政务APP安全风险分析及应对

章 恒 禄 凯

(国家信息中心信息与网络安全部 北京 100045)

(zhangheng@sic.gov.cn)

在当今全球经济迅速发展的信息化时代，信息量正呈现出爆炸式的增长，互联网技术也在不断地改进完善与推进，人们不再仅仅满足于只能在固定场所使用互联网，移动互联网已经作为一种新型的移动通信与互联网技术相结合的创新产物，在这种大背景下孕育、产生并逐渐发展起来.随着各国在近几年移动互联网技术领域持续投入，逐渐克服和解决在其发展中可能遇到的无线接入、切换与路由、资源管理、服务质量的保障、网络安全等一些关键技术性问题，并在移动互联网、移动通信、无线网络、嵌入式系统等相关技术方面取得突破，促进了移动互联网技术不断创新.

中国互联网信息中心发布的《中国互联网络发展状况统计报告(2020)》数据分析显示，截至2020年3月，我国注册移动互联网民的用户规模已经高达9.04亿，普及率已经达到64.5%，我国的智能手机网民用户规模已经达到8.97亿，网民中每天使用超过1部智能手机或者无线网络上网的网民比重也已经达到99.3%[1].台式电脑、笔记本电脑以及平板电脑的网络使用率已经明显下降，手机不断地发展挤压其他一些用于个人的网络上网使用设备.以移动互联终端设备为技术核心的各种移动互联智能监控装置，成为社会万物移动互联的重要技术基础.根据《中国移动互联网发展报告(2020)》的相关数据分析显示，移动电子政务信息服务正在逐步迈向新发展时代，集约化、规范化发展步伐正在不断加快.移动化和互联网的发展促进了我国政务信息服务从“网上办”逐步走向“指尖办”.截至2020年3月，我国提供在线网民政务文件公开信息化服务的注册用户数量已经高达6.94亿，占全国地区整体在线网民的76.8%，比2018年底同期同比增长76.3%[2].在新冠肺炎疫情期间，国家政务服务平台重点推出“国家平台新冠肺炎防疫健康信息码综合服务”，各地省市人民政府通过与国家政务平台“健康码”的信息对接服务方式逐步实现了互动确认和信息共享.

在移动应用业务大规模发展的同时，随之而来的各类安全问题也逐步暴露出来，信息泄露、恶意代码、违规内容等安全事件频频出现，一些移动应用信息发布平台和经销商的安全意识淡薄、安全监督管理能力差、管理风险防范措施落实不到位，也加剧了移动应用的风险.

1 互联网+政务服务

2016年12月，国务院办公厅正式发布印发《“互联网+政务服务”技术体系建设指南》，明确了“互联网+政务服务”作为信息网络服务平台的主要总体技术架构和主要系统功能组成，确立了加快建成一个总体部门联动、各职能部门之间协同、省级政府统筹、一网通办的“互联网+政务服务”网络技术和信息服务体系的建设战略目标，实现了我国政务信息服务的系统信息化、精准化、便捷性、平台一体化、协同性，提升了各级人民政府信息服务水平，使得人民群众在行政办事中更加方便、高效，进一步提升了群众对服务型政府的满意度.

“互联网+政务服务”的快速发展打破了政府各部门之间的壁垒，加强了政府部门信息的公开共享，使得各部门不用再重新收集和整理信息，提升了政府的办事效率，同时为民众提供了更加快捷高效的服务.但是问题也随之而来，“互联网+政务服务”在推行和提升过程中，不可避免地更多地对个人信息进行采集和利用，增加了这些个人信息数据在互联网的流通、传播，也面临被过度采集和泄露以及不正当利用的风险.为了避免产生这些风险，除了要增加个人信息处理者、控制者的个人信息保护意识和能力，还应在国家层面推出相应的规范、法律作为保障.

欧盟于2018年5月25日正式颁布了《通用数据保护条例》(General Data Protection Regulation, GDPR).新条例极大扩展了其适用范围，对于业务范围涉及欧盟成员国领土及其公民的企业都具有约束力，同时更加注重数据主体保护的权利，实行严格的问责制度，加大了处罚力度[3].GDPR的颁布体现了欧盟对个人信息保护的重视程度，监管更加严格，使得相关企业需要制定相应的措施来确保符合GDPR的规定.

2018年5月1日，我国推荐性国家标准《GB/T 35273个人信息安全规范》正式实施，2020年发布了该标准新版.该标准的实施对个人信息收集存储使用单位是否合规提出了更明确的要求，除了信息安全要求的完整性、保密性、可用性以外，还要求具备透明性、可干预性、不可联结性等特征.该标准为相关单位进行个人信息保护体系制度建设提供了具体的指导意见，督促相关单位完善内部管理和隐私政策制定，保障民众个人信息的安全[4].

2 政务APP安全状况

随着“互联网+政务服务”的推进，政务APP作为我国移动互联网的重要组成部分，随着我国移动互联网和其他移动智慧终端的快速普及和发展，已日益渗透到人们的日常生活中.根据电子政务信息安全等级保护测评中心随机抽样统计数据分析结果显示，北京、广东、浙江的政务APP数量占比分别为27%,11.72%，7.86%，其检测结果显示，北京地区的政务APP检出漏洞数量占总漏洞的28.61%，居全国首位，其次是广东、浙江、上海等地，可以清楚地看出目前市场上的政务APP仍然存在不少安全问题，而北京市作为国家的政治中心，其中政务APP的数量和发现漏洞率占比均是最高.

移动互联网技术的快速发展带来价值的同时也带来了多样化的安全风险，网络边界的模糊性、移动平台开放性、开发语言可逆向性等众多问题无时无刻都在威胁着移动系统的安全.

2.1 政务APP的特征

政务APP作为政府创新履职和为民服务模式，旨在建立全新的移动网络政务服务平台，加强政民互动，满足公共服务需求，提高政府行政效率.政务APP是一种泛指地方各级人民政府和有关公共服务部门根据其工作要求，自行或者授权第三方共同开发的一种完全可以在智能手机、平板电脑以及其他移动终端上使用的政策性软件应用程序，政务APP以提供公共服务的方式为导向，依托互联网和信息技术，实现对政府公共服务的“随身携带”，达到了让政策和数据多跑路，让社会群众少跑腿的目标.

目前，政务管理APP软件根据其主要使用者人群的情况可以划分为以下2类：第1类人群指的主要是各级政府职能管理部门、公共服务管理机关和居民社区，他们充分利用我国移动智能互联网和移动互联网的各种信息处理技术手段，以政务APP和其他移动智能终端应用软件的结合形式，为全国的社区群众提供各类电子政务和其他公共服务，包括各类政务政策宣传、政民沟通互动、政务咨询资料下载查询、政务信息管理等，是“互联网+政务服务”的重要应用载体.第2类是政府办公人员所使用的APP，包括办公服务类、社交通信类、生活服务类、系统工具类等.政务APP主要是通过移动应用市场进行发布，同时，也有少量的APP通过其门户网站、官方微信公众号等途径进行发布.

随着“互联网+政务服务”的推进，各种类型的终端和网络互联互通，移动接入为移动政务办公带来了较大的安全隐患，成为制约移动政务发展的一个重要因素.面对当前日益猖獗的多样性网络威胁，移动APP自身的安全脆弱性，以及应用自身的漏洞容易被不法分子利用，进而造成暗中实施窃取个人隐私、恶意违规扣费等严重危及用户合法权益的情况时有发生，政务应用的安全形势不容乐观.

政务类APP不仅面临着高危漏洞安全风险，同时也面临着运营和维护乏力等问题，很多地方政府部门在研究和开发一款政务APP时，仍旧是着眼于注重前期的建设资金投入，而忽略后期的维护模式，以至于这些政务APP的版本迭代缓慢，漏洞不能及时得到有效修复，甚至还存在大量僵尸应用.政务信息类网站APP的信息发布量多年保持持续快速增长，与此同时，网络安全受到严重威胁的影响范围和威胁内涵也在不断扩大及演化，安全形势和挑战日趋严峻.在此背景下，确保政务网络和数据信息的安全可控逐渐成为政府部门在政务APP发展工作中的重中之重.

2.2 移动恶意程序

根据国家计算机网络应急技术处理协调中心发布的《2019年我国互联网网络安全态势综述》显示，2019年新增各类移动终端互联网恶意应用数量279万余个，其中具有流氓行为、资费消耗等低危恶意行为的APP数量约占69.3%，具有远程控制、恶意扣费等高危恶意行为的APP数量约占10.6%[5].

移动恶意程序的变化非常快，并且其危害性极大，移动恶意程序可以时刻实现监控和检测被感染手机用户的所有电子通话以及短信接收的情况，进而使得它们可以随意窃取手机用户的数据，在用户毫无知觉的状态下，将手机用户隐私数据发送到网络上并传递给黑客.如2015年爆发的蜥蜴之尾木马，一旦手机被恶意攻击感染，这种恶意的程序会迅速感染系统各种客体，例如感染系统的库文件、替代系统的文件、注入系统的进程、偷取手机用户的信息、监视通话与短信，对手机用户的个人隐私安全造成危害，而且这类移动恶意攻击的形式及种类随着互联网络技术的发展也在飞速迭代和更新.相对于应用程序更新较慢的政务行业领域来说，这是致命的.如何进行移动恶意程序的防护与自身移动应用的安全稳定运营已引起越来越多的政府企事业单位重视.

2.3 APP权限的过度使用

用户在下载APP安装时发现，有些APP可能要求用户获得除APP业务以外的其他权限，例如阅读通信录、图片等不合理的权限，而非此即彼“全部允许”和“取消安装”的授权模式，使得用户在下载过程中无法正确识别和管理自己所有应用的权限，只能选择被动地接受.而部分隐私信息阅读对于应用如何更好地运行实际是毫无明显效果的，该行为对于用户的隐私构成了侵害，用户的隐私并不应当成为制造商牟利的工具.

艾美咨询发布的《2018中国手机APP隐私权限测评报告》中指出：54.3%的受访网民知道APP泄露隐私，但同时表示没有办法仍会继续使用；27.1%的受访网民知道威胁存在，并表示采取了抵制措施[6].这种让用户开放不合理使用权限的现象属于强迫性行为，移动应用APP厂商这些行为是违规的甚至可以说是违法的，对用户造成了严重影响.

2.4 开发安全隐患

软件应用的开发过程中，如果不注重软件开发安全，将会为后期移动端应用的安全稳定运行埋下隐患.如在开发的过程中存在大量开发工作外包、开发人员不懂安全开发知识、缺乏安全意识等都会造成开发层面的安全风险，如何有效规避由于不当开发造成的风险变得尤为重要.

对于政务行业来说，如果存在开发层面的安全风险，那么将面对的不仅仅是简单的漏洞修复问题，还可能造成用户数据的泄露，而这些数据包含着终端用户的个人敏感信息和政务信息，一旦发生类似问题，对民众满意度和政府部门形象都会造成很大的影响.针对于上述现状，如何从软件开发伊始就开始进行安全知识、安全开发规则的培训学习，受到越来越多政务APP开发者的重视.然而通过测试发现，虽然大部分开发者或开发单位已经进行了开发层面安全问题的处理，但是仍有相当一部分政务APP暴露出开发安全风险，整体行业的安全形势不容乐观.

2.5 盗版仿冒隐患

目前应用市场中的很多APP都未采用可靠加固手段进行整体安全防护，造成APP代码易被破解、篡改，攻击者可轻易植入广告、木马、病毒，重新打包上传到第三方软件市场供用户下载.

部分第三方发布渠道并没有严格安全审查的机制，上架应用后存在着安全问题，因而成为攻击者实施非法行动的重要研究对象.很多政务APP是无意中下载了被自己植入恶意代码的政务APP或者是盗版仿冒APP，用户一旦下载这类政务APP，轻则可能会被网络垃圾信息和恶意广告所侵袭和骚扰，重则可能导致网络隐私信息的泄露、恶意违规扣费、流量亏损等危害，如果政务APP在遭到盗版后被自己植入了广告和修改后发布的信息内容，可能会对政务APP产生误导，甚至有些可能还会影响到党政事业单位的形象，进一步影响经济社会稳定发展.

2019年，CNCERT通过其自主监控与投诉举报的方式抓取了大量出现在网络上的仿冒APP.这些仿冒APP具有容易被人复制、版本更新频繁、蹭网络热点迅速传递等功能，例如春运期间就可能会出现大量的仿冒“12306”“智行火车票”APP，在“个人所得税”APP正式推出期间，也可能会出现大批的仿冒应用.

2.6 业务安全隐患

随着互联网经济的爆炸式发展，政府部门也完成了服务功能的转型，服务模式由以前单一的柜台服务向多元化发展，同时服务内容也更加便捷和人性化.而随着业务模式与业务形态的转变，随之而来的业务风险也在逐年增高.常见的业务风险有交易欺诈、爬虫风险等.

交易诈骗主要是以移动应用劫持的方式来骗取用户支付信息，其中涉及支付诈骗、虚假退款、“支付故障”等行为.对于政务行业来说，一旦发生交易欺诈，首先就是损害终端用户的经济利益，其次对相关政府部门的形象也会产生影响.

信息公开和公示是我国政府职能服务化发展的必然趋势，能够给广大人民群众日常的生产和生活带来巨大的方便，但与此同时也给不法分子带来可乘之机.不法分子通过爬虫长期全方位地爬取各类政务APP公开数据，经过精心的数据储备、整合、分析，就可获得有价值的情报信息.这类信息可能包括我国的金融体系薄弱环节、国土资源的分布、战备能源的储备能力、装备制造业的水平、战时医疗能力的承载力，以及各城市的战略交通布局等重要情报信息.在大数据情报分析能力大幅跃升的今天，有这些基础数据就不难制定相应的打击策略.

3 政务APP脆弱性分析

LSA分类法将Android应用漏洞分为4类：组件安全漏洞、数据安全漏洞、源文件安全漏洞、业务逻辑漏洞[7].本文在此基础上进行了扩展，将APP漏洞分为通信安全、通用安全、组件安全、代码安全、数据安全、业务安全6大类.通过对抽样检测的政务行业APP的漏洞进行统计分析，我们发现目前政务行业APP存在的问题还有很多.如图1所示，从漏洞统计结果来看，目前最大的问题是代码安全问题，其次是数据安全和组件安全问题，风险较少的是业务安全问题.通过图1不难看出，政务行业的APP开发者有安全开发的意识，从一定的角度解决了业务安全问题，但是对于其他层面的安全缺乏相应的知识和手段，导致这些安全问题正在威胁政务行业的信息化发展脚步，也时刻威胁着个人隐私的安全，因此，提高整个行业的移动安全建设，提升行业相关单位移动安全意识刻不容缓.

图1 政务行业Android应用安全漏洞类型分布比例

通过对漏洞等级进行统计，发现绝大部分漏洞属于中高危类型漏洞，而且中危漏洞接近半数.高危漏洞排名靠前的为Java代码反编译风险、SO文件加固检测、本地SQL注入检测，众所周知Android的应用由Java代码撰写的dex文件和SO文件组成，如果没有相应的加固策略，很容易通过一些手段获取源码(如反编译工具，动态调试等等)，一旦源码泄露，将会对政务业务产生巨大的威胁.比如源码被反编译后，黑客进行注入恶意代码重新发布，伪装成原APP，最终导致用户敏感信息泄露，危害到移动应用的整体安全运行.中危漏洞排名靠前的是数据越权备份风险、Java层关键函数风险和日志泄露风险，这些问题都能造成用户信息泄露.

根据典型漏洞占比统计(如图2所示)，可以发现排名靠前的漏洞基本都是容易造成信息泄露的漏洞，也可以看出目前行业开发者对于移动应用相关安全防护知识和防护方法了解仍有欠缺，安全防护意识也有待提高.这些政务APP的漏洞一旦被黑客利用，不仅会威胁民众的个人敏感信息和财产安全，还可能因此影响相关政府部门的形象.

图2 政务行业Android应用典型漏洞比例

4 典型风险场景分析

1) 敏感信息泄露

由于政务APP的业务办理功能一般都涉及人员信息采集(身份认定)、业务办理范围的材料采集、信息存储、专业网络信息和互联网信息交互等，都涉及到个人隐私、行业数据安全，这些重要信息也成为攻击者攻击的主要目标.

移动APP会在本地数据库中存储一些敏感信息，非root或者越狱的场景下，其他应用程序都不能读取所有的数据.但是在使用手机root或者越狱时，恶意程序就能直接阅读这些文件，从而实现偷盗和篡改用户个人信息的目的，如果APP未作安全加固很容易被攻击者恶意获取和篡改.另外，攻击者也会用界面劫持、软键盘输入、仿冒短信、病毒木马、HOOK攻击等手段窃取敏感信息.

除了需要注意防止APP被非法的root或者越狱，还需要特别注意客户端和服务终端在进行敏感信息传输时是否已经采用相应的加密算法和数据传输协议对数据进行了保护，如果这些保护措施不到位，也会导致APP应用中的敏感信息完全暴露在黑客的眼皮底下，黑客会轻而易举地获取这些敏感信息，最直接的损失可能就是当前用户账号遭受盗窃、网银遭受盗刷等.同时，这些敏感信息的泄露也可能会引起黑客试探性对该服务端网站进行攻击，导致整个服务器陷入危险的境地.无线传输的数据容易被第三方轻松拦截，由于客户端与服务器之间的数据传输需要遵循无线通信协议中所指定的格式和内容类型，如果没有使用任何加密措施，通过网络嗅探装置及一些技术手段，传输出的数据可被分解为网络层的数据包并对其进行分析，直接暴露了用户的各种重要数据，例如用户名，密码.

相对于其他行业的APP，政务行业APP一旦发生敏感信息资料泄露，其危害更大，因为其不仅仅涉及到用户的敏感数据安全，同时关系着社会的稳定发展.

2) 内容篡改

移动应用内容被恶意篡改之后进行二次打包不仅会严重威胁移动应用的开发商版权及其经济利益，同时可能导致使用户在网络上遭受不法应用的恶意侵犯.例如没有对移动传输数据进行安全保护造成流量劫持、移动网络应用被二次打包后重新发布等情况，均可能导致移动网络应用程序代码被恶意篡改，使得不法攻击者随时都可以删除或更换移动网络服务器客户端中的资源图片、设备信息、图标，借此达到植入网络广告，发布涉政、涉黄等敏感信息的目的.

当前政务APP作为我国政民群众互动最为重要的工具和手段，大多肩负着政府信息公开和服务政策的责任.一旦其中内容遭到篡改，可能会对社会公众舆论造成误导，甚至影响到政府的真实性和公信力;恶意二次打包除了能够对手机移动应用内容进行篡改以外，还可以通过自己的方式实现对应用网络钓鱼、增加病毒源代码、增加恶意源代码，从而达到偷盗和破坏自己登录的账号密码、支付账户密码，拦截手机验证码短信，修改自己转账的目标账号、款项等目的.《中华人民共和国网络安全法》第42条规定：网络运营者不得泄露、篡改、损毁其收集的个人信息，应采取必要的技术措施和其他必要措施确保个人信息安全[8].政务信息行业移动终端应用的主要开发者以及网络服务运营商，应严格遵守现行国家的相关法律，保障所有者提供的信息服务以及软件的安全，保证公开的政务信息及其权威性与真实度.

3) 第三方关联交易认证

政务APP交易的身份认证主要是依靠支付账号密码、短信验证码、图案密码、指纹识别以及人脸识别等来实现身份认证与交易的确认.这些传统的方式给用户带来的一个问题是：密码有时很可能是在一个社工库里被用户通过碰撞获得，密码的输入有时也很可能由恶意的程序所记录，甚至有时很可能是由高清镜头所记录，指纹有时也很可能被盗取，人脸在未知情况下很可能由手机拍摄盗取，木马也很可能偷取微博信息或者短信.所以当一个攻击者已经通过任何非法的方式、恶意的程序、木马手段获取了用户的个人信息，冒充用户的真实姓名，交易就不一定是安全的，这些用户认证的方式也不一定是可靠的.

如果政务行业移动应用的这些认证信息不安全，容易导致用户账户安全、资金安全、个人信息安全出现问题.

5 政务APP安全建议

1) 提升安全开发意识

政务APP是国家政务信息化发展的重要手段，但是目前政务APP开发多数外包给中小企业完成，中小型软件开发企业的多数产品，甚至部分大型软件开发公司的项目大多都没有采用适当的安全保障措施来确保安全控制目标的实现.作为政务APP的开发者或者开发企业，在注重APP功能便捷性的同时还必须重视安全.

在对某省政务APP评测中，挑选了运行较为成熟、便于比较的10余款APP进行测试.从数据传输安全、个人信息泄露、恶意代码篡改等APP常见安全环节进行了安全性测试，发现普遍存在数据传输安全隐患，少数存在恶意代码篡改情况.开发人员安全意识落后，结合政务APP快速发展的现状，使得政务APP的安全变得更加难以保障.

大部分的安全问题是在开发阶段引入的，因此要想提高政务APP的安全性，需从源头抓起，首先要加强开发人员的基本安全意识，特别要注意先对程序开发人员灌输基本的信息安全意识.

在设计阶段，应将安全性纳入考虑，从框架、业务、规范、核心模块等维度进行统一安全设计，建立威胁分析模型，制定相应的安全需求和安全设计规范，并根据安全开发需求完成相应安全功能的设计，规避前期业务应用设计中可能出现的应用漏洞和一些逻辑性漏洞，降低后期可能出现应用漏洞的安全风险，并制定相应的移动安全管理体系，最大程度提升移动应用的安全性.

在技术开发阶段，开发者应在充分考虑各种业务开发技术需求的前提下，制订出自己相应的安全技术开发要求和安全技术开发规范，在技术开发的过程中严格地遵循技术开发规范.在移动软件开发者们完成移动软件应用的开发之后，制定必要的安全测试工作流程和技术标准，如通过渗透性测试、源代码审计等手段，对移动软件应用和源代码进行安全及性能评估和审核，发现可能存在的安全漏洞并及时进行修复，保证移动软件应用的稳定性和安全性.

最后在移动应用发布以后，开发人员也需要关注应用运行过程中出现的崩溃、闪退等问题，便于及时修复.

2) 建立政务APP安全检测规范

对于政务APP而言，其对安全性、可靠性、性能效率等诸多质量属性有着较高要求.需要针对电子政务的实际情况，结合移动应用程序开发特点，研究测试技术，编制检测规范，并最终量化为具体的检测指标，这样可以客观地检验出政务APP的应用水平，发现其中的问题，总结运营和管理经验.另外，开发者在完成移动应用的开发任务后，需通过具备检测检验资格的第三方机构对应用进行代码安全审查.审查的目标是发现代码漏洞，减少代码渗透风险，并以详细报告的方式将弱点明细和建议提供给开发者，提升代码安全水平.

政务APP安全检测应依据国家相关标准，结合电子政务业务特点，借鉴金融、交通等行业的经验进行，可分为技术安全部分和管理安全部分.技术安全部分需涵盖客户端、通信链路和服务器端安全，在过程上需包括安装过程安全、运行态安全和卸载后安全.另外，多数政务APP需要用户的个人身份证、手机号、住址等敏感信息输入，需增加对数据安全的检测要求.数据安全检测要求至少包括数据加密安全、残留数据安全、信息篡改安全、通信数据劫持安全等.管理安全部分需包含开发组织架构、安全管理制度、业务流程管理等，通过管理手段监督和保障政务APP安全有效的落地执行.

测试机构应该通过研编政务APP安全检测规范，建立起一套科学系统的移动应用开发和检测程序，将标准化要求贯彻到移动应用开发的各个环节，促进规章制度更加完善，开发管理更加规范，人员技能更加精湛，检测手段更加可靠，相关人员标准化意识明显提高，软件质量、安全水平进一步提升.

3) 加强政务APP发布渠道管理

由于Android平台的开放性，应用市场门槛较低，没有权威发布机构，安全审核机制不够严格，来自Android平台的移动应用存在安全违规问题比例较大，甚至导致互联网上恶意应用泛滥，很多应用市场上架大量存在高危安全漏洞的APP，不仅影响应用提供者的安全，而且用户安装使用其APP时，也会受到安全威胁.

政务APP需要在使用中不断完善，版本的更新频率比较高，应用市场在Android应用供应链生态处于十分关键的位置，也是安全问题频发的环节，针对此环节应在以下几方面进一步加强建设：

首先，建立统一的政务APP发布渠道，加强对渠道的监管，建立严格的行业准入和退出机制，规范应用审核和发布流程，各环节严格把控，对于发现盗版或仿冒APP一律协调下架，确保APP发布渠道可控可管；

其次，完善应用开发者的管理规范，实施有效的奖惩措施，打击恶意开发者，防止恶意开发者浑水摸鱼；

最后，提升自身恶意应用检测能力或采购成熟的第三方检测服务，预防恶意应用进入应用市场.

6 结束语

随着当前我国政务信息化体系建设创新进程的不断深入推进，传统政务信息安全系统已经与现代云计算、大数据、移动互联网、物联网、区块链等这些网络与信息新技术相结合并进行创新应用，安全信息威胁也逐渐呈现出复杂、常态化的发展趋势.其中，由于政务APP涉及到国家政务信息，其重要性不言而喻.政务移动互联应用技术作为一个基于移动时代互联网和公共政务信息领域技术相互深度融合的新产物，不可避免地导致在实践中不断出现各种复杂问题，只有妥善地处理解决这些复杂问题，才能为广大社会民众利益提供安全、优质的公共政务信息服务.这就要求我们全面地分析政务APP的安全风险，强化安全监测和评价，加强对安全态势的感知和监测预警措施，建立健全互联网与政务APP的信息安全服务风险保障制度，提升政务APP的网络安全风险防范、应急处置的能力，为“互联网+政务服务”保驾护航.