在移动互联网时代，APP是移动互联网服务的主要载体，亦沦为不少企业非法获取个人信息的工具。因此，无论是在《中华人民共和国网络安全法》（以下简称“《网安法》”）基础上陆续出台的《信息安全技术-个人信息安全规范》（GB/T 35273，以下简称“《个人信息安全规范》”）《APP违法违规收集使用个人信息行为认定方法》《移动互联网应用程序（APP）个人信息收集基本规范》等文件，亦或是中央网信办、工信部、公安部等监管部门历次针对隐私政策、SDK等第三方插件开展的专项整治活动，均将APP收集、使用个人信息作为重点。

在此背景下，11号文借助国家推行的首个APP安全认证制度，形成APP领域的“正面清单”，以此在鼓励APP运营者申请安全认证的同时，推动有关个人信息安全保护的规则落到实处。

APP安全认证属于自愿申请的认证，不在强制性认证范围之列，但取得安全认证，对于APP运营者而言，可以获得如下优势：

尽管11号文明确开展APP安全认证工作的根据在于《网安法》与《中华人民共和国认证认可条例》，但正如11号文所述，APP安全认证的目的在于规范APP收集、使用用户信息特别是个人信息的行为，加强个人信息安全保护，因此APP安全认证所依托的核心认证依据为《个人信息安全规范》。这亦在随后发布的APP安全认证的落地文件中得到了充分的体现：

除《个人信息安全规范》之外，《APP安全认证实施规则》及《APP安全认证实施细则》明确APP安全认证依据还包括相应规范、标准，如《移动互联网应用程序（APP）个人信息收集基本规范》《APP违法违规收集使用个人信息自评估指南》 以及《APP安全评价指标》。

《APP安全认证实施规则》及《APP安全认证实施细则》均明确APP安全认证的依据原则上应执行国家标准化行政主管部门发布的最新版本。新近修订完成的《个人信息安全规范》（GB/T 35273-2020）将于2020年10月1日生效，但CCRC在试点认证过程及在《自评估表》中已将修订版的要求纳入评价要点。

综上，APP安全认证本质上是对APP及其运营者遵守《个人信息安全规范》的符合性评价。

首先，需要明确的是APP安全认证适用于各个服务类型和领域的APP。《APP安全认证申请书》枚举了地图导航、网络约车、即时通讯等37种典型服务类型的APP，如申请认证的APP不属于37类中的任一类型，APP运营者亦可在“其他”选项中自行填写其APP所属服务类型。

其次，APP安全认证适用于移动互联网应用程序开展的数据安全认证。根据《移动互联网应用程序信息服务管理规定》第2条、《工业和信息化部关于加强移动智能终端进网管理的通知》第1条，“移动互联网应用程序”是指通过预装、下载等方式获取并运行在移动智能终端上、向用户提供信息服务的应用软件，而“移动智能终端”是指接入公众移动通信网络、具有操作系统、可由用户自行安装应用软件的移动通信终端产品。根据我们从CCRC了解的信息，手机、平板电脑、车载智能终端、智能电视、智能可穿戴设备等移动通信终端中可通过预装、下载等方式获取及运行的APP皆可申请APP安全认证。

根据《APP安全认证实施细则》，APP安全认证原则上应按照APP版本申请认证。经与CCRC核实，对于同一名称的APP可参照如下原则确定申请单元与范围：

申请APP安全认证，需提交APP符合安全技术标准的检测报告，检测依据为《信息安全技术-移动智能终端应用软件安全技术和测试评价方法》（GB/T 34975-2017，以下简称“34975标准”）。为此，APP运营者需提交其自行或委托第三方检测机构出具的符合34975标准的检测报告，这是申请APP安全认证的前提条件。

如APP运营者自行作为安全评估主体，CCRC在收到检测报告后，将对检测报告中的测试方法、测试过程与测试结果等内容进行审核；如APP运营者委托CCRC认可的第三方检测机构进行安全检测的，则CCRC直接采信第三方检测机构出具的检测报告，不再对检测报告进行审核。

上述检测报告评价的是APP的安全性，在此基础上，CCRC确定的APP安全认证检测机构对APP是否符合《个人信息安全规范》（即合规性）进行检测，二者相互衔接但不可混淆。负责APP安全认证的检测机构由CCRC根据认证业务需要和技术能力确定。目前APP安全认证检测机构名录尚未发布，但根据过往实践来看，“国家队”的检测机构，如北京信息安全测评中心、国家工业信息安全发展研究中心、上海信息安全测评认证中心、中国电子技术标准化研究院、中国泰尔实验室等机构基本会在名录上。

APP安全认证的认证模式为“技术验证+现场审核+获证后监督”，即APP运营者在分别通过“技术验证”和“现场审核”后，需对获证APP持续符合认证要求进行自评价，并将持续受到CCRC的日常监督和专项监督。

具体而言，APP安全认证流程如下：

结合第七问中的认证流程可知，CCRC的认证时限，即自CCRC受理认证申请之日至其做出认证决定之日一般为90个工作日。上述认证时限包括资料审核时间、技术验证时间、现场审核时间、认证决定和证书批准时间以及制作时间。

需要注意的是，上述90个工作日的认证时限不含APP运营者根据检测机构和CCRC出具的不符合项报告进行整改的期限。根据CCRC的口径，目前CCRC未对整改周期作出硬性规定。但为缩短获证周期，减少在认证过程中发现的不符合项，同时亦为避免出现中止认证的情形，APP运营者宜事先按照APP安全认证落地文件的要求，整改妥当后，再提交认证申请。

APP安全认证证书的有效期为3年。当认证要求（如标准）发生变化时，APP运营者应按规定期限换证，超过规定期限未换发的认证证书自行失效。

当获证APP、APP运营者或CCRC规定的其他事项发生变更时，获证APP运营者需向CCRC提出变更申请，CCRC将根据变更申请的内容，决定批准变更或要求重新进行技术新技术验证和/或现场审核方能批准变更。

此外，当获证APP、APP运营者发生应当暂停、撤销或注销认证的事项时，CCRC亦将按照规定暂停、撤销或注销获证APP的安全认证。

对于APP运营者而言，获证所需成本亦是重要考量因素。根据竞天公诚网络与数据法团队获得的信息，APP安全认证所需费用如下：