Normas de SAMA para la app de banca móvil que usan sus clientes.
El Banco Central de Arabia Saudí exige a los bancos una revisión y una prueba de penetración anuales de los servicios orientados al cliente y expuestos a Internet, pruebas de seguridad de cada cambio, autenticación multifactor en todos los servicios de banca electrónica y apps móviles que detecten dispositivos con root y jailbreak. Ostorlab le ayuda a probar esos controles en su app y sus API, en cada versión.
- Pruebas de penetración con agentes de IA detrás del inicio de sesión, con un exploit reproducible para cada hallazgo de un agente de IA
- Pruebas estáticas y dinámicas de la versión que publica, sin necesidad de código fuente
- Flujos de MFA, bloqueo y autenticación reforzada probados con sus cuentas de prueba
- Detección de root y jailbreak probada en entornos con root y jailbreak
- A quién se aplica
- Bancos que operan en Arabia Saudí y otras instituciones financieras reguladas por SAMA
- Fechas clave
- Cyber Security Framework publicado el 24 de mayo de 2017, con cumplimiento pleno exigido para finales de octubre de 2018
- Objeto
- Pruebas de penetración anuales de los servicios expuestos a Internet, MFA y controles antifraude en los canales digitales
- Referencia
- SAMA Cyber Security Framework, Counter-Fraud Framework, IT Governance Framework, FEER
Las normas cibernéticas y antifraude de SAMA, fecha a fecha
Los marcos de SAMA están en vigor hoy. Estas son las fechas y periodicidades con las que se mide la prueba de su app.
- 24 de mayo de 2017
Cyber Security Framework
SAMA publica el marco. Todos los dominios se aplican a los bancos, incluidos la seguridad de las aplicaciones y los servicios de banca electrónica.
- Finales de octubre de 2018
Cumplimiento pleno para los bancos
El plazo que SAMA fijó para que los bancos cumplieran plenamente el Cyber Security Framework.
- 13 de mayo de 2019
Marco de red teaming FEER
Red teaming basado en inteligencia sobre amenazas en entornos de producción activos, al menos una vez cada tres años.
- 4 de noviembre de 2021
IT Governance Framework
Normas sobre desarrollo de sistemas, revisión de código seguro y pruebas de cada cambio antes de su paso a producción.
- 11 de octubre de 2022
Counter-Fraud Framework
Autenticación basada en el riesgo, estándares de prevención del fraude y controles de apps móviles como la detección de root y jailbreak.
- Cada año
Revisión y prueba de penetración
Los servicios orientados al cliente y expuestos a Internet se someten a una revisión y una prueba de penetración anuales, con seguimiento hasta que se resuelvan los problemas.
Las normas cibernéticas y antifraude de SAMA, aplicadas a su app móvil
Los marcos de SAMA establecen principios y consideraciones de control para los bancos. Para cada norma: qué dice el texto, qué supone para una app de banca móvil, cómo ayuda Ostorlab y qué sigue en manos de su equipo.
- SAMA Cyber Security Framework, 3.2.4
Pentest anual de los servicios orientados al cliente y expuestos a Internet
Qué dice el texto
El estado de ciberseguridad de los activos de información debe revisarse periódicamente. Los servicios orientados al cliente y expuestos a Internet deberían someterse a una revisión y a pruebas de penetración anuales. Los resultados, los problemas y las acciones recomendadas se registran, se comunican al responsable de negocio y se les hace seguimiento hasta que se resuelvan todos los problemas identificados.
Qué supone para su app móvil
Una app de banca móvil y las API a las que llama son servicios orientados al cliente y expuestos a Internet. Necesitan al menos una revisión y una prueba de penetración anuales, y un registro de que se cerró cada problema detectado.
Cómo ayuda Ostorlab
Un pentest con agentes de IA prueba la app y sus API detrás del inicio de sesión, normalmente en unas horas, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA. Los hallazgos se registran como tickets en la plataforma o en Jira y ServiceNow, y se vuelven a probar una vez publicada la corrección.
Qué sigue en sus manos
La propia revisión anual, la elección de los probadores y el informe al responsable de negocio.
- SAMA Cyber Security Framework, 3.3.7; IT Governance Framework, 3.4.4 y 3.4.5
Pruebas de seguridad de cada cambio antes de su puesta en producción
Qué dice el texto
La gestión de cambios debe incluir pruebas de seguridad que, cuando proceda, abarquen pruebas de penetración y revisión de código, o un informe de revisión de código o equivalente, como una declaración de aseguramiento independiente, cuando no pueda facilitarse el código fuente. El IT Governance Framework añade que todos los cambios se prueban en un entorno de pruebas separado, con las pruebas de seguridad entre los tipos de prueba mínimos.
Fuente:SAMA Cyber Security Framework, 3.3.7; IT Governance Framework, 3.4.4 y 3.4.5
Qué supone para su app móvil
Cada nueva versión de la app es un cambio. Debería superar pruebas de seguridad antes de llegar a la tienda, incluido el código de terceros del que no tiene el código fuente.
Cómo ayuda Ostorlab
Mobile SAST analiza directamente el APK, AAB o IPA, sin necesidad de código fuente, incluido el análisis de propagación (taint) en los SDK integrados. Mobile DAST ejecuta la app, mantiene las sesiones autenticadas y captura el tráfico, las trazas de pila y capturas de pantalla. Ambos se ejecutan desde su pipeline de CI/CD en cada compilación.
Qué sigue en sus manos
La aprobación del Change Advisory Board, las pruebas de aceptación de usuario y la decisión sobre qué se considera una declaración de aseguramiento equivalente.
- SAMA Cyber Security Framework, 3.3.6
Defina y pruebe un estándar de seguridad de aplicaciones
Qué dice el texto
Definir, aprobar e implantar estándares de ciberseguridad para las aplicaciones, supervisar su cumplimiento y evaluar periódicamente su eficacia. El desarrollo sigue un SDLC seguro aprobado, y el estándar abarca la codificación segura, la gestión de identidades y accesos, la protección de los datos de los clientes frente al acceso no autorizado y la fuga de datos, y la gestión de vulnerabilidades y parches.
Qué supone para su app móvil
Sus normas de codificación segura y de protección de datos para la app necesitan evidencia de que se cumplen en la compilación que publica, no solo en una política.
Cómo ayuda Ostorlab
Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla, detecta claves de API, tokens y credenciales en el paquete de la app, y enumera los SDK y las bibliotecas nativas de cada versión con sus versiones.
Qué sigue en sus manos
La redacción del estándar, la metodología de SDLC y la segregación de funciones.
- SAMA Cyber Security Framework, 3.3.17; Circular n.º 381000091275
Gestione las vulnerabilidades con una periodicidad definida
Qué dice el texto
Definir e implantar un proceso de gestión de vulnerabilidades para las vulnerabilidades de aplicaciones e infraestructura. Abarca todos los activos de información, una frecuencia de escaneo basada en el riesgo, la clasificación de las vulnerabilidades, plazos de mitigación definidos por clasificación y la gestión de parches. Una circular posterior de SAMA pidió a los bancos una hoja de ruta para alcanzar el nivel de madurez 4 en gestión de vulnerabilidades a finales del tercer trimestre de 2022.
Fuente:SAMA Cyber Security Framework, 3.3.17; Circular n.º 381000091275
Qué supone para su app móvil
Los hallazgos en la app y sus bibliotecas necesitan una clasificación, un plazo y una prueba de cierre, con una periodicidad que pueda justificar.
Cómo ayuda Ostorlab
Ejecute escaneos automatizados desde su pipeline de CI/CD en cada compilación y supervise las versiones publicadas en las tiendas sin activación manual. Los hallazgos se califican como críticos, altos, medios o bajos y se vuelven a probar una vez publicada la corrección. SCA identifica mediante huellas las bibliotecas compiladas estáticamente que los escáneres basados en manifiestos pueden pasar por alto.
Qué sigue en sus manos
La fijación de los plazos de mitigación y el escaneo del resto de su infraestructura.
- SAMA Cyber Security Framework, 3.3.13
Refuerce los canales de banca en línea y móvil
Qué dice el texto
El estándar de seguridad de los servicios de banca electrónica abarca, para la banca en línea y móvil, el uso de tiendas de aplicaciones y sitios web oficiales, la detección y retirada de apps y sitios web maliciosos, el sandboxing, las técnicas de no almacenamiento en caché y técnicas de comunicación para evitar ataques de intermediario (man-in-the-middle). Se necesita la aprobación de SAMA antes de lanzar un nuevo servicio de banca electrónica.
Qué supone para su app móvil
La app no debería dejar datos sensibles en las cachés, y su tráfico debería resistir la interceptación, incluso en un dispositivo que controla el atacante.
Cómo ayuda Ostorlab
Ostorlab comprueba lo que la app escribe en el almacenamiento, las cachés, los registros y las capturas de pantalla, y busca errores de configuración que debilitan las protecciones del transporte y de la sesión. Mobile Shielding Scan intenta eludir el TLS pinning y muestra qué protecciones resistieron.
Qué sigue en sus manos
La protección de marca, la retirada de apps y sitios web maliciosos y la aprobación de SAMA para los nuevos servicios.
- SAMA Cyber Security Framework, 3.3.13
Autenticación multifactor en todos los servicios de banca electrónica
Qué dice el texto
Utilizar la autenticación multifactor durante el registro del cliente y en todos los servicios de banca electrónica, incluidos el inicio de sesión, el alta o modificación de beneficiarios, el alta de servicios de pago de suministros y de pagos a la administración, las transacciones de alto riesgo por encima de límites predefinidos y el restablecimiento de contraseñas. Revocar el acceso del cliente tras 3 contraseñas incorrectas o PIN no válidos consecutivos.
Qué supone para su app móvil
Cada uno de estos flujos debe exigir el segundo factor en el servidor, y el bloqueo tras 3 intentos fallidos debe mantenerse con independencia de lo que envíe la app.
Cómo ayuda Ostorlab
Ostorlab inicia sesión con sus cuentas de prueba, completa los códigos de un solo uso por SMS, correo electrónico o TOTP, y prueba el inicio y el cierre de sesión, la renovación de tokens, los tiempos de espera, la invalidación de sesiones y la aplicación de la MFA, incluidos los flujos de autenticación reforzada.
Qué sigue en sus manos
Las normas de canal, como cambiar el número de móvil solo en una sucursal o un cajero automático, y las notificaciones por SMS.
- SAMA Counter-Fraud Framework, 4.4
Autentique según el riesgo, no solo por SMS
Qué dice el texto
El estándar de autenticación abarca los canales digitales, como los servicios en línea y las apps móviles. La autenticación multifactor no debería consistir únicamente en OTP enviados por SMS. La actividad de alto riesgo, como el registro, la activación de un token en un nuevo dispositivo, el inicio de sesión desde un dispositivo desconocido y el alta de beneficiarios, necesita autenticación multifactor, y las sesiones anómalas necesitan un tercer factor.
Qué supone para su app móvil
La vinculación del dispositivo, la aprobación push en la app y la autenticación reforzada en las sesiones anómalas son controles que los defraudadores intentan saltarse repitiendo o modificando las llamadas a la API.
Cómo ayuda Ostorlab
Las pruebas autenticadas cubren la aplicación de la MFA y los flujos de autenticación reforzada, incluido cómo intentan manipularlos los atacantes, junto con las llamadas a la API que hay detrás de los cambios en la cuenta.
Qué sigue en sus manos
El estándar de autenticación, el motor de riesgo que señala las sesiones anómalas y la definición de las transacciones de bajo nivel.
- SAMA Counter-Fraud Framework, 4.6.2
Detecte los dispositivos con root y limite el abuso
Qué dice el texto
Los estándares de prevención del fraude incluyen la capacidad de las apps móviles de detectar su uso en dispositivos con jailbreak o root y, a continuación, bloquear la app o restringir el acceso a datos o funciones sensibles, el registro de dispositivos, una restricción de los inicios de sesión simultáneos o del número de dispositivos y, con un enfoque basado en el riesgo, mecanismos de prevención de robots antes de que se ordene un pago.
Qué supone para su app móvil
La detección de root y jailbreak tiene que reaccionar, no solo detectar, y el backend tiene que frenar el uso automatizado y simultáneo que la app por sí sola no puede impedir.
Cómo ayuda Ostorlab
Mobile Shielding Scan ejecuta la app en entornos con root y jailbreak, intenta eludir la detección de root y jailbreak, la protección contra manipulación, la anti-instrumentación y el TLS pinning, y muestra si la app bloquea el flujo, se niega a iniciarse o sigue funcionando. Las pruebas de API cubren abusos como la enumeración, la repetición y la automatización.
Qué sigue en sus manos
La elección de su producto de blindaje, los límites de las transacciones, las listas negras y la monitorización del fraude.
- SAMA Financial Entities Ethical Red-Teaming Framework, 1.3 y 1.6
Red teaming al menos una vez cada 3 años
Qué dice el texto
Cada organización miembro regulada por SAMA debería someterse, como mínimo una vez cada tres años, a una prueba de red teaming basada en inteligencia sobre amenazas de su entorno de producción activo en el marco FEER. SAMA también puede seleccionar una organización para una prueba. El red teaming no es una prueba de penetración: reproduce un ataque dirigido contra toda la organización.
Fuente:SAMA Financial Entities Ethical Red-Teaming Framework, 1.3 y 1.6
Qué supone para su app móvil
La app móvil y sus API son probables puntos de entrada para un equipo rojo. Las debilidades que unas pruebas periódicas podrían haber detectado consumen tiempo del equipo rojo.
Cómo ayuda Ostorlab
Ostorlab no realiza pruebas de red teaming ni las sustituye. Le ayuda a llegar a una prueba con los problemas conocidos de la app y de las API ya corregidos, y a volver a probar después los hallazgos de la app y de las API.
Qué sigue en sus manos
El ejercicio de red teaming, los proveedores y el diálogo con SAMA.
Resumen de textos de SAMA publicados en el SAMA Rulebook, consultados el 27 de septiembre de 2026. Algunos marcos se aplican a sectores específicos, como se indica. Esta página no constituye asesoramiento jurídico.
Normas de SAMA, control por control
Los controles a los que apuntan los textos de SAMA, cómo los prueba Ostorlab en su app y sus API, y la evidencia que puede conservar.
| Control | Cómo ayuda Ostorlab | Evidencia que conserva |
|---|---|---|
| Revisión y prueba de penetración anuales de los servicios expuestos a InternetCSF 3.2.4 | Pentest con agentes de IA de la app y de sus API, detrás del inicio de sesión, sobre la versión que publica. Detalles | Un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, y un mapa de calor de cobertura |
| Pruebas de seguridad de cada cambio antes de la publicaciónCSF 3.3.7; ITGF 3.4.5 | Mobile SAST sobre el binario y Mobile DAST sobre la app en ejecución, antes de la publicación. Detalles | Hallazgos con el contexto del código descompilado, el tráfico, las trazas de pila y capturas de pantalla |
| Pruebas de código de terceros sin el código fuenteCSF 3.3.7; ITGF 3.4.4 | Análisis de propagación (taint) en los SDK integrados y análisis de dependencias de la app compilada. Detalles | Hallazgos atribuidos al SDK o a la biblioteca de la que proceden |
| Clasificación de vulnerabilidades, plazos y seguimientoCSF 3.2.4, 3.3.17 | Agrupa los hallazgos en tickets en la plataforma o en Jira y ServiceNow, y vuelve a probar tras la corrección. Detalles | Historial de tickets y resultado de la nueva prueba de cada hallazgo |
| No almacenamiento en caché y protección de los datos de los clientes en el dispositivoCSF 3.3.6, 3.3.13 | Busca tokens y datos personales en el almacenamiento, las cachés, los registros y las capturas de pantalla, y comprueba las protecciones del transporte. Detalles | Evidencia del sistema de archivos que muestra qué se escribió, dónde y cuándo |
| Protección frente a ataques de intermediario (man-in-the-middle)CSF 3.3.13 | Intenta eludir el TLS pinning en tiempo de ejecución y comprueba las protecciones del transporte. Detalles | Evidencia de qué protecciones resistieron y cuáles se eludieron |
| MFA en el inicio de sesión, los beneficiarios, el restablecimiento de contraseñas y las transacciones de alto riesgoCSF 3.3.13; CFF 4.4 | Inicia sesión con códigos de un solo uso y prueba la aplicación de la MFA y los flujos de autenticación reforzada, así como las llamadas a la API que hay detrás. Detalles | Hallazgos sobre los flujos de inicio de sesión y de autenticación reforzada, con los pasos de reproducción |
| Bloqueo tras 3 intentos fallidos y gestión de sesionesCSF 3.3.13 | Prueba el inicio y el cierre de sesión, la renovación de tokens, los tiempos de espera y la invalidación de sesiones. Detalles | Hallazgos sobre sesiones y tokens, con registros de solicitudes y respuestas |
| Detección de root y jailbreak que bloquea o restringe la appCFF 4.6.2 | Ejecuta la app en entornos con root y jailbreak e intenta eludir la detección de root y jailbreak. Detalles | Puntuación de endurecimiento y evidencia de elusión de cada protección que falló |
| Abuso de las API de pago mediante bots, repetición y uso simultáneoCFF 4.6.2 | Intercepta el tráfico incluso con TLS pinning y prueba la autorización, el uso indebido de tokens y abusos como la enumeración y la repetición. Detalles | Evidencia de solicitudes y respuestas para cada hallazgo de API |
Ostorlab prueba los controles de la app y de sus API. La gobernanza, la concienciación, la monitorización de eventos y el SOC, la gestión de incidentes, la continuidad de negocio, la monitorización del fraude, la protección de marca y la notificación a SAMA corresponden a sus equipos.
Controles de SAMA que probar en su app antes de la próxima revisión
Una lista práctica para los equipos de seguridad, antifraude y cumplimiento que trabajan con los marcos de SAMA.
Pentest anual en el calendario
Programe la revisión y la prueba de penetración anuales de la app y sus API, y añada escaneos en cada versión entre una y otra.
Control de seguridad en el pipeline de publicación
Ejecute pruebas estáticas y dinámicas en cada compilación antes de que pase al Change Advisory Board y a la tienda.
Código de terceros cubierto
Enumere los SDK y las bibliotecas de cada versión y decida cómo obtiene garantías sobre el código del que no tiene el código fuente.
MFA en cada flujo enumerado
Compruebe que el inicio de sesión, los beneficiarios, los servicios de pago, las transacciones de alto riesgo y el restablecimiento de contraseñas requieren un segundo factor, aplicado por el servidor.
Bloqueo y sesiones
Verifique que el acceso se revoca tras 3 intentos fallidos, y pruebe los tiempos de espera de sesión, la renovación de tokens y el cierre de sesión.
Dispositivos con root y jailbreak
Ejecute la app en dispositivos comprometidos y confirme que bloquea o restringe las funciones sensibles, como espera el Counter-Fraud Framework.
Datos que quedan en el dispositivo
Busque tokens y datos personales en las cachés, los registros y las capturas de pantalla, y credenciales codificadas en la app.
Hallazgos con seguimiento hasta su cierre
Clasifique cada hallazgo, fije un plazo, vuelva a probar tras la corrección y conserve el registro para las inspecciones de SAMA y la auditoría interna.
Una lista sugerida, no una plantilla de SAMA. Esto no constituye asesoramiento jurídico.
Las capacidades detrás de esta página
Cada una tiene su propia página con los detalles.
- Mobile Agentic Deep ScanLos agentes de IA realizan el pentest de la versión publicada en cada release, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.Más información
- Pruebas autenticadasPruebe el inicio de sesión, los códigos de un solo uso y la autenticación reforzada con sus cuentas de prueba.Más información
- Mobile Shielding ScanPruebe en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, y vea qué protecciones resistieron y cuáles se evadieron.Más información
- Pruebas de API y backendIntercepte el tráfico de la app incluso con TLS pinning y pruebe las API y los backends detrás de cuentas y pagos.Más información
- Mobile SASTAnálisis estático basado en el binario de archivos APK, AAB e IPA, con análisis de propagación (taint) en toda la app y sus SDK integrados.Más información
- SCA y SBOMDetecte dependencias vulnerables, incluidas las bibliotecas nativas compiladas estáticamente, y haga un seguimiento de su cierre versión tras versión.Más información
- Escaneo on-premisesEscanee apps de preproducción, API y repositorios detrás de su firewall o VPN, en una infraestructura que usted controla.Más información
- Su propia clave de IAEjecute los escaneos con agentes de IA con la clave de su proveedor de IA y un límite de gasto por escaneo, según sus políticas internas.Más información
Bancos y fintechs confían en nosotros, entre ellos
Fuentes
Los textos oficiales en los que se basa esta página, consultados el 27 de septiembre de 2026.
- SAMA Rulebook: Cyber Security FrameworkBanco Central de Arabia Saudí, Circular n.º 381000091275, 24 de mayo de 2017. Se aplica a bancos, aseguradoras, sociedades de financiación y agencias de información crediticia. Abarca la seguridad de las aplicaciones, la gestión de cambios, los servicios de banca electrónica y la gestión de vulnerabilidades
- SAMA Rulebook: Circular Re. Cyber Security FrameworkBanco Central de Arabia Saudí, Circular n.º 381000091275. Fija el cumplimiento pleno para finales de octubre de 2018 y hojas de ruta hacia el nivel de madurez 4 para la gestión de eventos, incidentes, amenazas y vulnerabilidades. Traducción al inglés; prevalece el texto en árabe
- SAMA Rulebook: Counter-Fraud FrameworkBanco Central de Arabia Saudí, Circular n.º 44021528, 11 de octubre de 2022, sector bancario. Abarca la autenticación, los estándares de prevención del fraude y los controles de las apps móviles. SAMA notifica a las organizaciones obligadas a implantarlo
- SAMA Rulebook: Information Technology Governance FrameworkBanco Central de Arabia Saudí, Circular n.º 43028139, 4 de noviembre de 2021, sector bancario y agencias de información crediticia. Abarca el desarrollo de sistemas, la revisión de código seguro y las pruebas de los cambios
- SAMA Rulebook: Financial Entities Ethical Red-TeamingBanco Central de Arabia Saudí, Circular n.º 562240000067, 13 de mayo de 2019. Red teaming basado en inteligencia sobre amenazas, al menos una vez cada tres años
- SAMA Rulebook: Cyber Resilience Fundamental Requirements (CRFR)Banco Central de Arabia Saudí, 1 de enero de 2022. Se aplica a sociedades de financiación, proveedores de servicios de pago, casas de cambio y entidades del sandbox, no a los bancos. Pruebas de penetración dos veces al año y blindaje de apps
- SAMA Rulebook: Rules on Outsourcing, Section VBanco Central de Arabia Saudí, Circular n.º 41027017, 15 de diciembre de 2019, sector bancario. Se necesita la no objeción por escrito de SAMA para externalizar a proveedores ubicados en el extranjero
- SAMA Open Banking FrameworkBanco Central de Arabia Saudí. Las reglas de negocio y los estándares técnicos, incluidas las especificaciones de las API, están disponibles previa solicitud al equipo de Open Banking de SAMA, por lo que no se citan en esta página
Preguntas frecuentes
Respuestas claras sobre cobertura, configuración y cómo llegan los resultados a su equipo.
¿No encuentra su respuesta? Reserve una demo o contáctenos.
Pruebe su app de banca móvil frente a los controles de SAMA
Empiece con un escaneo gratuito de su app desde la tienda, o reserve una demo para realizar con nuestro equipo pruebas con sesión iniciada y de blindaje.