Taiwán, FSC y asociación bancaria: evalúe su app de banca móvil como lo describen las normas del sector.

1. 01

   金融機構辦理電腦系統資訊安全評估辦法 第3條至第5條、第8條；金融控股公司及銀行業內部控制及稽核制度實施辦法 第12條、第14條、第24條、第25條 (texto chino)

   Realice las evaluaciones anuales y conserve el rastro de evidencia

   Qué dice el texto

   Clasifique los sistemas informáticos por importancia y elabore un plan de evaluación para todo el parque, propio y externalizado. Los sistemas de categoría 1, que prestan directamente servicios automatizados a los clientes o afectan de forma importante a las operaciones, como la banca electrónica, las ventanillas, los cajeros y SWIFT, necesitan una evaluación de seguridad al menos una vez al año; un incidente de seguridad grave obliga a una nueva evaluación en un plazo de tres meses. Los controles sobre la aplicación cliente incluyen análisis de vulnerabilidades, análisis de código fuente o pruebas de penetración, protección de datos sensibles en memoria y soportes de almacenamiento, y protección de claves. El reglamento de control interno sitúa el programa bajo el responsable de seguridad de la información: una unidad dedicada dependiente del director general, un responsable de nivel vicepresidente que informa al consejo cada año, y autoevaluaciones generales semestrales para las unidades informáticas.

   Fuente:金融機構辦理電腦系統資訊安全評估辦法 第3條至第5條、第8條；金融控股公司及銀行業內部控制及稽核制度實施辦法 第12條、第14條、第24條、第25條 (texto chino)

   Qué supone para su app móvil

   Su app de banca móvil forma parte de un sistema de categoría 1, así que la evaluación anual debe cubrir la app y el servidor con el que habla, incluidos los datos que quedan en memoria y almacenamiento y las claves del dispositivo. El informe va a la unidad de auditoría y al consejo, y se conserva cinco años.

   Cómo ayuda Ostorlab

   El pentest con agentes de IA prueba la app y sus API detrás del inicio de sesión, con un exploit funcional que puede reproducir para cada hallazgo. Mobile SAST analiza el binario, el análisis de secretos valida las claves halladas en el paquete, y los resultados se puntúan y se siguen como tickets, de modo que cada evaluación tiene evidencia nueva en cada versión.

   Qué sigue en sus manos

   El plan de evaluación, la clasificación de sistemas, las cualificaciones de los evaluadores, la aprobación del informe y el rastro de control interno y auditoría.

2. 02

   金融機構提供行動裝置應用程式作業規範 第9條 (texto chino)

   Supere la prueba anual de referencia y la revisión OWASP L2

   Qué dice el texto

   Cada año, someta la app a las pruebas de un laboratorio cualificado según el referencial de pruebas de seguridad básicas de aplicaciones móviles, y supérelas. Realice también análisis de código o pruebas de caja negra de toda la funcionalidad de la app y su servidor de aplicaciones, y corrija las vulnerabilidades de riesgo medio y alto; haga que una unidad de evaluación pruebe la app y el servidor conforme a las normas de apps móviles y a la OWASP Mobile Application Security Checklist L2. Los informes del laboratorio y de la unidad de evaluación deben revisarse y remitirse a la unidad de seguridad de la información. Cuando un hallazgo no pueda corregirse, la unidad podrá registrarlo como riesgo aceptado con la evaluación en el expediente.

   Fuente:金融機構提供行動裝置應用程式作業規範 第9條 (texto chino)

   Qué supone para su app móvil

   Es un ciclo anual fijo con métodos concretos: la prueba de referencia, el análisis de código o la prueba de caja negra, y la lista OWASP L2. Los hallazgos de riesgo medio y alto exigen corrección o una aceptación de riesgo documentada.

   Cómo ayuda Ostorlab

   Ostorlab prueba la app y sus API frente a los puntos de la OWASP Mobile Application Security Checklist L2, del análisis del binario a los flujos con sesión iniciada, y vuelve a probar tras la corrección. Los resultados aportan la evidencia para la revisión que debe realizar la unidad de seguridad de la información.

   Qué sigue en sus manos

   La contratación del laboratorio cualificado y de la unidad de evaluación, las decisiones de aceptación de riesgo y la revisión del informe anual.

3. 03

   金融機構提供行動裝置應用程式作業規範 第10條 (texto chino)

   Pruebe cada cambio antes de su puesta en producción

   Qué dice el texto

   Cuando una nueva función se pone en producción por primera vez, cuando cambia la arquitectura del sistema o cuando se modifica una función existente, realice análisis de código o pruebas de caja negra y corrija las vulnerabilidades de riesgo medio y alto. Para las funciones relacionadas con el movimiento de fondos, o con transferencias electrónicas e instrucciones de transacción que afecten de forma importante a los derechos de los clientes, pruebe conforme al OWASP Mobile Top 10 y corrija los hallazgos de riesgo medio y alto antes de la puesta en producción. Si una puesta en producción de emergencia es inevitable, corrija en un plazo definido y mantenga controles hasta que se corrija.

   Fuente:金融機構提供行動裝置應用程式作業規範 第10條 (texto chino)

   Qué supone para su app móvil

   Cada versión es un cambio. Las funciones de movimiento de fondos reciben el tratamiento más estricto del OWASP Mobile Top 10 y no pueden ponerse en producción con hallazgos de riesgo medio o alto.

   Cómo ayuda Ostorlab

   Ostorlab ejecuta escaneos automatizados desde su pipeline CI/CD en cada compilación y vigila las versiones publicadas en las tiendas sin disparadores manuales. Mobile SAST funciona sobre el APK, AAB o IPA sin necesidad del código fuente, y el pentest con agentes de IA cubre los flujos de transferencia detrás del inicio de sesión.

   Qué sigue en sus manos

   La clasificación de cambios, la aprobación de versiones y los controles de las puestas en producción de emergencia.

4. 04

   金融機構提供行動裝置應用程式作業規範 第5條、第15條；行動應用App基本資安檢測基準 V4.0, 4.1.5.5 (texto chino)

   Gestione los dispositivos comprometidos y proteja la ejecución

   Qué dice el texto

   Al arrancar, si la app detecta un dispositivo que parece comprometido, por ejemplo con root, jailbreak o depuración USB, debe avisar al usuario y restringir las transferencias no designadas y las instrucciones de transacción. Cuando la app se usa como mecanismo de reconfirmación de transacciones de alto riesgo de clientes corporativos, las normas exigen medidas antiintrusión (evitar dispositivos comprometidos, verificar la integridad de la app y las bibliotecas, impedir la superposición de pantalla, resistir la ingeniería inversa), protección en ejecución (impedir el reempaquetado y la escucha, bloquear código no autorizado, bloquear capturas de pantalla y pantallas extendidas, detectar emuladores, avisar en modo depuración) y protección de datos sensibles (memoria y archivos, claves protegidas por el dispositivo, anticlonación). El referencial de pruebas convierte la detección de root y jailbreak, la ofuscación, la detección de emulador, la detección de depuración USB y el modo depuración apagado en parte de sus pruebas opcionales de clase F.

   Fuente:金融機構提供行動裝置應用程式作業規範 第5條、第15條；行動應用App基本資安檢測基準 V4.0, 4.1.5.5 (texto chino)

   Qué supone para su app móvil

   La detección por sí sola no basta: la app debe avisar y restringir, y las protecciones deben sobrevivir a un intento real de elusión, no solo existir en el código.

   Cómo ayuda Ostorlab

   Mobile Shielding Scan ejecuta la app en entornos con root, jailbreak, emulador y depuración USB, intenta eludir la detección de root, la protección antimanipulación y el pinning TLS, y muestra si la app bloquea el flujo, se niega a arrancar o sigue funcionando. Obtiene evidencia de elusión y una puntuación de endurecimiento.

   Qué sigue en sus manos

   La política sobre dispositivos comprometidos y la elección y configuración de su producto de protección.

5. 05

   金融機構提供行動裝置應用程式作業規範 第11條至第14條；金融機構辦理電子銀行業務安全控管作業基準 第6條 (texto chino)

   Almacene claves y códigos de un solo uso como exigen las normas

   Qué dice el texto

   Las claves almacenadas en el dispositivo móvil deben residir en un elemento seguro conforme a CNS 15408 EAL5, Common Criteria ISO/IEC 15408 v2.3 EAL5 o FIPS 140-2 nivel 3 o superior, o protegerse por software con criptografía de caja blanca y ofuscación de código, confirmada por una unidad de evaluación. Cuando una operación con clave, como un OTP o un TAC, se usa para transferencias a cuentas no designadas, debe confirmarse que la clave está en el dispositivo designado por el cliente. La descarga de datos sensibles por vía aérea exige confirmar la identidad del usuario y cifrado de extremo a extremo entre el banco y la app. Las claves en un elemento seguro necesitan control de acceso limitado a aplicaciones de confianza, y los datos de pago NFC una confirmación manual del usuario. La norma de banca electrónica aplica sus niveles de confianza de identidad digital a los mismos flujos.

   Fuente:金融機構提供行動裝置應用程式作業規範 第11條至第14條；金融機構辦理電子銀行業務安全控管作業基準 第6條 (texto chino)

   Qué supone para su app móvil

   La app debe demostrar dónde vive la clave y que es el dispositivo del cliente el que la contiene. La criptografía de caja blanca sin ofuscación, o un OTP generado en otro sitio, no cumplen el texto.

   Cómo ayuda Ostorlab

   Ostorlab detecta claves de API, tokens y credenciales en el paquete de la app y valida si funcionan, inspecciona cómo se almacenan y protegen las claves y los valores sensibles en el dispositivo, e intercepta el tráfico, incluso con TLS pinning, para probar los flujos de OTP y transferencia con sus cuentas de prueba.

   Qué sigue en sus manos

   La elección del elemento seguro o del diseño de caja blanca, el ciclo de vida de las claves y el proceso de vinculación al dispositivo.

6. 06

   金融機構辦理電子銀行業務安全控管作業基準 第7條至第9條、第11條 (texto chino)

   Aplique la norma de banca electrónica al canal móvil

   Qué dice el texto

   Los sistemas de aplicaciones móviles que se ofrecen a los clientes deben seguir las normas de apps móviles. Los sistemas expuestos a Internet deben controlar las sesiones y cortar la conexión tras diez minutos de inactividad, evitar fallos de inyección y cross-site scripting, y proteger las contraseñas fijas frente a la captura mediante navegadores integrados. Las transacciones se dividen por riesgo: las de alto riesgo, incluidas las transferencias no designadas por encima del límite de bajo riesgo, exigen el nivel de confianza más alto, y las transacciones de alto riesgo de clientes corporativos medidas adicionales como la reconfirmación por dos personas, límites y notificación inmediata. Las transmisiones de datos a terceros y los servicios externalizados deben cubrirse con contratos que exijan el cumplimiento de la norma.

   Fuente:金融機構辦理電子銀行業務安全控管作業基準 第7條至第9條、第11條 (texto chino)

   Qué supone para su app móvil

   El tiempo de espera de diez minutos, los niveles de confianza de inicio de sesión y transacción y la protección frente a la captura por navegador integrado son comportamientos concretos de la app y del backend que la sustenta.

   Cómo ayuda Ostorlab

   Las pruebas autenticadas cubren inicio y cierre de sesión, renovación de tokens, tiempos de espera, invalidación de sesiones y aplicación efectiva de MFA, incluidos los flujos de autenticación reforzada, junto con las llamadas de API que los sustentan. El pentest con agentes de IA prueba la lógica de negocio de los flujos de transferencia.

   Qué sigue en sus manos

   La elección del nivel de confianza de cada servicio, los límites de transacción, el diseño de la reconfirmación corporativa y los contratos con terceros.

7. 07

   金融資安韌性發展藍圖 (plan de resiliencia de ciberseguridad financiera), medidas 7 a 9, diciembre de 2025 (texto chino)

   Integre la seguridad, conozca sus componentes y proteja las API

   Qué dice el texto

   El plan de la FSC de diciembre de 2025 anima a las instituciones financieras a adoptar desarrollo, pruebas y despliegue de software seguros, con referencia a NIST SSDF, OWASP SAMM y OWASP ASVS: evaluación de riesgos o modelado de amenazas en el diseño, controles de seguridad integrados en el desarrollo, y herramientas SAST y DAST integradas en el pipeline de publicación. También pide análisis de composición de software para identificar componentes, incluidos los de código abierto y de terceros, producir una lista de materiales de software y vincularla a bases de vulnerabilidades como CVE o el catálogo CISA KEV, con un mecanismo de vigilancia de vulnerabilidades y actualización de versiones. Otra medida elabora una base de seguridad de API que cubre las API de socios e internas, clasificadas por sensibilidad de los datos, apoyándose en el OWASP API Security Top 10.

   Fuente:金融資安韌性發展藍圖 (plan de resiliencia de ciberseguridad financiera), medidas 7 a 9, diciembre de 2025 (texto chino)

   Qué supone para su app móvil

   Los SDK y bibliotecas nativas de la app son los componentes de los que habla el plan, y las API que llama la app entran en el ámbito de la futura base de API. Los datos de componentes por versión son la forma práctica de responder.

   Cómo ayuda Ostorlab

   Mobile SAST y DAST se ejecutan en CI/CD en cada compilación. SCA identifica bibliotecas compiladas estáticamente, las asocia a vulnerabilidades conocidas y enumera los componentes y versiones de cada release. Las pruebas de API comprueban autorización, uso indebido de tokens y abusos como enumeración y repetición.

   Qué sigue en sus manos

   La política de desarrollo seguro, el modelado de amenazas, el inventario y la gobernanza de API, y las decisiones de actualización de versiones.

8. 08

   金融機構提供行動裝置應用程式作業規範 第3條、第4條、第7條、第8條 (texto chino)

   Controle la publicación y vigile las apps falsas

   Qué dice el texto

   El proceso de publicación de la app debe estar controlado por al menos dos personas o dos controles técnicos. Antes de cada publicación, compruebe que los permisos que pide la app corresponden al servicio que presta, y haga que las unidades de seguridad de la información, cumplimiento y riesgo aprueben la primera publicación o cualquier cambio de permisos, incluidos los avisos exigidos por la Ley de Protección de Datos Personales. Publique el nombre, la versión y la ubicación de descarga de la app en el sitio web oficial, y mantenga un mecanismo para detectar versiones falsas de la app y retirarlas o alertar a los clientes.

   Fuente:金融機構提供行動裝置應用程式作業規範 第3條、第4條、第7條、第8條 (texto chino)

   Qué supone para su app móvil

   Los permisos, la aprobación de publicaciones y la detección de clones son controles a nivel de app que pueden comprobarse sobre la versión que publica.

   Cómo ayuda Ostorlab

   Ostorlab enumera los permisos que solicita la app y los SDK y bibliotecas nativas que contiene, y vigila las versiones publicadas en las tiendas para que ninguna versión nueva pase sin probarse.

   Qué sigue en sus manos

   La aprobación de publicaciones, los avisos legales, la retirada de apps falsas y la comunicación con los clientes.

9. 09

   金融機構資通系統與服務供應鏈風險管理規範 第2條、第6條、第7條 (texto chino)

   Gestione los SDK y proveedores que distribuye

   Qué dice el texto

   La norma de cadena de suministro se aplica a los sistemas críticos y de categoría 1, y a otros sistemas que prestan servicios expuestos a Internet, permiten a los proveedores acceder a datos sensibles o cuestan 10 millones de dólares taiwaneses o más. Los contratos deben exigir a los proveedores entregar sistemas y programas libres de malware y puertas traseras, con resultados de pruebas de seguridad o un compromiso de seguridad para los productos y componentes que aportan. Los bancos conservan derechos de auditoría, deben realizar auditorías de seguridad de los proveedores clave y revisar los resultados de las pruebas de seguridad de lo que entregan los proveedores durante el contrato.

   Fuente:金融機構資通系統與服務供應鏈風險管理規範 第2條、第6條、第7條 (texto chino)

   Qué supone para su app móvil

   Una app de banca móvil incluye SDK de terceros que hablan con sus propios backends. Son proveedores en el sentido del texto, y sus componentes pertenecen a los resultados de pruebas de seguridad que revisa.

   Cómo ayuda Ostorlab

   Ostorlab enumera los SDK y bibliotecas nativas de cada versión con sus versiones y su ubicación en el paquete de la app, los asocia a vulnerabilidades conocidas y muestra qué intercambian la app y sus SDK con los backends por la red.

   Qué sigue en sus manos

   Los contratos con proveedores, la diligencia debida, los derechos de auditoría y la aceptación de riesgos.

10. 10

    個人資料保護法 第12條、第21條、第27條；金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法 第6條、第9條、第10條、第13條、第14條 (texto chino)

    Proteja los datos personales y prepárese para notificar

    Qué dice el texto

    Según la Ley de Protección de Datos Personales, una entidad no pública que conserva archivos de datos personales debe adoptar medidas de seguridad apropiadas para evitar robo, alteración, destrucción, pérdida o filtración, y debe notificar a las personas afectadas tras investigar una vulneración. Las medidas de mantenimiento de la FSC para el sector financiero añaden los detalles: reglas sobre dispositivos y soportes, cifrado y copias de seguridad protegidas; para los sistemas de servicios de comercio electrónico, verificación de la identidad del usuario, enmascaramiento de datos, cifrado seguro de las transmisiones por Internet, verificación y validación del software en desarrollo, puesta en producción y mantenimiento, control de acceso y vigilancia de los archivos y bases de datos personales, y vigilancia de usos anómalos; un mecanismo de auditoría de seguridad dentro del control interno; y registros conservados al menos cinco años. Un incidente grave de datos personales debe notificarse a la FSC en un plazo de 72 horas. La ley se modificó el 11 de noviembre de 2025 para añadir un deber general de mantenimiento de la seguridad y un régimen más amplio de notificación de brechas, pero el Yuan Ejecutivo no había fijado la fecha de entrada en vigor en septiembre de 2026.

    Fuente:個人資料保護法 第12條、第21條、第27條；金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法 第6條、第9條、第10條、第13條、第14條 (texto chino)

    Qué supone para su app móvil

    Las contraseñas, tokens y datos personales nunca deberían estar en claro en el teléfono ni viajar sin protección al backend, y la app no debería registrarlos ni exponerlos donde otras apps puedan leerlos.

    Cómo ayuda Ostorlab

    Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, cachés, registros y capturas de pantalla, detecta configuraciones erróneas que debilitan el transporte y las sesiones, y prueba si la app puede alcanzar datos de otros clientes a través de sus API.

    Qué sigue en sus manos

    La clasificación de datos, la respuesta a brechas y su notificación, los registros de conservación y la auditoría de seguridad.

Resumen de textos públicos de Taiwán, consultados el 27 de septiembre de 2026. Las normas de la asociación bancaria y las medidas de la FSC sobre datos personales se resumen a partir de los textos chinos. La modificación de la ley de protección de datos del 11 de noviembre de 2025 aún no está en vigor. Esto no constituye asesoramiento jurídico.