度才能发现/鉴别。

·漏洞影响用户范围大，程度严重（包括但不限于大范围个人信息泄漏或者滥用），未及时修复会导致企业的经营，或声誉等受到严重损害。

中危

·漏洞需要一定的技术手段实现才能发现和鉴别，使用的手段包括但不限于流量抓包、Hook、逆向分析等。

·影响用户范围较小、对用户权益影响较小。未及时修复可能导致监管机构通报或罚款。

仅接收以下类型问题：

1.App在同意隐私政策后，处于后台运行时收集个人信息的行为（隐私政策描述之外的收集）。

2.用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用。

3.调用与服务或功能无关的权限。

4.未同意隐私政策的情况下收集个人信息，存在上传用户个人信息的行为，报告中需要有流量抓包的具体字段及字段值的证据，不接收仅有堆栈的证据。

5.传输敏感个人信息时，未对敏感个人信息数据进行加密，报告中需要有流量抓包的具体敏感信息内容的证据，不接收仅有堆栈的证据。

6.较为明显和严重的产品设计隐私问题，不需要技术手段也可以发现的问题也属于中危漏洞，如：

·App因用户不同意打开非必要权限，而拒绝用户使用App的基本业务功能。

·App在用户明确拒绝相关权限后仍频繁弹窗索要权限。

低危

·漏洞鉴别无需技术手段或简单技术即可发现。

·涉及范围小，对用户权益影响小。

包括但不限于：

1.在App首次运行时，未通过弹窗等明显的方式提示用户阅读隐私政策等收集使用规则。

2.App隐私政策等收集使用规则是否难以访问，如进入App主界面后，需多于4次点击或其它操作才能访问对应文本内容。

3.同意隐私政策前收集个人信息或打开个人信息权限。

4.App在未同意隐私政策情况下有申请权限行为。

5.通过嵌入第三方代码插件收集个人信息的功能，未向用户明示。

6.App存在申请/调用与当前业务功能无关的权限。

7.App自身收集使用的个人信息超出用户授权范围。

8.App以默认选择同意隐私政策等非明示方式征求用户同意。

除中危漏洞提到的情况外，其余所有不依赖技术手段以及部分需要技术手段发现的隐私合规问题均属于低危漏洞。