敢为软件的产品安全与隐私标准完全按照华为公司的产品安全基线制订的，是业界事实上的最高标准。

安全原则

为了保证敢为产品安全基线的有效落地、可验证、可持续提升产品安全质量水平,我们在制定和管理敢为产品安全基线遵循以下原则：

• 它是基于结果的

  只有结果性的要求才真正是客观的、可验证的,基于结果的产品安全要求有助于产品准确地实现预期目标,也有助于客户基于客观结果比较和选择所需的产品。

• 它是普遍适用的

  进入敢为产品安全基线的要求须是通用的、普适的,能够适用所有或者绝大部分产品、适用于多种业务场景,以确保敢为所有产品都能达到一致的安全基础质量要求。

• 它是持续优化的

  网络安全是一个动态的过程,敢为产品安全基线须持续定期刷新,以适应不断发展的网络安全形势。

安全基线

通过对法律法规、标准规范、安全实践等的分析总结，提炼产品共同的、最关键的安全要求，敢为制定了安全基线。

• 保护用户隐私

  敢为分析了欧洲GDPR、德国、法国、英国、加拿大、中国等国家的隐私保护法律法规要求，参考 CSMA隐私设计规范等业界实践，按照“合法、正当、透明”、“目的限制”、“数据最小化”、“准确性”、“存储期限最小化”、“完整性与保密性”、“可归责”等7条隐私保护基本原则用于指导产品设计和开发。

• 防止后门

  敢为不允许在产品中植入后门，也不允许其他人在敢为设备中植入后门。

• 防止恶意软件、恶意行为

  敢为不允许产品存在病毒、木马等恶意软件，也不允许产品存在恶意广告、吸费、恶意消耗流量等恶意行为。

• 访问通道控制

  采用隔离、认证等手段控制访问通道，能够有效降低攻击面，保证接入产品访问的安全。

• 系统加固

  通过安全配置、补丁修复漏洞、删除或禁用不必要的服务等方法，对产品进行安全加强以提高产品的安全性和抗攻击能力。

• 应用安全

  WEB应用、移动应用等各种应用容易受到黑客和恶意软件的攻击，导致未经授权的访问和修改，认证和鉴权是最基本的安全保护机制。

• 加密

  密码算法是安全的基石，正确地使用密码算法是产品安全性的基石。根据不同场景使用密码算法，须使用公开的、经过专业评审和验证过的安全的密码算法，并正确地配置算法参数和选项。

• 敏感数据保护

  在产品设计时，需要根据产品的使用场景，识别出产品中的敏感数据，典型的敏感数据包括认证凭据(如口令、私钥、动态令牌卡)、加密密钥、敏感个人数据等，从敏感数据的存储、传输和处理过程中采取认证、授权或加密等安全机制保证数据安全。

• 管理和维护安全

  产品的管理维护采用严格的账号口令、安全的访问协议、完整的日志审计等安全机制，保证产品管理维护操作的安全。

• 安全启动和完整性保护

  在产品的安装、升级中验证软件包的完整性，防止产品被攻击者恶意篡改。对于客户需要有高安全要求的产品同时需要考虑在启动过程中进行安全启动验证。

• 安全资料

  产品的资料需要提供产品的通信矩阵、账号清单、安全加固和配置指南等安全材料，以便能够指导客户以最安全的方式使用、部署和维护产品。

• 安全编码

  大部分安全漏洞很大程度上是由于代码编写的不规范，编程语言特性理解不当、接口调用不当等代码质量缺陷导致的，通过例行的静态代码安全和质量归描，以及减少不安全函数的使用，可以提前识别代码中的安全质量缺陷，持续提升代码质量，减少潜在的安全漏洞。

• 安全编译

  编译器提供了相当多的安全选项来加固软件的安全性，通过添加安全编译选项，可以在软件中进行代码质量的安全加固，提高了攻击者的攻击难度，降低了代码质量缺陷变成可被利用漏洞的风险。

• 生命周期管理

  产品软件需要使用安全记录良好并保持维护的开源和第三方组件，出现漏洞及时通过发布补丁或者升级到新版本等方式修复漏洞，确保产品软件在生命周期内的安全处于可维护状态。