Normas del PBOC y la NFRA: evalúe su app de banca móvil antes de cada versión.

1. 01

   Aviso PBOC 银发〔2019〕237号; JR/T 0092-2019, capítulos 4 a 6 (texto chino)

   Cumplir la base de seguridad de la app móvil

   Qué dice el texto

   La norma se aplica al software cliente de aplicaciones financieras móviles y cubre requisitos de seguridad y de gestión en diseño, desarrollo, mantenimiento y publicación. Clasifica las apps en tres tipos: de transacciones financieras, de recopilación de información y de consulta de información. Las apps de transacciones deben cumplir todos los requisitos técnicos y de gestión, y las de recopilación deben centrarse en la protección de la información. Cada requisito se marca como básico o reforzado: los básicos son las protecciones mínimas y los reforzados son recomendados. El Aviso 237 exige una evaluación externa de las apps de transacciones desde la seguridad de los fondos y la protección de la información, y de las apps de recopilación desde la protección de la información, al menos una vez al año, con el informe archivado.

   Fuente:Aviso PBOC 银发〔2019〕237号; JR/T 0092-2019, capítulos 4 a 6 (texto chino)

   Qué supone para su app móvil

   La lista de cláusulas se lee como un plan de pruebas para la versión que descargan sus clientes, desde la firma y las comprobaciones de integridad hasta la protección de la entrada, el almacenamiento y el borrado de datos.

   Cómo ayuda Ostorlab

   Mobile SAST analiza directamente el APK, AAB o IPA, sin código fuente. Un pentest con agentes de IA prueba la app y sus API con sesión iniciada, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, y Mobile Shielding Scan prueba las protecciones en tiempo de ejecución.

   Qué sigue en sus manos

   La evaluación externa con un organismo de certificación y pruebas acreditado, y el calendario de evaluaciones anuales.

2. 02

   Aviso PBOC 银发〔2019〕237号; medidas y avisos de registro de la NIFA (texto chino)

   Registrar la app ante la NIFA y mantener la evaluación al día

   Qué dice el texto

   El Aviso 237 pide a las instituciones financieras participar en el registro nominal de las apps financieras móviles ante la Asociación Nacional de Finanzas por Internet de China (NIFA), que opera el sistema de registro en finapp.nifa.org.cn. El registro exige un informe de evaluación externa para las apps de transacciones y de recopilación, tiene una validez de un año, y un cambio importante o un registro no actualizado dentro del año obliga a una nueva evaluación externa. La NIFA comprueba las evaluaciones anuales y puede suspender o cancelar un registro, y ha aconsejado a las tiendas de aplicaciones prudencia con las apps financieras sin registrar. La NIFA informó de que a finales de 2025, 844 instituciones habían registrado 2.773 apps financieras móviles.

   Fuente:Aviso PBOC 银发〔2019〕237号; medidas y avisos de registro de la NIFA (texto chino)

   Qué supone para su app móvil

   El registro y la evaluación anual son obligaciones recurrentes cada año, y la evaluación es la prueba de una revisión por un tercero, no una autodeclaración.

   Cómo ayuda Ostorlab

   Los escaneos de Ostorlab producen evidencia fechada por versión que su equipo puede adjuntar a la evaluación externa y a la actualización del registro, y los escaneos se repiten cuando una nueva versión exige una evaluación reciente.

   Qué sigue en sus manos

   El registro en sí, la relación con el organismo de certificación y pruebas, y la decisión sobre qué cuenta como cambio importante.

3. 03

   Aviso MIIT 工信部信管〔2023〕105号; Ley de Ciberseguridad enmendada el 28 de octubre de 2025 (texto chino)

   Registrar la app ante el MIIT antes de su puesta en servicio

   Qué dice el texto

   El Ministerio de Industria y Tecnología de la Información exige a los proveedores de apps que prestan servicios de información en internet en China continental registrarse a través de su proveedor de acceso a la red o su plataforma de distribución. Las apps nuevas deben registrarse antes de iniciar el servicio, y las existentes debían hacerlo entre septiembre de 2023 y el 31 de marzo de 2024. Las administraciones de telecomunicaciones comprueban los registros de forma continua, y los proveedores que no se registran no pueden prestar servicios de información mediante apps. La enmienda de 2025 de la Ley de Ciberseguridad también impone obligaciones de seguridad a los proveedores de servicios de descarga de aplicaciones, con sanciones que pueden incluir la suspensión de la actividad o el cierre de la app.

   Fuente:Aviso MIIT 工信部信管〔2023〕105号; Ley de Ciberseguridad enmendada el 28 de octubre de 2025 (texto chino)

   Qué supone para su app móvil

   Una app bancaria es a la vez una app financiera para el PBOC y la NIFA y una app de servicios de información en internet para el MIIT. Los dos registros son independientes.

   Cómo ayuda Ostorlab

   Ostorlab no registra apps. Aporta evidencia de seguridad fechada que respalda sus expedientes de registro y las declaraciones de seguridad que los acompañan, versión tras versión.

   Qué sigue en sus manos

   Los registros, las fichas de las tiendas y las respuestas a la administración de telecomunicaciones.

4. 04

   JR/T 0068-2020, 6.2.1; JR/T 0092-2019, 5.3.3 y 5.3.4 (texto chino)

   Proteger el propio programa cliente

   Qué dice el texto

   Los programas cliente deben evitar riesgos en componentes del sistema, componentes de terceros y SDK, con pruebas de selección cuando sea necesario. Deben llevar un identificador de aplicación y una versión claros, estar firmados por el propietario de la app para indicar origen y editor, y comprobar su autenticidad e integridad al arrancar y al actualizarse para resistir manipulación, sustitución o secuestro. Deben usar ofuscación y empaquetado, protegerse contra inyección de código, escalada de privilegios y acceso al proceso, proteger la entrada y la memoria de datos de pago sensibles, negarse a almacenar localmente información de pago sensible, enmascarar contraseñas, cerrar sesión tras un periodo sin actividad, aplicar permisos de mínimo privilegio y borrar los datos no esenciales al salir. La app también debe detectar su entorno de ejecución, incluidos los derechos de administrador no autorizados y los emuladores o máquinas virtuales, informarlo al backend y avisar al usuario o rechazar la transacción cuando el entorno es arriesgado.

   Fuente:JR/T 0068-2020, 6.2.1; JR/T 0092-2019, 5.3.3 y 5.3.4 (texto chino)

   Qué supone para su app móvil

   Cada uno de estos comportamientos puede probarse en la versión publicada, no solo revisarse en el código fuente.

   Cómo ayuda Ostorlab

   Mobile Shielding Scan ejecuta la app en entornos rooteados e instrumentados, intenta eludir la detección de root, emuladores y manipulación, y el TLS pinning, e informa de lo que hace la app cuando falla una protección. Mobile SAST cubre el código y los SDK.

   Qué sigue en sus manos

   Elegir y configurar su producto de shielding, el proceso de firma de versiones y la política de riesgo para dispositivos comprometidos.

5. 05

   JR/T 0171-2020, 6.1 y 7.4.2 (texto chino)

   Proteger la información financiera personal por categoría

   Qué dice el texto

   La especificación clasifica la información financiera personal en C3, C2 y C1 según el daño que causaría su consulta o modificación no autorizada. La categoría C3 cubre la información de autenticación del usuario, incluidos los datos de banda de tarjeta bancaria, los códigos de verificación de tarjeta, las contraseñas de tarjeta y de transacción, y la información biométrica usada para autenticar. La información C3 debe cifrarse en reposo, y la C2 y C3 debe usar canales cifrados o cifrado de datos cuando viaja por redes públicas. Las apps cliente y los dispositivos personales no deben almacenar información de pago sensible ni muestras y plantillas biométricas, y solo pueden conservar los elementos básicos necesarios para la transacción en curso, borrados justo después. La información financiera personal mostrada debe enmascararse, y los entornos de desarrollo y prueba deben aislarse de producción y no usar información financiera personal real. Los sistemas que recopilan, almacenan, transmiten o usan información financiera personal necesitan una comprobación o evaluación de seguridad al menos una vez al año, incluidas evaluación de seguridad, análisis de vulnerabilidades y pruebas de penetración, con una nueva evaluación ante un cambio importante o una amenaza nueva de alto riesgo.

   Fuente:JR/T 0171-2020, 6.1 y 7.4.2 (texto chino)

   Qué supone para su app móvil

   El paquete de la app, sus cachés, registros, capturas de pantalla y el proceso de prueba entran en el alcance, y la evaluación anual espera pruebas reales, no una lista de comprobación.

   Cómo ayuda Ostorlab

   Ostorlab busca datos de pago, tokens y datos personales en el almacenamiento local, cachés, registros y capturas de pantalla, comprueba las protecciones de transporte y clasifica y sigue cada hallazgo. Cada escaneo está fechado, así la evidencia para la evaluación anual se acumula versión tras versión.

   Qué sigue en sus manos

   Clasificar sus datos, el diseño del cifrado y la evaluación de impacto que la especificación exige para compartir, transferir o encargar el tratamiento.

6. 06

   JR/T 0068-2020, 6.2.3 y 6.4.2; JR/T 0092-2019, 5.1.1 y 5.5.6.3 (texto chino)

   Verificar transacciones de riesgo y cerrar bien las sesiones

   Qué dice el texto

   Para las transacciones de riesgo, la norma de banca por internet exige una combinación de al menos dos de tres familias de factores: algo que el cliente sabe, algo que solo él posee como un certificado autenticado, una firma electrónica o una contraseña de un solo uso, y un factor biométrico. Los factores deben ser independientes, y el daño o la filtración de uno no debe dañar otro. Las contraseñas de un solo uso deben tener la validez más corta posible. Tras no más de 10 fallos de autenticación consecutivos, el acceso de inicio de sesión o de transacción debe bloquearse en poco tiempo, con un procedimiento documentado de desbloqueo. Cambiar el número de móvil registrado, usado para avisos de transacción y códigos de un solo uso, exige acudir a la oficina o autenticación de dos factores contra el número original. La comunicación entre cliente y servidor usa autenticación mutua con claves o certificados, y el cliente valida el certificado del servidor. Los programas cliente cierran sesión automáticamente tras la inactividad, y un cierre de sesión normal pide al servidor terminar la sesión.

   Fuente:JR/T 0068-2020, 6.2.3 y 6.4.2; JR/T 0092-2019, 5.1.1 y 5.5.6.3 (texto chino)

   Qué supone para su app móvil

   La independencia de factores, la vigencia de los códigos de un solo uso, los umbrales de bloqueo y la invalidación de sesión en el servidor se prueban con sus propias cuentas de prueba.

   Cómo ayuda Ostorlab

   Las pruebas autenticadas completan códigos de un solo uso por SMS, correo o TOTP con sus cuentas de prueba, prueban la aplicación de MFA, los flujos de autenticación reforzada y el bloqueo, y comprueban el refresco de tokens, los tiempos de espera y la invalidación de sesión a través de las llamadas API subyacentes.

   Qué sigue en sus manos

   La elección de factores y el diseño de canales, el proceso de desbloqueo y los canales de notificación al cliente.

7. 07

   Orden PBOC n.º 3 [2025], artículos 35 y 36; NFRA 金规〔2024〕24号, artículos 48 y 53 (texto chino)

   Probar las API antes de cada pase a producción

   Qué dice el texto

   El PBOC exige un inventario dinámico de las pasarelas e interfaces de programación que proporcionan datos de negocio, y pruebas de seguridad antes de que un cambio de pasarela o API pase a producción, con remediación inmediata de cualquier riesgo detectado. Los elementos de alta sensibilidad deben en principio cifrarse cuando se transmiten a otros responsables, otros centros de datos o internet, y se prefieren líneas dedicadas o VPN. La NFRA exige que los intercambios de datos con el exterior pasen por una plataforma externa o API gestionadas de forma centralizada, diseñadas, desarrolladas, servidas y operadas bajo gestión de seguridad central, con los principios de necesidad de conocer y mínimo privilegio. Los sistemas deben superar pruebas de seguridad antes de entrar en producción, y los entornos de prueba deben estar separados de producción, sin datos sensibles sin enmascarar.

   Fuente:Orden PBOC n.º 3 [2025], artículos 35 y 36; NFRA 金规〔2024〕24号, artículos 48 y 53 (texto chino)

   Qué supone para su app móvil

   Cada versión que toca una API es un cambio que necesita pruebas antes de producción, y el inventario de API forma parte de la evidencia.

   Cómo ayuda Ostorlab

   Ostorlab intercepta el tráfico de la app incluso con TLS pinning y prueba las API frente a autorización rota (BOLA, BFLA, IDOR), mal uso de tokens y sesiones, y abusos como enumeración, repetición y automatización, con las peticiones y respuestas como evidencia de cada hallazgo.

   Qué sigue en sus manos

   El inventario de API, la arquitectura de pasarelas, las decisiones de cifrado de red y la monitorización en producción.

8. 08

   Orden PBOC n.º 3 [2025], artículos 16, 17, 20 y 33; NFRA 金规〔2024〕24号, artículos 43, 45 y 46 (texto chino)

   Mantener los datos sensibles fuera de los dispositivos y del texto plano

   Qué dice el texto

   Los elementos de datos de alta sensibilidad no deben en principio almacenarse en terminales ni soportes extraíbles, y cuando la necesidad de negocio lo exige, esos escenarios se listan y controlan de forma centralizada. Los datos usados para verificar identidad deben en principio verificarse en lugar de exportarse, y los elementos de alta sensibilidad deben enmascararse al mostrarse. En principio no deben circular por correo, mensajería instantánea, almacenamiento de archivos en línea o soportes extraíbles. La NFRA es concreta con los datos de autenticación: los datos de autenticación de identidad personal no deben almacenarse, transmitirse o mostrarse en texto plano, y los datos sensibles y de nivel superior deben eliminarse o destruirse de forma irrecuperable al terminar su plazo de conservación, también en terminales y soportes. Los registros de operaciones de datos esenciales se conservan al menos tres años, y los de datos importantes y sensibles al menos un año, y los accesos se auditan al menos cada seis meses.

   Fuente:Orden PBOC n.º 3 [2025], artículos 16, 17, 20 y 33; NFRA 金规〔2024〕24号, artículos 43, 45 y 46 (texto chino)

   Qué supone para su app móvil

   Los datos de identidad en texto plano son una infracción explícita, no una preferencia de endurecimiento, y son una de las cosas más fáciles de probar con una prueba móvil.

   Cómo ayuda Ostorlab

   Ostorlab encuentra datos de identidad y credenciales en el almacenamiento, cachés, registros, capturas de pantalla y paquete de la app, valida qué secretos funcionan y muestra cómo la app y sus SDK intercambian datos con los backends por la red.

   Qué sigue en sus manos

   La clasificación de datos, las políticas de gestión de dispositivos y el proceso de eliminación o destrucción.

9. 09

   GB/T 22239-2019; Orden PBOC n.º 3 [2025], artículo 32; NFRA 金规〔2024〕24号, artículo 41 (texto chino)

   Cumplir las obligaciones de protección por niveles

   Qué dice el texto

   La protección por niveles de la ciberseguridad es el régimen base de los sistemas de información en China. La norma GB/T 22239-2019 fija los requisitos generales de seguridad para los niveles 1 a 4 y los requisitos extendidos para nube, internet móvil, internet de las cosas y sistemas de control industrial. El PBOC exige que los sistemas que almacenan datos importantes cumplan el nivel 3 y los que almacenan datos esenciales cumplan el nivel 4 o la protección de infraestructuras críticas. La NFRA exige que los bancos integren los datos en la protección por niveles, dividan dominios lógicos de seguridad según el nivel de los datos y protejan las salas y redes que contienen o transmiten datos sensibles y superiores. JR/T 0068 orienta los sistemas de banca por internet hacia la guía sectorial de aplicación JR/T 0071, incluida la extensión de internet móvil.

   Fuente:GB/T 22239-2019; Orden PBOC n.º 3 [2025], artículo 32; NFRA 金规〔2024〕24号, artículo 41 (texto chino)

   Qué supone para su app móvil

   El nivel del sistema detrás de la app fija la base de protección, y la app móvil forma parte de su perímetro.

   Cómo ayuda Ostorlab

   Ostorlab prueba los controles de la app y sus API y aporta hallazgos fechados y retests para los elementos técnicos de la evaluación de protección por niveles, para que los problemas conocidos de la app no sorprendan a la evaluación formal.

   Qué sigue en sus manos

   La clasificación y el registro de los sistemas, la evaluación formal MLPS con un organismo autorizado, y los controles físicos y de red.

10. 10

    Medidas NFRA de externalización informática 银保监办发〔2021〕141号, artículos 5, 11, 17, 21, 32, 34 a 36 y 38; medidas NFRA de riesgo operativo, Orden n.º 5 de 2023, artículos 29 a 31 (texto chino)

    Gestionar la externalización y el riesgo operativo

    Qué dice el texto

    Las medidas de la NFRA sobre externalización informática dicen que la institución no puede externalizar la responsabilidad de gestión informática ni la responsabilidad de ciberseguridad. La gestión de la estrategia informática, la gestión del riesgo informático, la auditoría interna informática y otras funciones de competitividad esencial no pueden externalizarse. La externalización importante exige diligencia debida antes del contrato, cláusulas que cubran cumplimiento, continuidad del servicio, derechos de auditoría, seguridad y confidencialidad y notificación de incidentes, y análisis de seguridad de los entregables de desarrollo, incluido el código fuente. Las medidas de seguridad incluyen acceso de los proveedores bajo necesidad de conocer y mínimo privilegio, control estricto del mantenimiento remoto, vigilancia continua de fugas de datos sensibles y evaluaciones de seguridad periódicas de la externalización. Las instituciones deben comprobar in situ la externalización importante fuera de sus instalaciones al menos cada tres años, realizar al menos una vez al año una evaluación completa del riesgo de externalización y auditar la externalización importante al menos cada tres años. Los eventos graves, incluidas las fugas de datos personales de clientes, deben notificarse, y si ninguna otra norma fija un plazo, en 24 horas. Las medidas de riesgo operativo exigen sistemas para ciberseguridad, seguridad de datos y riesgo de externalización, conectados con la continuidad del negocio.

    Fuente:Medidas NFRA de externalización informática 银保监办发〔2021〕141号, artículos 5, 11, 17, 21, 32, 34 a 36 y 38; medidas NFRA de riesgo operativo, Orden n.º 5 de 2023, artículos 29 a 31 (texto chino)

    Qué supone para su app móvil

    Cada SDK, proveedor de pruebas y servicio en la nube del que depende su app entra en este marco, y la evidencia de las pruebas es la forma de vigilar la obligación de seguridad.

    Cómo ayuda Ostorlab

    Ostorlab prueba la app y los componentes que contiene, enumera los SDK y bibliotecas nativas de cada versión con sus versiones, y los mapea a vulnerabilidades conocidas con el cierre seguido versión tras versión, para que los componentes de terceros tengan su propia evidencia.

    Qué sigue en sus manos

    La diligencia debida, los contratos, el control de acceso del personal proveedor, las comprobaciones in situ, las evaluaciones anuales y la notificación de incidentes.

Resumen de textos públicos del PBOC, la NFRA, el MIIT, la NIFA y la APN, consultados el 27 de septiembre de 2026. Los textos publicados solo en chino se resumen y se marcan (texto chino). Esta página no constituye asesoramiento jurídico.