第十五届爱加密亮相2021 年发电企业信息技术与应用研讨会 _研讨会

5月25日，电力信息化专业协作委员会主办的《2021年(第十五届)发电企业信息技术与应用研讨会》在长沙如期举行。各电网公司、发电集团及其下属发电企业、相关电力企业的信息化主管领导、信息中心主任、技术人员，以及科研院所、高等院校、IT 企业的专家、学者等出席了会议。北京智游网安(爱加密)受邀出席，并在会上发表了《电力行业移动安全解决方案》主题演讲，此外，爱加密还荣获2021年电力企业信息化最佳合作伙伴。

国家电网信息系统是国家重点行业的关键信息基础设施和信息系统，常常面临内网信息泄漏、网页篡改、网站挂马、服务器被远程控制甚至APT攻击等重大安全隐患。传统式的网络安全防护系统针对许多新型特殊攻击，特别是在是偷取內部身份的隐性攻击，往往难以及时监控和发觉，在当今渗透工具武器化、攻击特性不断改变的安全对抗中，往往只能是被动式的事后救火。

政府从2016年开始陆续发布了关于网络安全和个人信息安全的法律法规，《中华人民共和国网络安全法》、《网络安全等级保护2.0》、《App违法收集使用个人信息专业管理》、《APP违法收集使用个人信息专业管理的公告》、《APP侵害用户权益专业整备行动的通知》等，进一步明确规定了电力行业移动应用安全的合规要求。

电力行业移动安全业务面临的主要问题，如行业内移动应用资产不足，包括Android、iOS、应用市场在内的移动应用资产不足的风险监测、跟踪、处理整体行业安全发展趋势报告不足的行业内非法移动应用的取证环境等。此外，国家能源局目前还制定了《电力移动应用软件测试规范》，对安全加固、权限安全和权限测试提出了明确的要求。

【第十五届爱加密亮相2021 年发电企业信息技术与应用研讨会】9.2.9安全加固

a)基于Android开发的移动应用程序应防止逆向、防止篡改安全的保护中的风险

b)基于iOS开发的移动应用程序应进行反向防篡改安全措施的保护(低风险) 。

9.2.2.1权限安全

测试项目仅适用于安卓版:基于安卓开发的移动应用程序应确保权限最小化，移动应用程序申请的权限应与功能相对应，避免滥用冗馀权限(中风险) 。

9 安全测试

移动应用客户端的测试内容包括安全功能测试、渗透测试和代码安全检测，其中安全功能根据其依托的操作系统分为Android版和iOS版，应遵循GB/T 34975的测试要求。安全测试根据对移动应用系统的危害程度，将测试项分为高风险项、中风险项和低风险项。

针对电网移动应用安全问题，爱加密可提供专业完善的解决方案，方案涵盖移动应用安全检测、移动应用个人信息安全检测、移动应用安全加固、移动应用安全监管大数据、移动威胁形势感知、固件安全检测等安全服务，确保移动应用安全的及时监测、响应和防护。

移动应用安全检测

平台采用静态检测、动态检测、内容检测等技术，全面检测移动应用中存在的安全风险、漏洞、编码缺陷等安全问题，帮助开发者提前避免因安全漏洞导致的安全事故，及时预防安全风险。平台出具专业的安全检测报告，针对发现的各类安全问题提供可靠详细的解决建议。移动应用安全检查平台包括安卓应用检查、iOS应用检查、SDK检查、微信号公众信号检查、微信号小程序检查、黄赌毒涉及暴力涉及政策等违规内容检查、IoT固件检查等。

个人信息安全检测

针对移动应用、SDK中出现个人信息的非法收集、滥用、泄露等严重问题，结合相关法律法规和监管要求，为监管机构、测评机构、应用开发企业等推出的合规检测系统。该系统针对移动应用的基本信息、漏洞信息、收集和使用个人信息行为、通讯传输行为、软件和技术供应链情况、技术脆弱性、隐私政策规范性等进行多维度安全检测和合规检测，并出具专业的个人信息安全报告。帮助监督机构正确有效地提供行政执法依据的评价机构发行专业的个人信息评价报告书。

移动应用安全加固

平台采用Android加固技术、SO加固技术、SDK加固技术、输入输出信息保护技术、钥匙白盒技术、C/C添加/OC/swift源码混淆保护技术、Java2CPP保护技术、SOLinker技术等，通过领先的第八代Alll-In级VMP加固技术，为用户提供了全面的移动应用加固和攻击解决方案。

移动应用安全大数据

利用爱加密自主开发的静态检查、动态检查、内容检查、大数据分析技术，对全国安卓、IOS、公共编号、小程序、SDK等移动应用进行全量收集、集中、清洗、分析，对移动应用的个人信息、漏洞、盗版、仿制、恶意、违反等进行详细的安全检查

移动威胁状况感知

平台可以实时收集移动应用程序的数据，收集应用程序在使用中的安全信息，通过大数据技术预先感知安全事件，在事件中实时应对平台具备移动应用产品安全可持续监控工作能力，能够及时发觉各种各样进攻威胁、环境风险、设备风险等。具备威胁调查分析及可视化能力，可以对威胁相关的影响范围、攻击路径、目的、手段进行快速判别，并进行有效的安全决策和响应。能够建立安全预警机制和生成威胁风险报告，帮助安全管理人员及时掌握移动应用产品的整体安全态势。