Tests de cybersécurité de l'OJK pour l'application bancaire mobile qu'utilisent vos clients.

1. 01

   POJK 11/POJK.03/2022, article 21 ; SEOJK 29/SEOJK.03/2022, IV.2

   Connaître vos actifs, menaces et vulnérabilités

   Ce que dit le texte

   Les banques doivent maintenir leur cyberrésilience au moyen d'au moins quatre processus : identifier les actifs, les menaces et les vulnérabilités ; protéger les actifs ; détecter les cyberincidents ; et y répondre et s'en rétablir. L'identification comprend un inventaire et une évaluation des actifs informatiques, y compris les logiciels, l'identification des vulnérabilités et la veille sur l'évolution des cybermenaces, ainsi que des tests de cybersécurité réguliers.

   Source :POJK 11/POJK.03/2022, article 21 ; SEOJK 29/SEOJK.03/2022, IV.2

   Ce que cela implique pour votre application mobile

   Votre application mobile, les SDK qu'elle contient et les API qu'elle appelle sont des actifs informatiques. Vous devez savoir ce que contient chaque version avant de pouvoir dire où se trouvent ses vulnérabilités.

   Comment Ostorlab vous aide

   Ostorlab montre ce que contient chaque version de votre application : les SDK tiers et les bibliothèques natives, avec leurs versions et leur emplacement dans le bundle de l'application, ce que l'application et ses SDK échangent avec les backends sur le réseau, et les données personnelles que l'application collecte et partage.

   Ce qui reste de votre ressort

   L'inventaire des actifs pour le reste de votre parc informatique, leur classification par criticité et le registre des risques.

2. 02

   POJK 11/POJK.03/2022, articles 23 et 24 et exposé des motifs ; SEOJK 29/SEOJK.03/2022, VII.2

   Réaliser des tests fondés sur les vulnérabilités, y compris des tests d'intrusion

   Ce que dit le texte

   Les banques doivent réaliser des tests de cybersécurité fondés sur l'analyse des vulnérabilités et fondés sur des scénarios. Les tests fondés sur les vulnérabilités, par exemple les tests d'intrusion, doivent être réalisés périodiquement, à une fréquence fixée par la banque selon des facteurs comme la criticité des systèmes et les changements qui accroissent l'exposition au cyberrisque. Ils commencent par l'identification des vulnérabilités, suivie d'un test d'intrusion, et doivent être réalisés par les banques qui proposent des services de banque numérique ou d'autres services en ligne.

   Source :POJK 11/POJK.03/2022, articles 23 et 24 et exposé des motifs ; SEOJK 29/SEOJK.03/2022, VII.2

   Ce que cela implique pour votre application mobile

   Une application bancaire mobile est un service en ligne : elle entre donc dans le périmètre. L'OJK ne fixe pas de fréquence : c'est votre propre évaluation qui la détermine, et une nouvelle version qui modifie ce que l'application expose est le type de changement que vise la circulaire.

   Comment Ostorlab vous aide

   Les scans rapides se terminent généralement en 1 à 5 minutes et les scans complets en 15 à 45 minutes : ils s'intègrent donc à chaque version. Un pentest par agents IA va plus loin, généralement en quelques heures, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA, pour les changements critiques et vos tests approfondis périodiques.

   Ce qui reste de votre ressort

   La décision sur la fréquence des tests, et les tests des réseaux, serveurs et autres systèmes en dehors de l'application et de ses API.

3. 03

   SEOJK 29/SEOJK.03/2022, annexe I.b, contrôles 4.1.b et 4.2.c

   Inclure les applications mobiles dans le programme de tests d'intrusion

   Ce que dit le texte

   Les critères d'évaluation de la gestion du risque de cybersécurité examinent si la banque dispose d'un programme adéquat d'identification régulière des vulnérabilités ou de tests d'intrusion des applications web, des applications clientes, des applications mobiles, des réseaux sans fil, des serveurs et des équipements réseau. L'audit interne examine l'usage d'outils d'identification des vulnérabilités comme point de départ des tests d'intrusion, et l'usage de comptes dédiés sans droits d'administration pour les tests.

   Source :SEOJK 29/SEOJK.03/2022, annexe I.b, contrôles 4.1.b et 4.2.c

   Ce que cela implique pour votre application mobile

   Les applications mobiles sont explicitement citées dans le programme. L'identification automatisée alimente le test d'intrusion, et les comptes de test devraient être dédiés, contrôlés et supprimés ensuite.

   Comment Ostorlab vous aide

   Mobile SAST analyse directement l'APK, l'AAB ou l'IPA, sans besoin du code source, avec une analyse de propagation (taint) sur les SDK intégrés. Mobile DAST exécute l'application, maintient les sessions authentifiées et capture le trafic, les traces d'appels et les captures d'écran. Le pentest par agents IA teste ensuite la logique métier derrière la connexion, avec vos comptes de test.

   Ce qui reste de votre ressort

   Le document de programme, les comptes de test et leur cycle de vie, et les autres types d'actifs du programme.

4. 04

   SEOJK 29/SEOJK.03/2022, IV.3.i et annexe I.c, contrôle 2.i

   Développement sécurisé et revue du code source avant la mise en production

   Ce que dit le texte

   Les banques veillent au développement sécurisé des systèmes et applications. Au minimum, le développement suit des pratiques de développement sécurisé dans le cadre du cycle de vie du développement des systèmes, le code source est revu pour détecter les vulnérabilités logicielles, en particulier avant son passage en production, et la sécurité des logiciels développés en interne ou par des tiers est revue et testée régulièrement.

   Source :SEOJK 29/SEOJK.03/2022, IV.3.i et annexe I.c, contrôle 2.i

   Ce que cela implique pour votre application mobile

   Chaque version de l'application devrait être vérifiée avant d'arriver sur le store, qu'elle ait été développée par votre équipe ou par un prestataire, et les SDK que vous n'avez pas écrits font partie de ce logiciel.

   Comment Ostorlab vous aide

   Lancez des scans automatisés depuis votre pipeline CI/CD à chaque build et surveillez les versions publiées sur les stores sans déclenchement manuel. Mobile SAST fonctionne sur le binaire : il couvre donc aussi le code tiers dont vous n'avez pas les sources, et SCA identifie les bibliothèques compilées statiquement que les scanners fondés sur les manifestes peuvent manquer.

   Ce qui reste de votre ressort

   Vos normes de développement sécurisé, la revue du code source côté serveur et l'étape d'approbation des mises en production.

5. 05

   POJK 21/2023, articles 5 et 9 ; SEOJK 29/SEOJK.03/2022, annexe I.c, contrôle 2.g

   Authentification à deux facteurs et OTP pour les transactions à haut risque

   Ce que dit le texte

   Les banques doivent appliquer au moins deux facteurs d'authentification pour vérifier les transactions financières, par transaction ou avec des plafonds fondés sur l'analyse des risques de la banque et le consentement du client. Pour l'entrée en relation à distance par voie électronique, l'un des deux facteurs doit être un facteur biométrique (ce que vous êtes). Les critères de la circulaire incluent la vérification par OTP pour les transactions à haut risque, la MFA pour l'accès aux données sensibles, et des contrôles sur les tentatives de mot de passe et l'inactivité.

   Source :POJK 21/2023, articles 5 et 9 ; SEOJK 29/SEOJK.03/2022, annexe I.c, contrôle 2.g

   Ce que cela implique pour votre application mobile

   Le second facteur doit être imposé par le serveur, et pas seulement affiché dans l'application. Les virements, les modifications de bénéficiaire et les autres actions à haut risque ne devraient pas aboutir sans lui.

   Comment Ostorlab vous aide

   Ostorlab saisit les codes à usage unique reçus par SMS, e-mail ou TOTP avec vos comptes de test et teste l'application effective de la MFA et les parcours d'authentification renforcée, y compris les tentatives de manipulation par un attaquant, ainsi que les appels d'API derrière les modifications de compte.

   Ce qui reste de votre ressort

   Le choix des facteurs, l'analyse des risques sous-tendant les plafonds de transaction, le consentement des clients et leur sensibilisation.

6. 06

   POJK 21/2023, article 21 ; SEOJK 29/SEOJK.03/2022, annexe I.c, contrôle 2.e

   Contrôler l'accès aux données et transactions des clients

   Ce que dit le texte

   Les banques doivent appliquer des principes de contrôle de sécurité aux données et transactions des clients dans chaque système électronique utilisé pour les services numériques, couvrant au moins la confidentialité, l'intégrité, la disponibilité, l'authentification, la non-répudiation, le contrôle des autorisations dans les systèmes, bases de données et applications, la séparation des tâches, les pistes d'audit et la conservation des données. La circulaire demande aussi aux banques de protéger les données au repos, en cours d'utilisation et en transit.

   Source :POJK 21/2023, article 21 ; SEOJK 29/SEOJK.03/2022, annexe I.c, contrôle 2.e

   Ce que cela implique pour votre application mobile

   Les autorisations se vérifient dans les API, pas dans les écrans de l'application. Un client qui modifie un numéro de compte dans une requête ne devrait pas voir les données d'un autre.

   Comment Ostorlab vous aide

   Ostorlab intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR), d'usages abusifs des jetons et des sessions, et d'abus comme l'énumération, le rejeu et l'automatisation, avec les requêtes et réponses à l'appui de chaque résultat.

   Ce qui reste de votre ressort

   La séparation des tâches, les pistes d'audit, la conservation des données et les contrôles de vos systèmes bancaires centraux.

7. 07

   POJK 21/2023, article 13(3) et (4) et exposé des motifs, annexe I

   Une revue indépendante avant tout nouveau service numérique

   Ce que dit le texte

   Une demande d'autorisation pour un service numérique répondant aux critères d'un nouveau produit doit inclure les résultats d'une revue par une partie indépendante portant sur les caractéristiques du produit, l'adéquation de la sécurité des systèmes informatiques pour ce produit et la conformité. Pour un service numérique proposé pour la première fois, la revue est réalisée par une partie indépendante extérieure à la banque, comme un consultant en sécurité informatique. La demande couvre aussi les éventuels résultats de tests de sécurité, l'authentification à deux facteurs utilisée et le chiffrement.

   Source :POJK 21/2023, article 13(3) et (4) et exposé des motifs, annexe I

   Ce que cela implique pour votre application mobile

   Lancer une nouvelle application transactionnelle, ou une fonctionnalité qui accroît l'exposition au risque, exige des preuves de sécurité avant que l'OJK n'accorde l'autorisation. Mieux vaut corriger les résultats de vos propres tests avant le début de la revue indépendante.

   Comment Ostorlab vous aide

   Mobile SAST et DAST dans le pipeline de mise en production, avant que l'application n'arrive sur le store, et un pentest par agents IA des nouveaux parcours. Chaque résultat est accompagné d'une note de risque, d'étapes de reproduction, de journaux de requêtes et réponses et de captures d'écran, et le retest confirme si le problème sous-jacent est résolu.

   Ce qui reste de votre ressort

   La demande d'autorisation, le choix du réviseur indépendant et la déclaration signée par vos dirigeants.

8. 08

   POJK 11/POJK.03/2022, articles 24 et 25 ; SEOJK 29/SEOJK.03/2022, VII.4 ; PADK 1/2026, annexe II et format 3.2.14

   Communiquer les résultats des tests à l'OJK et au conseil

   Ce que dit le texte

   Les résultats des tests sont transmis au conseil d'administration pour servir de base aux améliorations. Les résultats des tests fondés sur les vulnérabilités sont communiqués à l'OJK dans le cadre du rapport annuel sur l'état de la mise en œuvre des technologies de l'information, à remettre au plus tard le 21 janvier de l'année suivante, avec le périmètre (actif testé et environnement), la méthode (boîte blanche, boîte noire ou boîte grise), les résultats et leur criticité, l'impact métier et l'état du suivi. Les rapports des tests fondés sur des scénarios sont à remettre dans les 10 jours ouvrés suivant le test.

   Source :POJK 11/POJK.03/2022, articles 24 et 25 ; SEOJK 29/SEOJK.03/2022, VII.4 ; PADK 1/2026, annexe II et format 3.2.14

   Ce que cela implique pour votre application mobile

   Chaque résultat sur l'application doit avoir une criticité, une description de l'impact et un état du suivi d'ici la fin de l'année. Une trace tenue version après version fait du rapport de janvier une compilation, et non une course contre la montre.

   Comment Ostorlab vous aide

   Les résultats sont classés critiques, élevés, moyens ou faibles, suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow, et retestés une fois le correctif publié. Les résultats de scan, les vulnérabilités détectées avec leurs étapes de reproduction et les résultats de retest vous donnent une trace datée de la manière dont les contrôles de l'application ont été testés et corrigés, version après version.

   Ce qui reste de votre ressort

   Le rapport lui-même, l'évaluation de l'impact métier, le reporting au conseil et les tests fondés sur des scénarios.

9. 09

   SEOJK 29/SEOJK.03/2022, VII.5 et VII.7 ; POJK 11/POJK.03/2022, articles 29 et 30

   Rester responsable lorsque vous recourez à des tiers

   Ce que dit le texte

   Les banques peuvent tester par elles-mêmes ou faire appel à un tiers. Avec un tiers, la banque doit s'assurer qu'il dispose des compétences adéquates pour les tests, attestées par exemple par une certification ou une reconnaissance d'un organisme habilité en Indonésie ou à l'étranger, et reste responsable des tests. Les résultats des tests doivent être documentés et protégés pour en préserver la confidentialité. Les contrats avec les prestataires de services informatiques couvrent la confidentialité des données, les résultats d'audits indépendants et l'accès de l'OJK.

   Source :SEOJK 29/SEOJK.03/2022, VII.5 et VII.7 ; POJK 11/POJK.03/2022, articles 29 et 30

   Ce que cela implique pour votre application mobile

   Une plateforme de test SaaS qui reçoit les binaires de votre application et vos identifiants de test est un prestataire de services informatiques que votre processus fournisseurs examinera, et ses résultats sont des données confidentielles.

   Comment Ostorlab vous aide

   Ostorlab a fait l'objet d'un audit SOC 2 Type II. Avec l'offre Enterprise, vous pouvez choisir la résidence des données en Asie-Pacifique ou lancer les scans on-premises, et avec BYOK, l'IA s'exécute sur votre propre compte auprès de votre fournisseur, avec un plafond de dépense par scan. SSO/SAML, le contrôle d'accès basé sur les rôles et les journaux d'audit sont disponibles en option et inclus dans l'offre Enterprise.

   Ce qui reste de votre ressort

   La décision sur la compétence d'un prestataire, vos vérifications préalables et les clauses contractuelles.

Synthèse du POJK 11/POJK.03/2022, de la SEOJK 29/SEOJK.03/2022, du PADK OJK No. 1 de 2026 et du POJK 21/2023, vérifiés le 27 septembre 2026. Les textes sont en indonésien, et la formulation sur cette page est la nôtre. Cette page ne constitue pas un avis juridique.