V10.2.1 Malicious Code Search

Requirement:

Verify that the application source code and third party libraries do not contain unauthorized phone home or data collection capabilities. Where such functionality exists, obtain the user's permission for it to operate before collecting any data.

Explanation:

Продукт не предотвращает должным образом доступ к личной личной информации человека субъектами, которые либо (1) не имеют явного разрешения на доступ к информации, либо (2) не имеют подразумеваемого согласия лица, о котором собирается информация.

Remediation:

Чтобы убедиться, что исходный код приложения и сторонние библиотеки не содержат возможности несанкционированного доступа к домашнему телефону или сбору данных, выполните следующие действия.

• Просмотрите исходный код: вам следует вручную просмотреть исходный код вашего приложения и любых сторонних библиотек, которые вы используете, чтобы идентифицировать какие-либо функции телефона или сбора данных. Обратите особое внимание на любой код, который устанавливает сетевые подключения или отправляет данные за пределы приложения, так как это, скорее всего, функция телефона домой или сбора данных.
• Используйте инструменты анализа кода: вы также можете использовать инструменты анализа кода, такие как SonarQube или Veracode, для сканирования вашего кода и определения любого домашнего телефона или функции сбора данных. Эти инструменты могут помочь вам определить потенциально вредоносный код и предоставить рекомендации по устранению обнаруженных проблем.
• Получите разрешение пользователя: если вы идентифицируете функции телефона или сбора данных в своем коде или сторонних библиотеках, вы должны получить разрешение пользователя на их работу, прежде чем собирать какие-либо данные. Это можно сделать, предоставив четкое и краткое объяснение того, какие данные собираются и почему они собираются в вашей политике конфиденциальности, и получив явное согласие от пользователя.
• Задокументируйте  функции сбора данных: вы должны задокументировать  функции сбора данных, которые вы идентифицируете в своем коде или сторонних библиотеках, включая описание того, какие данные собираются и почему они собираются. Эта информация должна быть доступна пользователям через вашу политику конфиденциальности или другими соответствующими способами.
• Следите за изменениями: вам следует регулярно проверять свой код и сторонние библиотеки, чтобы убедиться, что не были добавлены несанкционированные возможности домашнего телефона или сбора данных, и что любая существующая функциональность продолжает работать в соответствии с вашей политикой конфиденциальности и согласием пользователя. . 

Важно быть прозрачным с вашими пользователями в отношении любых функций домашнего телефона или сбора данных, которые существуют в вашем коде или сторонних библиотеках, и получить разрешение пользователя на их работу, прежде чем собирать какие-либо данные. Это помогает установить доверительные отношения с вашими пользователями и гарантирует, что ваше приложение работает безопасным и конфиденциальным образом.

Additional:

CWE - CWE-359: Exposure of Private Personal Information to an Unauthorized Actor (4.10) (mitre.org)