数据保护评估问题

您可以在此找到数据保护评估的所有问题。如果您的评估编号是以 3.1 开头，即表示您是在 2024 年 2 月 15 日或之后收到评估。您可以在下方找到相应问题。

如果您的评估没有编号，即表示您是在 2024 年 2 月 15 日之前收到评估。您可以在此找到相应的先前版本问题。

以下是更新后的 2024 年数据保护评估中涉及的问题。请注意，问题编号以相应的版本号开头；如果是 3.1 版本，问题编号会是 3.1-1、3.1-2，以此类推。我们会不断更新问题，以符合行业标准，而且开发者收到评估的时间可能会导致他们收到的问题有所不同。

使用说明：

我们建议应用管理员与自己的内部团队一起查看这些问题，确保应用遵守我们开放平台条款的要求。如果每个应用均需接受数据保护评估，则所有应用管理员都会收到通知。
请注意，我们仅接受以英文提交的回复。欢迎使用任何所需的翻译工具来以英文提交评估问题回复。
此处所列问题仅为方便参考而提供。特定应用需回答的问题将因该应用有权访问的数据而所有不同。如果应用可以访问特定类型的数据，则您可能还需要提供相关证据来支持您的答案。
如果您目前正在完成数据保护评估，或正在解答我们审核员提出的后续问题，请继续执行相关流程；同时请注意，您目前回答的问题可能与此处更新的问题不同。

数据使用情况

3.1-1. 应用程序是否使用开放平台数据，依据种族、民族、肤色、原国籍、宗教、年龄、性别、性取向、性别认同、家庭状况、残疾、疾病或遗传病区别对待用户（即某些用户无法公平获得某些权益）？

此问题不适用于在交友应用程序中使用的性别和年龄、语法上对性别的区分、限制接触成人内容的年龄，或其他使用开放平台数据改善用户应用体验的类似情况。如果您的应用程序与以上某一用途相关，则您的回答应为“否”，因为您并未使用这些信息造成不利影响。

[ ] 是
[ ] 否

如果回答“是”，您将需要回答以下附加问题：

3.1-1.a.A. 应用程序使用了哪些开放平台数据，依据种族、民族、肤色、原国籍、宗教、年龄、性别、性取向、性别认同、家庭状况、残疾、疾病或遗传病区别对待用户（即某些用户无法公平获得某些权益）？

3.1-1.a.B. 应用程序以何种方式使用开放平台数据，依据种族、民族、肤色、原国籍、宗教、年龄、性别、性取向、性别认同、家庭状况、残疾、疾病或遗传病区别对待用户（即某些用户无法公平获得某些权益）？

3.1-1.a.C. 应用程序从何时开始以这种方式使用开放平台数据？

3.1-2. 应用程序是否使用开放平台数据来作出有关住房、就业、保险、教育机会、信贷、政府福利或移民身份的决定？

如果回答“是”，您将需要回答以下附加问题：

3.1-2.a.A. 应用程序使用了哪些开放平台数据，作出有关住房、就业、保险、教育机会、信贷、政府福利或移民身份的决定？

3.1-2.a.B. 应用程序以何种方式使用开放平台数据，作出有关住房、就业、保险、教育机会、信贷、政府福利或移民身份的决定？

3.1-2.a.C. 应用程序从何时开始以这种方式使用开放平台数据？

3.1-3. 应用程序是否将开放平台数据用于与监视相关的活动？此处的监视包括出于执法或国家安全目的对有关个人、群体或事件的开放平台数据进行处理。

如果回答“是”，您将需要回答以下附加问题：

3.1-3.a.A. 应用程序将哪些开放平台数据用于与监视相关的活动？

3.1-3.a.B. 应用程序以何种方式将开放平台数据用于与监视相关的活动？

3.1-3.a.C. 应用程序从何时开始将开放平台数据用于这一目的？

数据共享

3.1-4. 以下部分问题与服务提供方和子服务提供方有关。服务提供方指为您提供服务，以帮助您使用开放平台或开放平台数据的个人或企业。子服务提供方是受其他服务提供方指派并为其提供开放平台数据相关服务的服务提供方。

举例来说，Google Cloud 和 Amazon Web Services (AWS) 是常见的大型服务提供方，但您也可以与小型公司（例如您所在国家或地区的本地网页开发企业）合作处理或使用开放平台数据。

您是否具有以下行为？

请选择所有适用选项。

a. 我并未分享通过此应用收到的开放平台数据。
b. 向其他用户或企业出售开放平台数据或授权他们使用，或推动或支持他人做出此行为。
c. 从其他用户或企业处购买开放平台数据，或推动或支持他人做出此行为。
d. 分享开放平台数据，以便用户或企业（服务提供方）向您提供服务。
e. 分享开放平台数据，以便其他用户或企业（不包括您的企业）能够访问和使用开放平台或开放平台数据。
f. 根据此应用用户的明确指示分享开放平台数据。
g. 出于未列出的其他目的而分享开放平台数据。请具体说明。

如果您在问题 3.1-4 中选择 b 选项，您还将需要回答以下问题：

3.1-4.a.A. 您向他人出售或授权了哪些类型的开放平台数据？

3.1-4.a.B. 此应用程序使用哪些权限、特性、功能或其他渠道来访问和收集该开放平台的数据？

3.1-4.a.C. 请列出您向其出售开放平台数据或授权他们使用的所有实体、企业和第三方，并说明在每种情况下分享此类数据的目的。

3.1-4.a.D. 您从何时开始出售或授权他人使用开放平台数据？

如果您在问题 3.1-4 中选择 d 选项，您还将需要回答以下问题：

3.1-4.b. 您在上文表示，您会与服务提供方分享开放平台数据。请勾选下方的方框，指明您会与哪些服务提供方分享开放平台数据。在后续问题中，我们将请您描述您与之分享开放平台数据的对象，并说明分享方式和原因。

请注意：请勿将 Meta 服务或产品列为服务提供方。

请选择所有适用项。如果您与此处列出的多家服务提供方以及其他未列出的服务提供方分享开放平台数据，请选择适用项以及“其他”。例如，您可以选择“Apple”“Google”和“其他”来表示您的所有服务提供方。

a. Google（如 Play 商店、Firebase、Cloud、AdMob、Analytics）
b. Amazon （如 Amazon Web Services）
c. Salesforce（如 Heroku、Marketing Cloud）
d. Apple（如 App Store）
e. Microsoft（如 App Center、Azure、Playfab）
f. Github
g. AppLovin（如 Adjust）
h. Appsflyer
i. Stripe
j. Twilio（如 Segment、SendGrid）
k. 其他（请上传相关清单）

如果您在问题 3.1-4.b 中选择 k 选项，您还将需要回答以下问题：

3.1-4.b.i. 请上传 CSV 或 Excel 文件，列出您与之分享开放平台数据的任何服务提供方，您在上文列表中指定的服务提供方除外。请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受的文件格式包括：.xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx。

如果您在问题 3.1-4 中选择 d 选项，并在问题 3.1-4.b 中选择 k 选项，您还将需要回答以下问题：

3.1-4.c. 您是否与您与之共享开放平台数据的每家服务提供方签订了书面协议，要求他们及其每家子服务提供方（如有）仅依据您的指示使用开放平台数据，并且仅提供您要求的服务，即其提供的服务并非为了满足自身目的或使其客户受益？

书面协议可包括服务条款、标准非谈判协议或签署的合同。例如，如果您使用 Google Cloud 作为服务提供方，则书面协议即为您同意的服务条款。

[ ] 是 [ ] 否

如果选择“是”，您还将需要回答以下问题：

3.1-4.c.i. 请勾选下方的方框，指明您与服务提供方签订的书面数据协议包含哪些条文类型。请选择所有适用选项。

a. 通过条文要求服务提供方只能在为您提供您要求的服务时使用开放平台数据。

b. 通过条文要求服务提供方只能在您的授意下使用开放平台数据。

c. 通过条文禁止服务提供方在未得到您授意的情况下与第三方分享开放平台数据。

d. 通过条文禁止服务提供方出于自身目的或为任何第三方而处理开放平台数据。

e. 通过条文要求服务提供方在您停用其服务后删除从您方收到的开放平台数据。

3.1-4.c.iv. 您是否知晓以下情况：您的服务提供方或其任何子服务提供方（如有）曾有过不符合 Meta 开放平台条款的行为，例如出售开放平台数据或在您停止使用其服务后仍未删除开放平台数据？

[ ] 是 [ ] 否

3.1-4.c.v. 如果您停止使用服务提供方或其子服务提供方的服务，您与他们签订的协议（例如他们的服务条款）是否规定他们必须在何时以何种方式删除从您方收到的数据？

[ ] 是 [ ] 否

如果您在问题 3.1-4.c.v 中选择“否”，您还将需要回答以下问题：

3.1-4.c.vi. 如果您停止使用服务提供方或子服务提供方，您会以何种方式确保其删除通过您获取的开放平台数据？

如果您在问题 3.1-4 中选择 e 选项，您还将需要回答以下问题：

3.1-4.d. 接下来的问题与技术提供方，即应用开发者有关，其主要目标是代表客户管理平台集成，以便客户可以访问和管理他们在 Meta 产品上的数据。技术代理包括 SaaS（软件即服务）提供方和代理机构等。

技术提供方定义：已获授权访问 Meta API 的个人或企业，以代表其他个人或企业创建、维护和删除集成。其中包括代表单名或多名客户创建单个集成的个人或企业。

您在上文表示，此应用允许个人或企业（客户）访问并使用开放平台数据。这意味着您是技术提供方。

您是否仅代表您的客户并按照其指示处理您通过此应用获取的开放平台数据？[ ] 是 [ ] 否

如果您在问题 3.1-4.d 中选择“否”，您还将需要回答以下问题：

3.1-4.d.i.A. 除代表并依据您客户的指示行事外，您还为谁处理开放平台数据？

3.1-4.d.i.B. 您正在为此人或企业处理哪些开放平台数据？

3.1-4.d.i.C. 您为何为此人或企业处理开放平台数据？

3.1-4.d.i.D. 您从何时开始处理此类开放平台数据？

3.1-4.d.i.E. 您以何种方式处理此类开放平台数据？

3.1-4.e. 您在维护数据时，是否将每位客户的开放平台数据、其他客户的数据及您出于自身目的而维护的数据单独区分开（以逻辑方式区分，如使用单独的表格；或以物理的方式区分）？

[ ] 是 [ ] 否

如果您在问题 3.1-4.e 中选择“否”，您还将需要回答以下问题：

3.1-4.f. 您表示，您在之前问题指定之外的情况下分享开放平台数据。请描述您在这些情况下分享的数据。

数据存储在哪里？
您如何存储数据并保障数据安全？
谁有数据访问权限？
您如何控制访问权限？

如果选择“其他。请具体说明。”，您将看到以下内容：

您表示，您在之前问题指定之外的情况下分享开放平台数据。请描述您在这些情况下分享的数据。

同时请务必加入对以下问题的回答：

除此应用或网站的各个用户以外，您还会与谁分享此类数据？
您如何分享这些数据？
您从何时开始与您提及的实体分享数据？
目前是否仍在分享数据？

3.1-4.f.i. 对于在此类其他情况下分享的开放平台数据，您是否与每个开放平台数据接收方都签订了书面协议，禁止他们以违反 Meta 开放平台条款和开发者政策（或适用于您对开放平台数据的使用的其他任何条款）的方式使用开放平台数据？

书面协议的示例包括服务条款、标准非协商式协议或签字的合同。

[ ] 是 [ ] 否

3.1-4.g. 据您所知，这些开发平台数据的接收方是否违反了 Meta 开放平台条款？例如，买卖开放平台数据或授权他人使用开放平台数据。

[ ] 是 [ ] 否

如果您在问题 3.1-4.g 中选择“是”，您还将需要回答以下问题：

3.1-4.g.i. 您在上文提到，开放平台数据的接收者违反了 Meta 开放平台条款。请详细说明。

如果您在问题 3.1-4 中选择 f 选项，您还将需要回答以下问题：

3.1-4.i.A. 您在上文提到，当用户指示您分享开放平台数据时，您才会向其他用户或企业提供您通过此应用收到的开放平台数据。

请说明用户如何指示您与其他用户或企业分享开放平台数据。

3.1-4.i.B. 请上传截图，展示用户同意此类数据分享的流程。请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受的文件格式包括：.xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx。

数据删除

3.1-5. 遇到以下情况时（我们条款允许保留的情况除外），您是否会删除开放平台数据？

a. 无需再因合法商业用途而保留开放平台数据；

b. 用户要求删除；

c. 用户不再拥有您应用程序的账户（仅适用于您提供用户账户的情况）；

d. Meta 要求删除；以及

e. 法律或法规要求删除。

对于此问题，“开放平台数据”不包括开放平台条款 3.e“例外情况”列出的数据。请查看开放平台条款 3d“开放平台数据的保留、删除和可访问性”，了解我们的删除要求。请注意，在某些情况下，如果开放平台数据已经过聚合、模糊化处理或已去除身份信息，以使其无法与特定用户、浏览器或设备相关联，则无需删除。同时，出于与用户体验（例如计费）保持一致的业务目的，允许维护聚合和匿名数据。

[ ] 是
[ ] 否

如果您在问题 3.1-5 中选择“否”，您还将需要回答以下问题：

3.1-5.a. 在上述哪些情况下，您不会删除开放平台数据？为什么？

3.1-6. 如果在上述情况下删除数据，您是否会在合理的时间范围内尽快采取措施删除开放平台数据？

合理时间范围可能视系统和数据而定，但一般不应超过 120 天。此问题仅适用于开放平台数据，不适用于此应用独立收集或存储的数据。

同时，此问题也不适用于应适用法律或法规的要求而必须保留的开放平台数据。

[ ] 是
[ ] 否

在哪些情况下，您会将开放平台数据保留 120 天以上？请注意：这不适用于应适用法律或法规的要求而必须保留的开放平台数据。

如果您在问题 3.1-6 中选择“否”，您还将需要回答以下问题：

3.1-6.a. 在哪些情况下，您会将开放平台数据保留 120 天以上？

请注意：这不适用于应适用法律或法规的要求而必须保留的开放平台数据。

如果您在问题 3.1-5 中选择“是”，您还将需要回答以下问题：

3.1-5.b. 您在上文提到，当无需再因合法商业用途而保留开放平台数据时，您会删除这些数据。请说明您会如何确定何时不再因合法商业用途而需要保留开放平台数据。

对于此问题，“开放平台数据”不包括开放平台条款 3(e) 中列出的数据。

3.1-5.c. 您在上文提到，在用户要求删除开放平台数据时，您会删除这些数据。请说明用户可通过哪些方式要求您删除其数据。请加上截图（如有）。

请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受的文件格式包括：.xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx。

对于此问题，“开放平台数据”不包括开放平台条款 3(e) 中列出的数据。

数据安全

3.1-A. 根据开放平台条款 6.a.i，Meta 要求您维护管理、物理和技术安全措施，以避免出现对开放平台数据的未授权访问，以及防止开放平台数据丢失、受到破坏、更改、披露、分发或损失。

请参阅我们的开发者数据安全最佳实践 > 数据保护评估概览，以及常见问题，了解详情。

在回答下一组问题之前，请务必咨询合适人员。这些人员应包括首席信息安全官、组织中担任同等职位的人员或符合资格的网络安全公司（例如开展 ISO 27001 审计至少 5 年的公司），以确保所提供回复的准确性。

请勾选“我了解”以继续评估。

[ ] 我了解

3.1-B. 请注意，依据我们开放平台术语中的定义，“开放平台数据”指您在同意本篇条款之前、当天或之后，通过开放平台或您的应用直接或间接地从我们这里获取的任何信息、数据或其他内容，包括对此等数据进行匿名化处理、汇总得到的或从此等数据中派生的数据。开放平台数据包括应用口令、公共主页口令、访问口令、应用密钥和用户口令。”

为避免疑义，开放平台数据还包括用户编号、邮箱等数据，以及您通过对 graph.facebook.com 的 API 调用获取的所有数据。

要回答以下问题，您需要全面了解与该应用相关的 Meta 开放平台数据如何在您的软件和系统中进行传输、存储和处理。

此问题适用于此应用的所有权限、特性和功能。如要查看此应用的权限、特性和功能，请访问其应用面板。您可以在“我的应用”页面中选择应用，访问应用面板。

请选择“我了解”以继续。

[ ] 我了解

3.1-7. 如果您拥有满足以下所有标准的信息安全认证，则可以提交此认证作为证据，证明您已采取充足的管理、物理和技术保护措施来保护开放平台数据的安全：

认证类型必须为 SOC 2、ISO 27001、ISO 27018 或同等认证。
认证必须由独立审核机构颁发给您的组织（而不是颁发给第三方）。
认证必须当前有效，即过去一年内颁发的 SOC 2 证书，或过去三年内颁发的 ISO 证书。
审核范围必须全面覆盖您用于处理 Meta 开放平台数据的系统。

您是否拥有符合此类标准的安全认证？

[ ] 是 [ ] 否

如果您在问题 3.1-7 中选择“是”，您还将需要回答以下问题：

3.1-7.a. 您拥有哪些数据安全证书？请选择所有适用项。* [ ] SOC2 2 类报告 * [ ] ISO 27001 证书 * [ ] ISO 27018 证书 * [ ] 其他同等认证 * 如果您选择“其他同等认证”，您还将需要回答以下问题：*此安全认证的名称是什么？

3.1-7.a.i.B. 请上传您的安全认证副本。请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受的文件格式包括：.xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx。

如果您在问题 3.1-7.a 中选择 d 选项，您还将需要回答以下问题：

3.1-7.a.i.A. 此安全认证的名称是什么？

3.1-8. 您是否将开放平台数据存储在后端环境中（例如云端或其他类型托管环境中的数据库、对象存储桶或块存储）？

如果符合以下描述，请选择“是”：您把开放平台数据写入后端云或服务器环境的任何永久性存储空间中，这些存储空间（例如可通过网站或 API 访问的磁盘、日志文件或数据库）会在设备电源关闭后存储数据。

如果您执行以下任一操作，请选择“否”：

仅在应用的最终用户拥有的客户端处理开放平台数据，绝不把开放平台数据传输到任何后端环境
在后端环境中处理开放平台数据，但这些数据绝不会写入任何永久性存储器
[ ] 是
[ ] 否

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-8.a. 您在上个问题中提到，您确实将开放平台数据存储在后端环境中。您在后端环境中存储以下哪些类型的开放平台数据？请选择所有适用项。

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。
“存储”是指将开放平台数据写入任何能在电源关闭后存储数据的环境，例如日志文件、对象、关系数据库或磁盘。

a. Meta 用户编号或经过哈希处理的用户编号

b. 邮箱

c. 头像

d. Meta API 用户访问口令

e. 应用密钥

f. 上方未列出的其他开放平台数据

3.1-8.b. 您使用以下哪些托管解决方案在后端环境中处理开放平台数据？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

请选择所有适用项。

a. Amazon Web Services (AWS)

b. Microsoft Azure

c. Microsoft Azure PlayFab

d. Google Cloud Platform (GCP)

e. 阿里巴巴/阿里云

f. 腾讯

g. Oracle Cloud

h. Heroku

i. Digital Ocean

j. 由其他组织所有的数据中心，服务器归我的组织所有

k. 我的组织拥有的数据中心和服务器

l其他

如果您在问题 3.1-8.b 中选择 l 选项，您还将需要回答以下问题：

3.1-8.b.i. 在上个问题中，您选择了“其他”，表明您使用了未列出的托管选项。请说明您的后端环境托管方法。

如果您在问题 3.1-8.a 中选择 b、c、d、e 或 f 选项，并在问题 3.1-8.b 中选择 c、h、i、j、k 或 l 选项，您还将需要回答以下问题：

3.1-9.a. 您是否对存储在后端环境中的所有开放平台数据采用了静止数据加密？

为开放平台数据采用静止数据加密保护措施后，必须有解密密钥才能破译这些数据。这为防止未授权读取数据提供了一层额外保护。如果您将开放平台数据存储在后端环境中，我们要求您使用静止数据加密或可接受的其他保护措施来保护这些数据。

一些托管服务提供方默认启用静止数据加密，或提供启用此功能的配置选项。在回答此问题之前，请先确认您是否对用于存储开放平台数据的服务应用了静止数据加密措施。如已应用，则为这个问题选择“是”。

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否，但我们的托管服务提供方拥有 SOC 2 或 ISO 27001 认证，能证明其物理安全性和安全媒体处置控制措施已经过第三方评估。

[ ] 否

如果您在问题 3.1-8.a 中选择 b、c、d、e 或 f 选项，并在问题 3.1-8.b 中未选择 c、h、i、j、k 或 l 选项，您还将需要回答以下问题：

3.1-9.b. 您是否对存储在后端环境中的所有开放平台数据采用了静止数据加密？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

如果您在问题 3.1-9.a 中选择“是”，或在问题 3.1-9.b 中选择“是”，您还将需要回答以下问题：

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

3.1-9.b.i. 您在上个问题中提到，您对存储在后端环境中的所有开放平台数据采取了静止数据加密。请上传书面说明（例如政策或程序文档），其中应载明存储在您的后端环境中的所有开放平台数据必须采用静止数据加密保护措施。

如果您根据一组数据敏感级别把数据分为不同类别并采取不同保护方式，您的说明文件应清楚列出从 Meta 收到的开放平台数据属于什么敏感级别，并且您应上传相关的政策。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

3.1-9.b.ii. 请上传至少一份证据（例如，数据库实例的屏幕截图），证明您如何在实践中实施这项保护措施：为存储在您的后端环境中的所有平台数据采用静止数据加密保护措施。

如果您在问题 3.1-9.a 中选择“否”，您还将需要回答以下问题：

3.1-9.c.i. 您具有哪种证据，可以证明托管服务提供方的物理安全性和安全媒体处置控制措施已经过评估？

为了证明您遵守 Meta 开放平台条款，您必须证实托管服务提供方的 ISO 27001 或 SOC 2 审计包括范围内的物理安全性和安全媒体处置控制措施。在 ISO/IEC 27001:2013 或 2017 标准中，具体指 A.8.3、A.11.1 和 A.11.2 所述控制措施。在 SOC 2 标准中，具体指 CC6.4 和 CC6.5 所述控制措施。

a. 我的托管服务提供方的一项 ISO 27001 审计，其相关适用性声明（Statement of Applicability，简称 SOA）表明物理安全性和安全媒体处置控制措施已经过评估

b. SOC 2 审计报告，其中指出物理安全性和安全媒体处置控制措施已经过测试，没有与这些控制措施相关的不良发现

c. 以上都不是

如果您在问题 3.1-9.c.i 中选择 a 或 b 选项，您还将需要回答以下问题：

3.1-9.c.ii. 您托管服务提供方的 ISO 27001 或 SOC 2 证书是在何时颁发的？

3.1-10. 您组织中的任何用户会把开放平台数据存储到组织端点或个人设备吗（例如笔记本电脑或智能手机）？

“存储”是指将开放平台数据写入任何能在电源关闭后存储数据的环境，例如笔记本电脑、U 盘、移动硬盘，以及 Dropbox 或 Google 云端硬盘等云存储服务。

请注意：使用您服务的个人用户在网络或手机客户端中保存的开放平台数据不属于这个问题的范畴。

[ ] 是。我组织中的一位或多位用户将开放平台数据存储在组织设备或个人设备上。
[ ] 否。在任何情况下，我组织中的任何用户都不会将开放平台数据存储在组织设备或个人设备上。

如果您在问题 3.1-10 中选择“是”，您还将需要回答以下问题：

3.1-10.a. 当您组织中的用户在组织端点或个人设备中存储开放平台数据时，您采取了以下哪项保护措施来降低数据丢失风险？

我们要求您采取保护措施，降低静止存储的开放平台数据被访问的风险。

请选择所有适用选项。

a. 对组织设备实施全盘加密的软件或服务（例如 Bitlocker 或 FileVault）

b. 在所有受管理设备安装“终结点数据丢失防护”(DLP) 软件，用来监控和记录与存储的开放平台数据相关的操作

c. 我组织中的用户有遵守合理使用政策的义务，该政策规定了只能出于明确和可执行的业务目的来处理开放平台数据，并且在业务目的不存在时必须删除数据

d. 以上都不是

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-10.a 中选择 a 或 b 选项，您还将需要回答以下问题：

3.1-10.a.i. 您在上个问题中提到，您会保护存储在组织设备或个人设备中的开放平台数据，方法是在这些设备上实施全盘加密或使用“端点数据丢失防护”(DLP) 软件。请上传书面说明（例如政策或程序文档），其中应载明您如何实施这项技术保护措施。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-10.a 中选择 a 或 b 选项，您还将需要回答以下问题：

3.1-10.a.ii. 请上传至少一份证据（例如工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：对存储在组织设备或个人设备中的开放平台数据采取的技术保护措施。[首要问题]

例如：

要求对受管理设备启用 BitLocker 的组策略的屏幕截图
DLP 管理工具的屏幕截图，显示已为所有端点启用 PII 数据监控
您的 IT 管理员用来对所有组织设备实施技术保护措施的其他工具或产品的屏幕截图
请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受的文件格式包括：.xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-10.a 中仅选择 c 选项，您还将需要回答以下问题：

3.1-10.a.iii. 您在上个问题中提到，您组织中的用户把开放平台数据存储到组织设备或个人设备时，有遵守合理使用政策的义务。请上传书面说明（例如政策或程序文档），其中应包含您的合理使用政策。

我们要求此政策明确规定以下各项：

可以在组织设备或个人设备中处理开放平台数据的合理业务目的
在此目的不存在时删除数据的要求

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-10.a 中仅选择 c 选项，您还将需要回答以下问题：

3.1-10.a.iv. 我可以确认，可能会在组织设备或个人设备中处理开放平台数据的组织中所有用户：已知悉这些数据相关的合理使用政策；已确认他们了解本政策；在新员工入职流程中已获悉本政策

[ ] 是，我可以确认。

[ ] 否，我无法确认。

如果您在问题 3.1-8 中选择“是”，并在问题 3.1-10 中选择“否”，您还将需要回答以下问题：

3.1-10.b. 您在上个问题中提到，在任何情况下，您组织中的用户均不会把开放平台数据存储到组织设备或个人设备中。

您是否已告知组织中的用户，在任何情况下均不得把开放平台数据存储到组织设备或个人设备中，并要求他们确认这项义务？

我们的政策要求组织告知组织中的所有用户（包括高权限用户，例如管理员），不得存储开放平台数据。

[ ] 是

[ ] 否

如果您在问题 3.1-8 中选择“否”，并在问题 3.1-10 中选择“否”，您还将需要回答以下问题：

3.1-10.c. 您在上个问题中提到，在任何情况下，您组织中的用户均不会把开放平台数据存储到组织设备或个人设备中。

您是否已告知组织中的用户，在任何情况下均不得把开放平台数据存储到组织设备或个人设备中，并要求他们确认这项义务？

我们的政策要求组织告知组织中的所有用户（包括高权限用户，例如管理员），不得存储开放平台数据。

[ ] 是

[ ] 这不是必要的，因为我组织中的用户决不会有权访问开放平台数据。

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-10.b 或 3.1-10.c 中选择“是”，您还将需要回答以下问题：

3.1-10.c.i. 您在上个问题中提到，在任何情况下，您组织中的用户均不会将开放平台数据存储到组织设备或个人设备中。请上传书面说明（例如政策或程序文档），其中应载明您组织中的用户不得在这些设备中存储开放平台数据。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-10.b 或 3.1-10.c 中选择“是”，您还将需要回答以下问题：

3.1-10.c.ii. 我可以确认我组织中的所有用户：

已知晓不得在组织设备或个人设备上存储开放平台数据的政策要求

已确认他们了解本政策

在新员工入职流程中已获悉本政策

[ ] 是，我可以确认。

[ ] 否，我无法确认。

如果您在问题 3.1-8 中选择“否”，并在问题 3.1-10 中选择“否”，您还将需要回答以下问题：

3.1-10.d. 请上传数据流程图，并说明您的应用如何使用开放平台数据，

其中应包括以下详细信息：

展示您的应用如何调用 Meta API（例如 graph.facebook.com），并列出使用开放平台数据的所有组件，包括存储、缓存、处理开放平台数据或在网络间传输开放平台数据的组件

说明您支持的主要用例（即为应用用户提供有价值结果的流程）。

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-11.a. 对于传输开放平台数据的公开网络，您是否会为所有相关的网络连接启用 TLS 1.2 或更高级别的安全协议来加密数据？

加密传输措施可以在通过不可信网络（例如互联网）传输开放平台数据时保护数据安全，仅允许来源设备和目标设备破译这些数据。传输中间方即便能看到网络流量，也不能读取开放平台数据（例如中间人攻击情形）。TLS 是最常用的一种加密传输措施，因为浏览器会使用这种技术来保护与网站（例如银行网站）之间通信的安全。

我们要求接收或返回开放平台数据的所有 Web 监听器（例如面向互联网的负载均衡器）必须启用 TLS 1.2 或更高级别协议。TLS 1.0 和 TLS 1.1 协议只能用于不支持 TLS 1.2 或更高级别的协议而出现兼容性问题的客户设备。我们建议（但不强制要求）对完全在由您控制的可信私有网络内（例如在虚拟私有云 (VPC) 内）发生的开放平台数据传输采取加密传输措施。如需详细了解此要求以及如何上传任何必要证据，请参阅我们的数据安全要求。

[ ] 是

[ ] 否

如果您在问题 3.1-8 中选择“否”，您还将需要回答以下问题：

3.1-11.b. 对于传输开放平台数据的公开网络，您是否会为所有相关的网络连接启用 TLS 1.2 或更高级别的安全协议来加密数据？

[ ] 是

[ ] 这不是必要的。除了直接向 Meta 发送的请求外，我们从不会出于任何原因而通过互联网传输开放平台数据。

[ ] 否

如果您在问题 3.1-11.a 或 3.1-11.b 中选择“是”，您还将需要回答以下问题：

3.1-11.c. 您在上个问题中提到，您启用 TLS 1.2 或更高级别安全协议来对数据传输加密。您能否保证开放平台数据从未通过未加密的公共网络（例如通过 HTTP 或 FTP）传输，并且从未使用 SSL 2.0 和 SSL 3.0？

我们要求开放平台数据不得通过未加密的不可信网络传输，并且您不得使用 SSL 2.0 或 SSL 3.0。如需详细了解此要求以及如何上传任何必要证据，请参阅我们的数据安全要求。

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-11.a 或 3.1-11.b 中选择“是”，您还将需要回答以下问题：

3.1-11.a.i. 请上传书面说明（例如政策或程序文档），其中应载明您如何对数据传输启用 TLS 1.2 或更高级别的安全协议。

您的文档应包含以下陈述：1.绝不会以未加密的形式传输开放平台数据；2.绝不使用 SSL 2 和 SSL 3。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-11.a 或 3.1-11.b 中选择“是”，您还将需要回答以下问题：

3.1-11.a.ii. 请上传至少一项证据，例如有关您其中一个网域收到的 Qualys SSL 报告结果的完整屏幕截图，证明您如何在实践中实施这项保护措施：对数据传输启用 TLS 1.2 或更高级别的安全协议。[首要问题]

请确保未对文件施加密码保护。您可以上传多个文件，但每个文件不可超过 2 GB。我们接受 .xls、.xlsx、.csv、.doc、.docx、.pdf、.txt、.jpeg、.jpg、.png、.ppt、.pptx、.mov、.mp4、.zip 和 .zipx

如果您在问题 3.1-8 中选择“否”，您还将需要回答以下问题：

3.1-12.a. 在过去 12 个月内，您使用以下哪种方法来测试用于处理开放平台数据的软件是否存在漏洞和安全问题？

这个问题仅针对您为了处理开放平台数据而编译或打包的软件（例如代码库），不适用于其他公司编译或维护的软件（例如 Android 或 iOS 操作系统）。

请选择所有适用选项。

a. 静态应用程序安全测试 (SAST)

b. 动态应用程序安全测试 (DAST)

c. 由内部团队进行的渗透测试

d. 由外部安全公司进行的渗透测试

e. 通过漏洞披露计划 (VDP) 或漏洞悬赏计划从外部研究者处获得的漏洞报告

f. 其他漏洞识别方法

g. 以上都不是

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-12.a 中选择 a 到 g 中的任何一个选项，您还将需要回答以下问题：

3.1-12.a.i. 请上传书面说明（例如政策或程序文档），其中应载明您如何测试您用来处理开放平台数据的软件是否存在漏洞和安全问题。

您的书面说明应包括以下所有测试程序：

至少每 12 个月测试一次是否存在安全漏洞
拥有根据严重程度对结果分类的流程
确保可能导致他人未授权访问开放平台数据的高危漏洞得到及时修复

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-12.a 中选择 a 到 f 中的任何一个选项，您还将需要回答以下问题：

3.1-12.a.ii. 请上传至少一份证据（例如近期渗透测试的结果摘要），证明您如何在实践中实施这项保护措施：测试用来处理平台数据的软件是否存在漏洞和安全问题。

您的证据中应包含以下详细信息：1.范围和测试方法的说明；2.2. 测试活动的开始日期（可接受的日期距离我们向您通知此评估之日不能超过 12 个月）3. 严重程度达到严重和高危但未修复的任何漏洞的摘要（如有）

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-12.b. 在过去 12 个月内，您使用以下哪种方法来测试用于处理开放平台数据的后端环境是否存在漏洞和安全问题？

这个问题仅针对您为了处理开放平台数据而编译或打包的软件（例如代码库），不适用于其他公司编译或维护的软件（例如您用作服务提供方的分析服务）。

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

请选择所有适用选项。

a. 静态应用程序安全测试 (SAST)

b. 动态应用程序安全测试 (DAST)

c. 网络扫描

d. 由内部团队进行的渗透测试

e. 由外部安全公司进行的渗透测试

f. 通过漏洞披露计划 (VDP) 或漏洞悬赏计划从外部研究者处获得的漏洞报告

g. 其他漏洞识别方法

h. 这不是必要措施，因为我的组织使用无代码后端解决方案

i. 以上都不是

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-12.b 中选择 a - g 中的任何一个选项，将看到以下内容：

3.1-12.b.i. 请上传书面说明（例如政策或程序文档），其中应载明您如何测试用于处理开放平台数据的后端环境是否存在漏洞和安全问题。

您的书面说明应包括以下所有测试程序：

至少每 12 个月测试一次是否存在安全漏洞
拥有根据严重程度对结果分类的流程
确保可能导致他人未授权访问开放平台数据的高危漏洞得到及时修复

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-12.b 中选择 a - g 中的任何一个选项，将看到以下内容：

3.1-12.b.ii. 请上传至少一份证据（例如，近期渗透测试的结果摘要），证明您如何在实践中实施这项保护措施：测试用于处理开放平台数据的后端环境是否存在漏洞和安全问题。

您的证据中应包含以下详情：

范围和测试方法的说明；
2. 测试活动的开始日期（可接受的日期距离我们向您通知此评估之日不能超过 12 个月）
严重程度达到严重和高危但未修复的任何漏洞的摘要（如有）

如果您在问题 3.1-8.b 中选择 a-b 或 d-i 中的任何一个选项

3.1-12.c. 您是否至少每 12 个月测试一次用于处理开放平台数据的云环境是否存在安全配置错误（例如，使用 NCC Scout Suite 等工具来识别配置错误）？

Meta 要求您至少每 12 个月采取一次措施来测试您的软件是否存在漏洞和安全问题，从而防止有人未经授权访问开放平台数据。

[ ] 是

[ ] 不适用，因为我的组织只使用未提供任何敏感安全配置选项的后端服务

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-12.c 中选择“是”，您还将需要回答以下问题：

3.1-12.c.i. 请上传书面说明（例如政策或程序文档），其中应载明您如何测试用于处理开放平台数据的云环境是否存在安全配置错误。

您的书面说明应包括以下所有测试程序：

至少每 12 个月测试一次是否存在安全漏洞
拥有根据严重程度对结果分类的流程。
确保可能导致他人未经授权访问开放平台数据的高危漏洞得到及时修复。

请标出或圈出您政策当中列明这些情况的地方。

Meta 要求您至少每 12 个月采取一次措施来测试您的软件是否存在漏洞和安全问题，从而防止有人未经授权访问开放平台数据。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-12.c 中选择“是”，您还将需要回答以下问题：

3.1-12.c.ii. 请上传至少一份证据（例如，NCC Scout Suite 测试摘要），证明您如何在实践中实施这项保护措施：测试用于处理开放平台数据的云环境是否存在安全配置错误。

您的证据中应包含以下详情：

范围和测试方法的说明；
2. 测试活动的开始日期（可接受的日期距离我们向您通知此评估之日不能超过 12 个月）
严重程度达到严重和高危但未修复的任何漏洞的摘要（如有）

3.1-13.a. 您的应用或软件是否会在顾客或客户设备中存储可被其他应用或用户读取的访问口令？

“顾客或客户设备”是指您的应用或服务的最终用户拥有的一个硬件，例如 Android 或 iPhone 手机。

如果您没有在顾客或客户设备（例如手机）上运行的应用或软件，请选择“否”。

[ ] 是

[ ] 否

如果此应用未配置为桌面应用或原生应用，您还将需要回答以下问题：

3.1-13.b. 是否曾对顾客或客户设备公开 Facebook 应用密钥，例如在编译代码中公开？

[ ] 是

[ ] 是，但我的应用已经配置为桌面版或原生应用

[ ] 否

如果您在问题 3.1-8.a 中选择 d 选项，您还将需要回答以下问题：

3.1-13.c. 您之所以看到此问题，是因为您在上个问题中提到：您在后端环境中存储 Meta API 用户访问口令。您如何保护这些口令免遭未授权的使用？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

访问口令对于 Meta API 的安全至关重要。我们要求开发者保护访问口令免遭未授权的访问。了解访问口令。

请选择所有适用选项。

a. 将这些数据存储到使用单独的密钥管理服务 (KMS) 的数据仓库（例如 HashiCorp Vault）之中

b. 通过采取应用程序加密（例如，用户访问口令从不会在未加密的情况下写入数据库或其他任何永久性存储器）

c. 将应用配置为需要 appsecret_proof 参数才能对 Meta 发出 API 呼

d. 我使用其他方法来保护用户访问口令

e. 以上都不是

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-13.c 中选择 a、b、c 或 d 选项，您还将需要回答以下问题：

3.1-13.c.i. 上个问题问到，您如何保护存储在后端环境中的用户访问口令免遭未授权的使用。请上传书面说明（例如政策或程序文档），其中应载明您如何保护这些访问口令。

您的书面说明应包括以下内容：

说明如何保护用户访问口令免遭未授权的读取访问
要求不得以明文（未加密）形式将用户访问口令写入日志文件

请标出或圈出您政策当中列明这些情况的地方。

访问口令对于 Meta API 的安全至关重要。我们要求开发者保护访问口令免遭未授权的访问。了解访问口令。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

3.1-13.c.ii 请上传至少一份证据（例如访问口令密钥（而非值）的屏幕截图），证明您如何在实践中实施这项保护措施：保护存储在后端环境中的访问口令免遭未授权的使用。[首要问题]

如果您在问题 3.1-8.a 中选择 e 选项，您还将需要回答以下问题：

3.1-13.d. 您之所以看到此问题，是因为您在上个问题中提到：您在后端环境中存储应用密钥。您如何保护应用密钥免遭未授权的使用？

应用密钥是与 Meta 技术相关的一个参数，可在请求更改应用配置的某些 API 调用中用作访问口令，例如配置 Webhooks 回调时。您可以在应用面板的“设置”>“基本”页面中找到应用的应用密钥。如需详细了解应用密钥，请参阅有关登录安全的开发者文档。如需详细了解我们对于保护应用密钥和用户访问口令的要求以及您可能需要提供的任何证据，请参阅保护 Meta 应用密钥和访问口令。

我们要求您采用以下两种方式之一来保护应用密钥：

只会向安全的服务器环境公开应用密钥。这意味着，网络调用从不会把应用密钥返回给浏览器或移动应用，并且应用密钥未嵌入分发到移动或原生客户端或桌面客户端的代码中。
或者，将“应用身份验证”配置为“原生应用或桌面应用”类型，让 Meta API 不再信任包含应用密钥的 API 调用。

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

请选择所有适用选项。

a. 将这些数据存储到使用单独的密钥管理服务 (KMS) 的数据仓库（例如 HashiCorp Vault）之中

b. 通过采取应用程序加密（例如从不会在未加密的情况下将应用密钥写入数据库或其他任何永久性存储器）

c. 我使用其他方法来保护应用密钥

d. 以上都不是

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-13.d 中选择 a、b 或 c 选项，您还将需要回答以下问题：

3.1-13.d.i. 您在上个问题中提到，您会保护后端环境中存储的应用密钥免遭未授权的使用。请上传书面说明（例如政策或程序文档），其中应载明您如何运用这项保护措施。

您的书面说明应包括以下内容：

说明如何保护应用密钥免遭未授权的读取访问
要求不得以明文（未加密）形式将应用密钥写入日志文件

请标出或圈出您政策当中列明这些情况的地方。

应用密钥对于 Meta API 的安全至关重要。我们要求开发者保护应用密钥免遭未授权的访问。了解应用密钥。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-13.d 中选择 a、b 或 c 选项，您还将需要回答以下问题：

3.1-13.d.ii. 请上传至少一份证据（例如密码管理器的屏幕截图，其中显示已加密的应用密钥），证明您如何在实践中实施这项保护措施：保护存储在后端环境中的应用密钥免遭未授权的使用。

如要查看可接受证据的示例，请前往与此问题相关的证据指南。

3.1-15.a. 对于合作和通信工具的所有访问请求，您是否要求采取多重身份验证 (MFA)？

我们要求对您的合作和通信工具（例如邮箱、Slack）的所有用户采取多重身份验证或可接受的替代保护措施。我们没有限制应使用任何特定的多重验证实施方法。

[ ] 是

[ ] 否，但我们采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定。

[ ] 否

3.1-15.b. 您是否对以下各项的所有访问要求采取多重身份验证 (MFA)：您的代码库工具（例如 GitHub）、用于追踪应用更改的任何工具，以及任何系统代码和配置？

我们要求对您代码库的所有用户采取多重身份验证或可接受的替代保护措施。我们对多重身份验证的具体实施方法不作要求。

[ ] 是

[ ] 否，但我们采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定。

[ ] 否

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-15.c. 对于软件部署工具（例如 Jenkins 或另一款持续集成、持续部署 (CI/CD) 工具）的所有访问请求，您是否要求采取多重身份验证 (MFA)？

我们要求对您软件部署工具的所有用户采取多重身份验证或可接受的替代保护措施。我们没有限制应使用任何特定的多重验证实施方法。

[ ] 是

[ ] 否，但我们采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定。

[ ] 否

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-15.d. 对于后端管理工具（例如云管理门户）的所有访问请求，您是否要求采取多重身份验证 (MFA)？

我们要求对您云端或服务器管理工具的所有用户采取多重身份验证或可接受的替代保护措施。我们对多重身份验证的具体实施方法不作要求。

[ ] 是

[ ] 否，但我们采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定。

[ ] 否

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-15.e. 对于服务器的所有远程访问（例如通过 SSH），您是否要求采取多重身份验证 (MFA)？

我们要求对服务器的所有远程访问采取多重身份验证或可接受的替代保护措施。我们对多重身份验证的具体实施方法不作要求。

[ ] 是

[ ] 否，但我们采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定。

[ ] 不适用。我们没有远程访问服务器的权限。

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在 3.1-15.a 到 3.1-15.e 的任何一个问题中选择“是”，您还将需要回答以下问题：

3.1-15.e.i. 请上传书面说明（例如政策或程序文档），其中应载明您关于多重身份验证 (MFA) 或其他防止账户侵占的措施（例如采用密码复杂度策略，并对失败的登录尝试实行身份验证重试间隔和自动账户锁定）的要求。

您的说明文件应包括针对以下访问的身份验证要求：对任何合作和通信工具、代码库、软件部署工具、后端管理工具的所有访问，以及通过 SSH 等工具对服务器的远程访问。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在 3.1-15.a 到 3.1-15.e 的任何一个问题中选择“是”，您还将需要回答以下问题：

3.1-15.e.ii. 请上传至少一份证据（例如，工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：多重身份验证或其他防止账户侵占的措施。

您的证据应表明您如何使用身份验证方法来保护以下访问：对任何合作和通信工具、代码库、软件部署工具、后端管理工具的所有访问，以及通过 SSH 等对服务器的远程访问。

3.1-16. 您是否部署用于维护账户的系统，用来管理组织中用户访问权限的授予、撤销和审核？

我们要求您部署用于维护账户的系统，定期审核授予的访问权限，并且至少每 12 月审核一次。您必须设置可在发生以下情况时立即撤销访问权限的流程：

不再需要访问权限
不再使用访问权限
用户离开组织

[ ] 是

[ ] 否

如果您在问题 3.1-16 中选择“是”，您还将需要回答以下问题：

3.1-16.a. 在用于维护账户的系统中，您部署了以下哪些流程？

请选择所有适用选项。

a. 我们至少每 12 月审核一次授予的所有访问权限，并撤销不再需要的访问权限。

b. 我们至少每 12 月审核一次授予的所有访问权限，并撤销不再使用的访问权限。

c. 我们会在用户离开组织后，立即撤销授予的所有访问权限。

d. 以上都不是。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-16.a 中选择 a-c 中的任何一个选项，您还将需要回答以下问题：

3.1-16.a.i. 请上传书面说明（例如政策或程序文档），其中应载明以下内容：与您的账户维护系统相关的要求。

您的书面说明必须包括以下方面的要求：

撤销不再需要的访问权限
撤销不再使用的访问权限
在用户离开您的组织后立即撤销访问权限

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-16.a 中选择 a-c 中的任何一个选项，您还将需要回答以下问题：

3.1-16.a.ii. 请上传至少一份证据（例如，工具配置或屏幕截图），证明您如何在实践中实施这项保护措施：部署用于维护账户的系统。

您的证据必须表明您如何执行以下操作：

撤销不再需要的访问权限
撤销不再使用的访问权限
在用户离开您的组织后立即撤销访问权限

如果您在问题 3.1-8 中选择“是”，您还将需要回答以下问题：

3.1-17.a. 您在上个问题中提到，您将开放平台数据存储在后端环境中。对于您用来处理后端环境的开放平台数据的软件，您是否采取了以下所有措施：拥有明确定义的可重复方式来识别第三方软件中能解决安全漏洞的补丁；根据风险确定可用补丁的优先顺序（例如，根据 CVSS 严重程度）；持续打补丁

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 这不是必要措施，因为我的组织使用无代码后端解决方案。

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-17.a 中选择“是”，您还将需要回答以下问题：

3.1-17.a.i. 您在上个问题中提到，您部署了用于持续更新代码和后端环境的流程。请上传书面说明（例如政策或程序文档），其中应载明您如何持续更新代码和后端环境。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-17.a 中选择“是”，您还将需要回答以下问题：

3.1-17.a.ii. 请上传至少一份证据（例如，工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：持续更新代码和后端环境。

3.1-17.b. 对于您在移动应用（例如 Android 应用或 iPhone 应用）中用来处理开放平台数据的第三方软件，您是否采取了以下所有措施：拥有明确定义的可重复方式来识别第三方软件中能解决安全漏洞的补丁；根据风险确定可用补丁的优先顺序（例如，根据 CVSS 严重程度）；持续打补丁

[ ] 是

[ ] 这不是必要措施，因为我的组织并未在移动应用中处理开放平台数据。

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-17.b 中选择“是”，您还将需要回答以下问题：

3.1-17.b.i. 您在上个问题中提到，您会持续更新您的移动应用中的第三方软件。请上传书面说明（例如政策或程序文档），其中应载明您如何持续更新您移动应用中的第三方代码。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-17.b 中选择“是”，您还将需要回答以下问题：

3.1-17.b.ii. 请上传至少一份证据（例如工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：持续更新您的移动应用中的第三方代码。

3.1-17.c. 对于操作系统、杀毒软件、在笔记本电脑上运行的浏览器以及组织中的用户用于构建和运行您的应用的其他系统和应用程序，您是否采取了以下所有措施：拥有明确定义的可重复方式来识别第三方软件中能解决安全漏洞的补丁；根据风险确定可用补丁的优先顺序（例如，根据 CVSS 严重程度）；持续打补丁

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-17.c 中选择“是”，您还将需要回答以下问题：

3.1-17.c.i.您在上个问题中提到，您会持续更新用于构建和运行您应用的系统和应用中的第三方软件。请上传书面说明（例如政策或程序文档），其中应载明您如何持续更新这些第三方软件和杀毒软件。

请标出或圈出您政策当中列明这些情况的地方。

此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-17.c 中选择“是”，您还将需要回答以下问题：

3.1-17.c.ii. 请上传至少一份证据（例如，工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：持续更新第三方软件和杀毒软件。[首要问题]

3.1-21. 您是否提供了公开的渠道，供用户向您报告此应用的安全漏洞问题？

[ ] 是

[ ] 否

如果您在问题 3.1-21 中选择“否”，您还将需要回答以下问题：

3.1-21.a. 您是否提供了公开的邮箱、手机号或联系表单，方便用户与您取得联系，您会定期关注哪种联系方式？

[ ] 是

[ ] 否

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22. 您在上个问题中提到，您将开放平台数据存储在后端环境中。您是否收集此后端环境的管理员审计日志？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22 中选择“是”，您还将需要回答以下问题：

3.1-22.a. 请上传书面说明（例如政策或程序文档），其中应载明您如何收集存储开放平台数据的后端环境的管理员审计日志。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您

如果您在问题 3.1-22 中选择“是”，您还将需要回答以下问题：

3.1-22.a.i. 请上传至少一份证据（例如工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：收集存储开放平台数据的后端环境的管理员审计日志。

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22.b. 您在上个问题中提到，您将开放平台数据存储在后端环境中。您是否收集此后端环境的应用程序事件审计日志？应用程序事件包括：

输入和输出验证失败
身份验证和访问权限控制失败
应用程序错误和系统事件

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

如果您在问题 3.1-22.b 中选择“是”，您还将需要回答以下问题：

3.1-22.b.i. 存储开放平台数据的后端环境的这些应用程序事件审计日志是否包含以下所有字段？

Meta 用户编号（前提是已与您分享）
事件类型
日期和时间
成功或失败迹象

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.b 中选择“是”，您还将需要回答以下问题：

3.1-22.b.ii. 请上传书面说明（例如政策或程序文档），其中应载明您如何收集存储开放平台数据的后端环境的应用程序事件审计日志。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.b 中选择“是”，您还将需要回答以下问题：

3.1-22.b.iii. 请上传至少一份证据（例如工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：收集存储开放平台数据的后端环境的应用程序事件审计日志。

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22.c. 您在上个问题中提到，您将开放平台数据存储在后端环境中。您是否部署政策或程序来保护此后端环境的审计日志免遭未授权的访问或篡改？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

3.1-22.d. 您在上个问题中提到，您将开放平台数据存储在后端环境中。对于此环境，您是否将审计日志保留至少 30 天？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是 [ ] 否

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22.e. 您在上个问题中提到，您将开放平台数据存储在后端环境中。您是否使用自动化解决方案来检查此后端环境的应用程序事件审计日志，从而发现一些迹象来得知可能造成风险或损害的日常安全事件或事故（例如：有人试图绕开访问控制或利用软件漏洞）？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

如果您在问题 3.1-22.e 中选择“是”，您还将需要回答问题 3.1-22.e.i.您是否至少每 7 天检查一次存储开放平台数据的后端环境的应用程序事件审计日志？

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.e 中选择“是”，您还将需要回答以下问题：

3.1-22.e.ii. 请上传书面说明（例如政策或程序文档），其中应载明您如何至少每 7 天检查一次存储开放平台数据的后端环境的应用程序事件审计日志。

请标出或圈出您政策当中列明这些情况的地方。

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.e 中选择“是”，您还将需要回答以下问题：

3.1-22.e.iii. 请上传至少一份证据（例如工具配置或应用程序屏幕截图），证明您如何在实践中实施这项保护措施：至少每 7 天检查一次存储开放平台数据的后端环境的应用程序事件审计日志。

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22.f. 您在上个问题中提到，您将开放平台数据存储在后端环境中。您是否检查此环境的管理员审计日志，从而发现一些迹象来得知可能造成风险或损害的日常安全事件或事故（例如：有人试图绕开访问控制或利用软件漏洞）？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

[ ] 是

[ ] 否

如果您在问题 3.1-22.f 中选择“是”，您还将需要回答以下问题：

3.1-22.f.i. 您是否至少每 7 天检查一次存储开放平台数据的后端环境的管理员审计日志？

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.f 中选择“是”，您还将需要回答以下问题：

3.1-22.f.ii 请上传书面说明（例如政策或程序文档），其中应载明您如何至少每 7 天检查一次存储开放平台数据的后端环境的管理员审计日志，从而发现日常安全事件或事故的迹象。

请标出或圈出您政策当中列明这些情况的地方。

如果您在问题 3.1-8.a 中选择 b - f 中的任何一个选项，您还将需要回答以下问题：

3.1-22.g. 您在上个问题中提到，您将开放平台数据存储在后端环境中。如果您发现会对此后端环境的审计日志造成风险或损害的日常安全事件或事故，您是否部署了进一步调查的流程？

“后端环境”是指您的顾客或客户能远程访问的云端或服务器环境，例如网站或网页 API。

提醒：如果发生安全事件或事故，我们的政策要求您及时向我们报告。

[ ] 是

[ ] 否

免责声明：此问题只适用于部分开发者。请参阅您的具体评估以了解这些要求是否适用于您。

如果您在问题 3.1-22.g 中选择“是”，您还将需要回答以下问题：

3.1-22.g.i. 请上传书面说明（例如政策或程序文档），其中应载明您如何调查存储开放平台数据的后端环境中可能对您的审计日志造成风险或损害的日常安全事件或事故。

请标出或圈出您政策当中列明这些情况的地方。

3.1-23. 您是否为有权访问开放平台数据的用户部署了安全流程？

这些流程可以包含下列一项或多项：

先进行背景调查，再授予开放平台数据的访问权限
先签署保密协议再授予开放平台数据的访问权限。对新加入的人员进行信息安全政策或程序培训
持续定期举行安全意识培训（即每年一次）
对可访问开放平台数据的具体职位开展相关培训
要求员工在离开组织后归还资产（例如笔记本电脑或手机）

[ ] 是

[ ] 否