近年来，随着互联网技术的迅猛发展，个人敏感信息的传输和存储安全问题备受关注。为了保护用户的隐私权益，我国制定了GB/T-35273标准，该标准旨在规范个人敏感信息的传输和存储过程，保障信息安全。本文将针对GB/T-35273标准中的“6.3 个人敏感信息的传输和存储”进行解读，以帮助大家更好地理解和应用该标准。
01 条款解析
《信息安全技术—个人信息安全规范》（GB/T 35273-2020）是2020年10月1日实施的一项中华人民共和国国家标准，归口于全国信息安全标准化技术委员会。具体规定了开展收集、存储、使用、共享、转让、公开披露、删除等个人信息处理活动应遵循的原则和安全要求。该标准适用于规范各类组织的个人信息处理活动，也适用于主管监管部门、第三方评估机构等组织对个人信息处理活动进行监督、管理和评估。
6.3 个人敏感信息的传输和存储 | ||
a | 传输和存储个人敏感信息时，应采用加密等安全措施； | 条款解析： 1）个人敏感信息应在传输过程中进行加密，以防止未授权访问和窃取。 2）同时，在存储过程中，也要采用加密等措施，确保数据的安全和隐私保护。 |
b | 个人生物识别信息应与个人身份信息分开存储； | 条款解析： 个人生物识别信息和个人身份信息应分别保存在不同的存储设备或系统中。 |
c | 原则上不应存储原始个人生物识别信息（如样本、图像等），可采取的措施包括但不限于： 1) 仅存储个人生物识别信息的摘要信息； 2) 在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能； 3) 在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。 | 条款解析： 1）将个人生物识别信息进行摘要处理，只保留不可逆转的特征模板或摘要数据，而不是存储原始的生物识别信息。 2）在个人生物识别信息的采集终端，例如指纹识别器、面部识别摄像头等设备中，直接使用个人生物识别信息进行身份识别、认证等操作。避免将个人生物识别信息传输到其他存储设备上，最大程度上保护隐私。 3）在完成个人身份识别、认证等功能后，应立即删除可提取个人生物识别信息的原始图像。确保个人生物识别信息不会被滥用或未经授权的访问。 |
02 定义
GB/T-35273标准明确了个人敏感信息的定义和范围。个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息，包括但不限于身份证、银行卡号等。按照类型可以划分为五类：个人财产信息、个人健康生理信息、个人生物识别信息、个人身份信息以及其他信息。了解个人敏感信息的定义和分类，能够有助于企业和组织在传输和存储时，对其采取相应的安全措施。
图：GB/T-35273附录B：个人敏感信息举例
03 检测思路
a）传输和存储个人敏感信息时，应采用加密等安全措施；
GB/T 35273-2020《信息安全技术—个人信息安全规范》6.3 个人敏感信息的传输和存储
查看App的隐私政策，了解App采取的安全措施，并确认该安全措施是否真实有效。
1、观察App是否使用安全协议，可通过查看网址的前缀是否为“https”，若是，则表明该网站使用了安全套接层（SSL）协议，即数据传输过程中进行了加密。
图：关于App采用https（SSL）协议的示例图
图：App隐私政策中安全措施的描述
2、使用抓包工具检测，利用抓包软件抓取App的通信数据，检查报文中是否包含匿名化的个人信息，若是，则表明个人信息做了匿名化处理。一个字符串（可以是个人信息数据）在报文中做防护前后的表现形式，如下：
明文:100107198905062532
掩码:100***********2532
截断:62532
混淆:A10XA107#1$9$utm89Y0o500K6LD253#2!
加密:能rx%摄NuB咧姆~?》堤?Z"幢
3、尝试读取本地数据库，检查本地存储中是否包含个人敏感信息明文，若无，则表明采取了个人敏感信息本地数据加密存储。可通过安装adb，adb连接手机，在root权限下，到/data/data/目录下查看包名，得到包名后，cd到对应包名，cd到databases或shared_prefs文件，通过grep –r “查找内容” .，通过以上操作可搜索本地数据库明文存储的个人敏感信息，例如：银行账号、身份信息。
图：adb连接手机后，在root权限下到/data/data/目录查看包名
图：cd到对应包名
图：cd到databases或shared_prefs文件，通过grep –r “查找内容”
采用加密等安全措施传输和存储个人敏感信息，旨在保障个人敏感信息的机密性和完整性。为了保护客户数据和通信，开发者应该采取的措施应包括：
（1）使用加密协议：在网站、移动应用和在线银行系统上使用加密协议，如SSL（安全套接层）或TLS（传输层安全性协议），以在客户端和服务器之间建立安全的加密连接。这种加密协议可以防止数据在传输过程中被窃取或篡改。
（2）数据加密：App在存储敏感客户数据时，通常会使用加密技术，以防止数据泄露。这种加密可以防止未经授权的访问者在数据被盗窃后，获取到可读的敏感信息。
（3）服务器安全：App应采取物理和网络安全措施来保护其服务器免受未经授权的访问和恶意攻击，这就包括了严格的访问控制、防火墙、入侵检测系统和其他安全设备。
b）个人生物识别信息应与个人身份信息分开存储；
GB/T 35273-2020《信息安全技术—个人信息安全规范》6.3 个人敏感信息的传输和存储
1、查看App提供者的个人信息安全相关管理制度或App设计文档是否明示将收集的个人生物识别信息与个人身份信息分开存储；
2、其次查看数据库，查看开发者在存储个人生物识别信息时，是否将其他个人身份信息（姓名、身份证号码等）进行隔离，确保生物识别信息的独立性和安全性。
这个要求旨在防止生物识别信息与个人身份信息关联，以减少个人隐私泄露的风险，并提高个人敏感信息的安全性。一旦个人身份信息遭到泄露，生物识别信息仍能得到保护。
c）原则上不应存储原始个人生物识别信息（如样本、图像等），可采取的措施包括但不限于：
1、仅存储个人生物识别信息的摘要信息。
2、在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能。
3、在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。
GB/T 35273-2020《信息安全技术—个人信息安全规范》6.3 个人敏感信息的传输和存储
1、仅存储个人生物识别信息的摘要信息。
查看App提供者的个人信息安全相关管理制度或App设计文档是否明示不存储个人生物识别信息的原始信息，仅存储个人生物识别信息的摘要信息。而摘要信息是指通过安全的哈希算法或其他不可逆的方式，对个人生物识别信息进行转换得到的，无法还原为原始信息，因此建议开发者利用存储摘要信息技术实现对个人身份的识别和验证，减少敏感信息泄露的风险。
2、在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能。
通过抓包软件查看App是否通过网络传输个人生物识别信息的原始信息，建议开发者将生物识别信息的处理尽可能局限在采集终端设备中，避免个人生物识别信息传输到其他存储设备中。
3、在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。
查看本地存储数据，检查App是否将个人生物识别信息的原始信息存储在用户终端中，App在完成身份识别、认证等过程后，开发者应删除原始图像中可以提取个人生物识别信息的部分。
开发者应避免直接存储个人生物识别信息的原始形式，降低泄露和滥用个人敏感信息的风险。这样即便非法获取了原始图像，也无法还原完整的个人生物识别信息。
04 结语
网络的发展确实对人类的生活方式产生了深远的影响，保护个人敏感信息的隐私安全至关重要。开发者应遵守相关标准，合理使用和存储个人敏感信息，确保个人隐私的安全。作为用户，我们也应提高个人信息保护意识，定期更新设备和应用程序，选择可信赖的供应商和服务提供商，避免使用未经授权的应用和平台，从源头预防个人敏感信息泄露的风险。保护信息安全需要团队合作，让我们共同关注个人隐私安全，营造一个安全可靠的信息环境。
（本文作者：北京梆梆安全科技有限公司 张佳俊、陈凤萍）
声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
