零壹新科技(深圳)有限公司，零零壹支付

近年来，个人信息泄露引发了“校园贷”、“定期贷”、“杀猪”等一系列社会事件，给金融环境带来了负面影响。其中，APP因个人信息泄露受损最为严重，部分企业利用APP违规收集个人信息。例如，“暴风金融”、“51人品贷”、“融360”三款金融APP因涉嫌违法违规收集、使用个人信息被工信部点名。

为遏制这些违法处罚行为，营造安全健康的金融环境，中国人民银行将于2019年对APP个人信息安全、账户安全、密码安全、数据安全、隐私政策等进行规范。《中国人民银行关于发布金融行业标准加强移动金融客户端应用软件安全管理的通知》已发出。金融机构必须按照此标准修改各自的金融应用程序。

为鼓励金融机构、金融科技企业、互联网金融企业积极参与APP修改，规范个人信息的收集和使用，灵易智库共进行了37个评级，分为三类，我们编制标准，对各企业的财务状况进行评估APP包括下载、注册、使用等。

灵异智库出品

作者| 任万生

此次，灵易智库对“拉卡拉网络科技有限公司”的金融应用“拉卡拉”进行了评估。评估结果显示，在37项评估标准中，拉卡拉APP有29项符合标准，6项不符合标准，2项部分符合标准。

一、灵易金融APP审核流程及标准

1.评估过程：评估分为三个主要阶段。

使用前：首先检查隐私政策是否符合您的要求。是否公开收集、使用个人信息的规则；是否明确收集、使用个人信息的目的、方式和范围；是否未经用户同意收集、使用个人信息；是否删除。 是否有修正功能、如何举报投诉以及其他信息是否公开。

注册时：请检查您的密码是否存在安全漏洞。例如，登录密码和交易密码是否独立、密码是否明文显示、是否有即时密码保护、是否有密码复杂度验证等。

何时使用：判断是否存在个人信息泄露的风险。例如，个人信息是否以纯文本形式显示，或者是否有实时保护功能。

2、评价标准。

评估报告主要依据央行下发的《移动金融客户端营业软件安全管理规范》、工信部下发的《关于开展App违法违规收集使用个人信息专项治理的公告》、《工业和信息化部关于开展APP侵害用户权益专项整治工作的通知》、《App违法违规收集使用个人信息行为认定方法》。

2、金融APP评级：拉卡拉

1、使用前：隐私政策是否符合您的要求？

1) APP是否包含隐私政策？是否有弹窗或其他明显方式提示用户阅读？是否默认接受隐私政策？是否易于访问？

评价结果：满意。当用户打开应用程序进行注册时，必须先检查《隐私政策》，然后才能继续下一步。当用户查看隐私政策时，会自动弹出内容《隐私政策》，完全满足轻松访问的要求。

2) 隐私政策是否易于阅读？

评价结果：满意隐私政策以粗体标明个人信息收集范围，易于理解。

3）隐私政策是否包含有关个人信息收集和使用的规则？

评价结果：满意。拉卡拉APP包含个人信息的使用规定，以及收集方式、相关技术、共享、转让、存储、修改等规定。

4）用户是否明确表明收集、使用个人信息的目的、方式和范围？

评价结果：满意。拉卡拉App详细介绍了收集个人信息的三种主要方式，以及个人信息的使用目的和范围。

5）利用用户的个人信息和算法进行定向信息推送，同时给予用户非定向信息推送的选择。

21）应严格限制初始登录密码和初始交易密码的使用，如果设置了初始密码，应强制用户在首次登录后更改初始密码。

评价结果：不满意。

22) 修改密码前，应重新验证用户身份，并限制原密码输入错误的次数。

评价结果：满意。用户修改登录密码时，必须通过手机号码验证、身份证验证、图形验证、手机验证码、姓名验证才能完成密码修改。对于支付密码，用户只有五次错误输入的机会。

23) 如果您更改密码，新密码不得与原密码相同。

评价结果：部分满意。支持新登录密码与原密码相同，但不支持支付密码与原密码相同。

24) 重置密码时，您必须通过短信验证码、凭证验证等方式验证您的身份，且必须使用两个或多个因素来验证您的身份。

评价结果：满意。当用户想要修改登录密码时，必须通过至少四个因素才能完成密码修改：手机号码、身份证、图形验证、手机验证码。

25）必须采取有效措施提醒客户不要对常用软件或网站设置相同或者相似的用户名和密码组合，并采取独立有效措施诱导客户设置支付密码。

评价结果：满意。不支持“123456”等连续数字支付密码。不支持三个或更多连续的相同号码，例如“111122”。

26) 客户端应用软件必须实现身份认证过程中的防截屏和录屏功能，如：输入手势验证码、登录密码等。

评价结果：不满意。用户可以通过录屏或截图的方式找回登录密码或手势密码。

3、使用服务时，请判断是否存在个人信息泄露的风险。

27）客户端应用软件必须立即保护客户输入的信息，如：卡验证码、卡有效期、银行卡账号、身份证号码、手机号码等信息。

评价结果：部分满意。如果输入现金卡号或身份证号码，则会被替换为“·”。用户输入手机号码时没有实时保护。

28) 如果您未登录，则不会显示与个人信息主体相关的用户识别信息（:卡验证码、卡有效期、登录密码、支付密码等）。

评价结果：满意。

29) 登录时显示个人财务信息，但除银行卡有效期外，不应以明文显示用户身份信息（:卡验证码、登录密码、支付密码等）。

评价结果：满意。

30) 如果用户登录后，在显示个人财务信息时，信息的主体，直接或组合，例如银行卡号、客户法定姓名、手机号码、证件类型或其他识别信息；我们需要显示使我们能够做出决定的信息。选择是否阻止展示。

评价结果：满意。

31) 当提示客户身份验证失败时，错误消息应模糊处理，以免泄露敏感数据，例如用户的完整帐号、交易金额等。

评价结果：满意。

32）除交易对账、汇款确认等需要用户确认的情况外，客户端应用软件不对：银行账号、身份证号码、手机号码、姓名等负责。

评价结果： 满意

三、评价结果

拉卡拉APP的37个评价标准中，有29个符合标准，6个不符合标准，2个部分符合标准。

扫描二维码添加作者微信

专注金融科技专利