State Bank of Pakistan : testez votre application bancaire mobile avant chaque lancement.

1. 01

   Circulaire BPRD n° 04 de 2023, annexe A, 2(vii) et 2(viii)

   Examiner chaque produit numérique nouveau ou modifié avant son lancement

   Ce que dit le texte

   Réalisez des revues complètes de la sécurité de l'information des nouveaux produits et services numériques, et de toute modification des produits existants, couvrant les personnes, les processus et la technologie. Les faiblesses et toutes les vulnérabilités critiques, élevées et moyennes identifiées lors de ces revues doivent être corrigées et maîtrisées, avec validation, avant le déploiement en production et le lancement.

   Source :Circulaire BPRD n° 04 de 2023, annexe A, 2(vii) et 2(viii)

   Ce que cela implique pour votre application mobile

   Chaque version de l'application mobile modifie un produit numérique. Elle nécessite une revue de sécurité, et chaque résultat moyen, élevé ou critique doit être corrigé et retesté avant la mise en ligne de la mise à jour sur le store.

   Comment Ostorlab vous aide

   Lancez des scans automatisés depuis votre pipeline CI/CD à chaque build. Mobile SAST analyse directement l'APK, l'AAB ou l'IPA, sans besoin du code source, et Mobile DAST exécute l'application. Les résultats reçoivent un niveau critique, élevé, moyen ou faible, sont suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow, et sont retestés une fois le correctif livré.

   Ce qui reste de votre ressort

   Le référentiel de revue, les volets personnes et processus de la revue, et la décision de mise en production.

2. 02

   Circulaire BPRD n° 04 de 2023, annexe B (FAQ), Management Control 2(vii)

   Mener des revues périodiques de la sécurité des applications

   Ce que dit le texte

   Selon la FAQ de la SBP sur les mesures de 2023, les entités régulées doivent mener des revues périodiques de la sécurité des applications, y compris des évaluations de vulnérabilité, des tests de pénétration et des revues de code source, et traiter et corriger en temps utile toutes les vulnérabilités identifiées. Chaque entité élabore son propre référentiel de revue, fondé sur les bonnes pratiques et sur sa propre évaluation des risques.

   Source :Circulaire BPRD n° 04 de 2023, annexe B (FAQ), Management Control 2(vii)

   Ce que cela implique pour votre application mobile

   Les contrôles à chaque version ne suffisent pas à eux seuls. L'application et ses API ont aussi besoin d'un cycle récurrent d'évaluation de vulnérabilité, de tests de pénétration et de revue de code, avec une trace de la correction des résultats.

   Comment Ostorlab vous aide

   Les scans rapides se terminent généralement en 1 à 5 minutes et les scans complets en 15 à 45 minutes : ils s'intègrent donc à chaque version. Un pentest par agents IA va plus loin, généralement en quelques heures, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA, pour les changements critiques et vos tests approfondis périodiques.

   Ce qui reste de votre ressort

   Les revues du code source de votre backend, le calendrier des revues et le référentiel lui-même.

3. 03

   Enterprise Technology Governance & Risk Management Framework, 2.7

   Maintenir un programme de tests avec évaluations de vulnérabilité et tests de pénétration

   Ce que dit le texte

   Établissez un programme de tests complet pour valider régulièrement l'efficacité de l'environnement de sécurité de l'information. Selon la complexité des opérations, recourez à des évaluations de vulnérabilité suivies d'un test de validation confirmant que les lacunes ont été comblées, à des tests fondés sur des scénarios, à des tests de pénétration périodiques, avec des tests des systèmes internes lors des mises à jour et déploiements majeurs, et à une fonction indépendante d'assurance qualité qui teste les vulnérabilités des développements internes. La politique fixe la fréquence de chaque test.

   Source :Enterprise Technology Governance & Risk Management Framework, 2.7

   Ce que cela implique pour votre application mobile

   Votre politique définit la fréquence des tests de l'application. Une version majeure de l'application ou de son backend est un déclencheur naturel pour un test de pénétration, et chaque évaluation nécessite un test de suivi qui prouve que les lacunes sont comblées.

   Comment Ostorlab vous aide

   Votre équipe sécurité ou de deuxième ligne exécute les tests et détient les résultats. Chaque résultat s'accompagne d'un niveau de risque, d'étapes de reproduction, des journaux de requêtes et de réponses et de captures d'écran, et le retest confirme si le problème sous-jacent est résolu.

   Ce qui reste de votre ressort

   Les tests fondés sur des scénarios et les tests de reprise, la politique de tests et sa périodicité.

4. 04

   Circulaire BPRD n° 07 de 2016 ; circulaire PSD n° 09 de 2018

   Faire évaluer vos contrôles cyber de manière indépendante

   Ce que dit le texte

   Les banques, les DFI et les banques de microfinance doivent s'assurer d'évaluations indépendantes périodiques de l'adéquation et de l'efficacité de leurs contrôles de cybersécurité. Celles-ci peuvent inclure des évaluations de vulnérabilité et des tests de pénétration menés par des personnes indépendantes du domaine examiné, ou par des tiers externes disposant d'une expérience suffisante en sécurité informatique lorsque les équipes internes n'ont pas l'expertise nécessaire. En 2018, la SBP a également imposé une évaluation de vulnérabilité et des tests de pénétration internes, ainsi qu'une revue indépendante par un tiers, des canaux de distribution alternatifs, y compris la banque en ligne et la banque mobile.

   Source :Circulaire BPRD n° 07 de 2016 ; circulaire PSD n° 09 de 2018

   Ce que cela implique pour votre application mobile

   Les personnes qui testent l'application devraient être indépendantes de l'équipe qui la développe. Pour la banque mobile, la SBP a déjà demandé à la fois des tests internes et une revue par un tiers.

   Comment Ostorlab vous aide

   Ostorlab teste la version que vos clients téléchargent et les API qu'elle appelle. Votre équipe sécurité ou de deuxième ligne exécute les tests et détient les résultats, séparément des développeurs.

   Ce qui reste de votre ressort

   Déterminer si un test répond à l'exigence d'indépendance, et faire appel à des évaluateurs externes.

5. 05

   Regulations for the Security of Internet Banking, 1 et 2.2.1 ; circulaire BPRD n° 04 de 2023, annexe A, 3-I(iv)

   Authentifier avec au moins deux facteurs, et contrôler les sessions

   Ce que dit le texte

   Les banques doivent authentifier les clients de la banque en ligne avec au moins une authentification à deux facteurs, comme un mot de passe et un jeton à usage unique, et ajouter des niveaux de sécurité supplémentaires pour les transactions de montant élevé. Les contrôles d'authentification tiennent compte des tentatives de connexion échouées, de la fréquence de changement des mots de passe, de l'expiration des sessions et de la réauthentification selon des critères prédéfinis. La réglementation s'applique quel que soit l'appareil d'accès utilisé par le client, et les mesures de 2023 de la SBP ajoutent que les mots de passe à usage unique doivent avoir une longueur raisonnable et une durée de validité appropriée.

   Source :Regulations for the Security of Internet Banking, 1 et 2.2.1 ; circulaire BPRD n° 04 de 2023, annexe A, 3-I(iv)

   Ce que cela implique pour votre application mobile

   Le verrouillage après des tentatives échouées, l'expiration des sessions, la réauthentification pour les virements de montant élevé et la durée de vie des mots de passe à usage unique sont autant de paramètres testables dans l'application et son backend.

   Comment Ostorlab vous aide

   Ostorlab se connecte avec vos comptes de test, saisit les codes à usage unique reçus par SMS, e-mail ou TOTP, et teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, y compris les parcours d'authentification renforcée.

   Ce qui reste de votre ressort

   Le choix des facteurs et des valeurs de la politique, comme les seuils de verrouillage et la durée de validité des mots de passe à usage unique.

6. 06

   Circulaire BPRD n° 04 de 2023, annexe A, 3-A(iii), (v), (vi), (viii) et (ix)

   Lier les appareils et protéger la réinitialisation des identifiants

   Ce que dit le texte

   Enregistrez les appareils des clients par empreinte (device fingerprinting) ou liaison de l'appareil (device binding), et informez immédiatement le client de tout nouvel appareil. Les réinitialisations d'identifiants ne peuvent être effectuées que depuis l'appareil enregistré, avec récupération ou saisie automatique du mot de passe à usage unique et liaison à l'expéditeur qui restreint la saisie manuelle. Une période de latence de 2 heures s'applique avant l'activation de l'application mobile pour les clients nouvellement inscrits, et avant les modifications clés du compte, comme l'appareil, le numéro de mobile, l'adresse e-mail, les plafonds de transaction et la réinitialisation du mot de passe. L'inscription ne doit pas confirmer l'existence d'un compte avant la fin du processus.

   Source :Circulaire BPRD n° 04 de 2023, annexe A, 3-A(iii), (v), (vi), (viii) et (ix)

   Ce que cela implique pour votre application mobile

   Ces contrôles doivent tenir dans le backend, pas seulement dans les écrans de l'application. Une requête envoyée directement à l'API doit se heurter au même contrôle de l'appareil, à la même période de latence et à la même inscription silencieuse.

   Comment Ostorlab vous aide

   Ostorlab saisit les codes à usage unique reçus par SMS, e-mail ou TOTP avec vos comptes de test et teste l'application effective de la MFA et les parcours d'authentification renforcée, y compris les tentatives de manipulation par des attaquants, ainsi que les appels d'API derrière les modifications de compte. Les tests d'API couvrent les abus comme l'énumération, le rejeu et l'automatisation.

   Ce qui reste de votre ressort

   La conception de la liaison de l'appareil, la vérification biométrique NADRA, la confirmation par rappel et les notifications aux clients.

7. 07

   Circulaire BPRD n° 04 de 2023, annexe A, 3-B(v) et 3-E

   Chiffrer et masquer les données des clients

   Ce que dit le texte

   Chiffrez les données en transit et au repos à toutes les étapes d'une transaction, selon leur classification et leur sensibilité, y compris les données personnelles identifiantes et les données de cartes de paiement. Les informations des clients sont stockées ou transmises sous forme hachée ou chiffrée avec des algorithmes non obsolètes comme AES 256 et SHA256, les informations biométriques ne sont jamais stockées ni transmises en clair, et les informations critiques comme les numéros de carte sont masquées.

   Source :Circulaire BPRD n° 04 de 2023, annexe A, 3-B(v) et 3-E

   Ce que cela implique pour votre application mobile

   L'application est l'une des étapes de la transaction. Ce qu'elle écrit sur l'appareil, consigne dans les journaux ou envoie sur le réseau entre dans le périmètre.

   Comment Ostorlab vous aide

   Ostorlab recherche les jetons de session et les données personnelles dans le stockage local, les caches, les journaux et les captures d'écran, détecte les erreurs de configuration qui affaiblissent la protection du transport et des sessions, et teste les API derrière les transactions.

   Ce qui reste de votre ressort

   La gestion des clés, la classification des données et le chiffrement sur vos serveurs.

8. 08

   Circulaire BPRD n° 04 de 2023, lettre d'accompagnement et annexe A, 4(iii)(f) et 4(v)

   Pouvoir démontrer que vos contrôles étaient en place

   Ce que dit le texte

   Les banques et banques de microfinance qui ne mettent pas en œuvre les contrôles dans les délais sont tenues d'indemniser les clients victimes dans un délai de trois jours ouvrables à compter du signalement de la fraude, indépendamment des mesures coercitives. Selon le cadre de responsabilité, les institutions financières indemnisent les clients lorsqu'elles ne peuvent pas établir que les transactions ont été exécutées depuis l'appareil enregistré du client, et les institutions financières émettrices indemnisent les clients lorsqu'un contrôle prescrit n'est pas mis en œuvre ou a échoué.

   Source :Circulaire BPRD n° 04 de 2023, lettre d'accompagnement et annexe A, 4(iii)(f) et 4(v)

   Ce que cela implique pour votre application mobile

   Lorsqu'une réclamation pour fraude arrive, la question est de savoir si vos contrôles existaient et fonctionnaient. Les résultats de tests de chaque version vous aident à y répondre.

   Comment Ostorlab vous aide

   Les résultats de scan, les vulnérabilités détectées avec leurs étapes de reproduction et les résultats de retest vous donnent une trace datée de la manière dont les contrôles de l'application ont été testés et corrigés, version après version.

   Ce qui reste de votre ressort

   La surveillance de la fraude, le traitement des litiges dans le FTDH et la décision d'indemnisation.

9. 09

   Framework on Outsourcing to Cloud Service Providers, section T

   Tester les systèmes hébergés dans le cloud au moins une fois par an

   Ce que dit le texte

   Réalisez une évaluation de vulnérabilité, des tests de pénétration et des tests de sécurité fondés sur des scénarios des systèmes hébergés chez des fournisseurs de services cloud, au moins une fois par an, en tenant compte des menaces propres aux services cloud, comme les interfaces de programmation d'applications faibles. Les vulnérabilités des charges de travail cloud sont classées par niveau de risque, suivies et corrigées, y compris par une validation a posteriori.

   Source :Framework on Outsourcing to Cloud Service Providers, section T

   Ce que cela implique pour votre application mobile

   Si le backend ou les API derrière votre application s'exécutent dans le cloud, ils nécessitent au moins une évaluation et un test de pénétration annuels, et les faiblesses des API sont citées comme un scénario à couvrir.

   Comment Ostorlab vous aide

   Ostorlab intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR), d'usages abusifs des jetons et des sessions, et d'abus comme l'énumération, le rejeu et l'automatisation, avec les requêtes et réponses à l'appui de chaque résultat.

   Ce qui reste de votre ressort

   Les tests de l'infrastructure cloud, les évaluations propres au fournisseur et les revues des centres de données.

Synthèse des textes publics de la SBP, vérifiés le 27 septembre 2026. Certains textes ne s'appliquent qu'aux banques et aux banques de microfinance, comme indiqué. Cette page ne constitue pas un avis juridique.