APRAとASIC：モバイルバンキングアプリを各文書の求めに沿ってテストしましょう。

1. 01

   CPS 234、第27項から第31項；CPG 234、Testing control effectiveness

   情報セキュリティ管理策を系統的にテストする

   条文の内容

   APRA規制対象機関は、系統的なテストプログラムを通じて情報セキュリティ管理策の有効性をテストしなければなりません。その性質と頻度は、脆弱性と脅威の変化の速さ、資産の重要度と機微度、インシデントの影響、自社のポリシーを適用できない環境への露出リスク、情報資産の変更の重要性と頻度に応じたものとします。テストは、適切な技能を持ち機能面で独立した専門家が実施し、プログラムの十分性は少なくとも年1回、または重要な変更があったときに見直します。CPG 234は、頻度と範囲が少なくとも年1回、十分な範囲の管理策をカバーすること、インターネットを含む信頼できない環境にさらされる管理策は年間を通じてテストすべきことを補足しています。

   出典：CPS 234、第27項から第31項；CPG 234、Testing control effectiveness

   モバイルアプリにとっての意味

   モバイルバンキングアプリとそのAPIは、リリースごとに変わるインターネット公開の情報資産です。系統的なテストプログラムに含め、年次の見直しだけでなくリリース頻度に応じてテストする必要があります。

   Ostorlabによる支援

   OstorlabはCI/CDパイプラインから毎ビルドで自動スキャンを実行し、ストア公開版を手動トリガーなしで監視します。AIエージェントのペネトレーションテストはアプリとAPIをログイン後にテストし、AIエージェントの各検出結果には再実行できる動作するエクスプロイトが付きます。

   お客様が担うこと

   テストプログラムそのもの、テスターの独立性の判断、期限内に修正できない管理策の不備のエスカレーション、内部監査。

2. 02

   CPS 234、第21項；CPG 234、Implementation of controls

   脆弱性を対応期限とともに管理する

   条文の内容

   情報セキュリティ管理策は、情報資産に対する脆弱性と脅威に応じたものでなければなりません。CPG 234は、脆弱性を適時に特定して対処する脆弱性管理の管理策と、既知の脆弱性に対処するパッチや更新の評価と適用を適時に管理するパッチ管理の管理策を求めています。これらの期待は第三者や関連会社が管理する情報資産にも及び、取締役会が受け取る管理環境の保証につながります。

   出典：CPS 234、第21項；CPG 234、Implementation of controls

   モバイルアプリにとっての意味

   アプリに組み込まれたSDKやネイティブライブラリは、自社が配布するソフトウェアです。それぞれに既知のバージョン、脆弱性が出たときの重大度、証明できる修正期限が必要です。アプリが依存するバックエンドの構成要素も同様です。

   Ostorlabによる支援

   SCAは静的にコンパイルされたライブラリを特定し、既知の脆弱性に対応付け、リリースごとに追跡します。検出結果は重大、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowのチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   サーバーとインフラのパッチ適用、ベンダーの保守契約、リスク受容の判断、取締役会への報告。

3. 03

   CPG 234、Attachment D（Software security）およびSecurity in change management

   セキュリティを組み込み、すべての変更をテストする

   条文の内容

   APRAは、アジャイル手法を使う場合も含め、ソフトウェア提供ライフサイクル全体で情報セキュリティを考慮することを期待しています。要件定義、設計、選定と構成、テスト、実装です。変更管理におけるセキュリティには、脆弱性を特定し情報セキュリティ要件が満たされたことを確認するテストとレビューが含まれ、テストの性質は変更の範囲と影響を受ける資産の機微度に応じたものとし、本番環境への展開前に変更を承認します。ソフトウェア基準は、認証、認可、セッション管理、データ検証、暗号、ログ、安全な入出力処理などを対象とすべきです。

   出典：CPG 234、Attachment D（Software security）およびSecurity in change management

   モバイルアプリにとっての意味

   アプリの各リリースは、インターネット公開資産への変更です。自動テストはビルドがストアに届く前のパイプラインに置き、組み込まれるSDKも変更の一部として扱います。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAをソースコードなしで直接解析し、組み込まれたSDK全体にテイント解析を行います。Mobile DASTはアプリを実行し、通信、スタックトレース、スクリーンショットを取得します。どちらもCI/CDパイプラインから毎ビルドで実行できます。

   お客様が担うこと

   セキュアコーディング基準、開発者トレーニング、手動コードレビュー、本番前の承認判断。

4. 04

   CPS 234、第16項、第20項、第22項、第28項；CPG 234、Information asset identification and classification

   情報資産と第三者を把握する

   条文の内容

   APRA規制対象機関は、関連会社や第三者が管理するものを含め、情報資産を重要度と機微度で分類しなければなりません。情報資産が関連会社や第三者に管理されている場合、その者の情報セキュリティ能力を評価し、その者の管理策の設計を評価し、その者の管理策テストに依拠する場合は、テストの性質と頻度が基準の要素に照らして適切かどうかを評価する必要があります。

   出典：CPS 234、第16項、第20項、第22項、第28項；CPG 234、Information asset identification and classification

   モバイルアプリにとっての意味

   資産台帳には、モバイルアプリ、それが呼び出すAPI、組み込まれたSDKを含めるべきです。ホワイトラベルアプリやベンダー製のリリースでも、義務は自社に残ります。

   Ostorlabによる支援

   Ostorlabは各リリースのSDKとネイティブライブラリをバージョンとアプリバンドル内の位置とともに一覧化し、アプリとSDKがネットワーク上でどのバックエンドと何をやり取りするかを示します。OstorlabはSOC 2 Type II監査を受けており、報告書は請求に応じて提供します。

   お客様が担うこと

   資産台帳、第三者のデューデリジェンス、契約、ベンダーのテストに依拠するかどうかの判断。

5. 05

   CPG 235、Data life-cycle management、Retention、Desensitisation、Outsourcing/offshoring；CPS 230、第23項

   データライフサイクル全体でデータリスクを管理する

   条文の内容

   CPG 235は、取得、処理、保存、公開、廃棄というデータライフサイクルの各段階でデータリスクを検討することを期待しています。保存の管理策と正式な保存戦略、データをより信頼度の低い環境へ移す際の暗号化や匿名化などの秘匿化、データとその変更の監査可能性、外部委託と海外移転の慎重な評価を求め、業務の継続、プルーデンス要件の充足、APRAが必要なときに利用可能な形でデータへアクセスできることを含みます。CPS 230は、データリスクを機関が管理すべきオペレーショナルリスクの一つに挙げています。

   出典：CPG 235、Data life-cycle management、Retention、Desensitisation、Outsourcing/offshoring；CPS 230、第23項

   モバイルアプリにとっての意味

   端末上の口座データ、トークン、個人情報もデータライフサイクルの一部です。保存と秘匿化の判断は、データベースだけでなく、キャッシュ、ログ、スクリーンショット、ローカルストレージにも及びます。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットに残るセッショントークンや個人データを探し、通信とセッションの保護を弱める設定ミスを確認します。

   お客様が担うこと

   データ分類、保存期間、秘匿化ポリシー、データガバナンス、海外移転の評価。

6. 06

   CPG 234、Attachment F（Customer security）

   デジタルチャネルで顧客を保護する

   条文の内容

   CPG 234は、デジタルチャネルで提供する商品とサービス向けの管理策を挙げています。脅威に応じた認証、口座振替、新規振込先、住所変更、未認識の端末からのアクセスといった事象に対する第二チャネルでの通知または確認、振込限度額や1日あたりの取引限度額などの上限、取引活動の監視、不正、データ漏えい、なりすましに関する文書化された手続き、パスワードやPINなど認証に使う機微な顧客情報の収集の最小化です。

   出典：CPG 234、Attachment F（Customer security）

   モバイルアプリにとっての意味

   MFA、ステップアップ確認、通知、上限は、アプリや攻撃者が手順を飛ばそうとする場合も含め、バックエンドがすべての重要操作で適用しなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPのワンタイムコードを完了して、MFAの適用とステップアップのフロー、攻撃者がそれを操作しようとする手口、口座変更、振込先、送金の背後にあるAPI呼び出しをテストします。

   お客様が担うこと

   認証方式の選択、取引限度額、不正監視、顧客への注意喚起。

7. 07

   CPS 230、第29項、第48項から第50項、第60項

   オペレーショナルリスクとサービス提供者を一体として扱う

   条文の内容

   CPS 230は、管理策の設計と運用の有効性を、管理するリスクの重要性に応じた頻度で定期的に監視、レビュー、テストし、結果を経営陣に報告し、不備や欠陥を適時に是正することを求めています。重要なサービス提供者の台帳を特定して維持し、年1回APRAに提出し、重要業務のために依拠するサービスの契約締結または重要な変更から20営業日以内にAPRAへ通知し、重要な海外移転の取決めの前にもAPRAへ通知しなければなりません。リスク管理、中核技術サービス、内部監査は、正当な理由がない限り重要なサービス提供者として分類する必要があります。

   出典：CPS 230、第29項、第48項から第50項、第60項

   モバイルアプリにとっての意味

   アプリは中核技術サービスやSDK、APIのベンダーに依存しています。それを動かし続ける管理策はオペレーショナルリスクプロファイルの一部であり、保管する証拠は台帳や取締役会への報告と整合しているべきです。

   Ostorlabによる支援

   毎ビルドの自動スキャンがリリースごとの日付入りの結果を残し、AIエージェントのペネトレーションテストがアプリとAPIをログイン後にカバーします。Enterpriseプランではアジア太平洋のデータレジデンシーを選ぶかオンプレミスで実行でき、OstorlabはSOC 2 Type II監査を受けています。

   お客様が担うこと

   サービス提供者の台帳、契約、取締役会への報告、APRAへの通知、事業継続。

8. 08

   Scams Prevention Framework Act 2025、第58BD条、第58BE条、第58BJ条、第58BM条、第58BN条、第58BO条、第58BX条、第58BZC条、第58BZD条、第58BZG条；Designation 2026、第11条、第12条、第101条

   詐欺防止フレームワークに向けてアプリを準備する

   条文の内容

   Scams Prevention Framework Act 2025は、Competition and Consumer Act 2010にフレームワークを追加しました。規制対象機関は、詐欺の防止、検知、妨害、対応、報告に関するガバナンスの方針と手続きを文書化して実施し、業績指標を定め、年1回、上級役員による書面の証明を行わなければなりません。他者による詐欺の実行を防ぐための合理的な措置、詐欺の発生中と発生後の検知のための合理的な措置、行動可能な詐欺情報の28日以内の調査、影響を受けた消費者の特定、合理的な期間内での活動の妨害や損失・被害の防止のための合理的な措置、詐欺を報告するためのアクセス可能な仕組み、アクセス可能で透明な内部紛争処理、外部紛争処理制度への加盟が必要です。2026年の指定により対象の銀行サービスがフレームワークに加わり、ASICがセクター規制機関となります。大部分の義務は2027年3月31日から適用され、AFCAへの加盟は2026年9月1日から必要です。

   出典：Scams Prevention Framework Act 2025、第58BD条、第58BE条、第58BJ条、第58BM条、第58BN条、第58BO条、第58BX条、第58BZC条、第58BZD条、第58BZG条；Designation 2026、第11条、第12条、第101条

   モバイルアプリにとっての意味

   これらの義務のいくつかはアプリに落ちます。送金の妨害、アプリ内の警告、報告の仕組み、苦情のフローです。アプリやAPIを通じて管理策を回避できると、合理的な措置の主張は弱くなります。

   Ostorlabによる支援

   AIエージェントのペネトレーションテストは送金と口座の業務ロジックをテストし、APIテストは送金や口座変更の背後にある呼び出しの認可とリプレイを確認するため、アプリ側の歯止めがバックエンドで機能するかが分かります。

   お客様が担うこと

   ガバナンスの方針と指標、年次証明、詐欺の監視とASICへの報告、苦情対応、AFCAへの加盟。

9. 09

   Consumer Data Right Rules 2020、第1.15条、第4.25条、第4.27条およびSchedule 2；Consumer Data Standards 1.36.0、Security Profile（Authentication Flows）；Competition and Consumer Act 2010、第56ES条

   Consumer Data RightのAPIプロファイルを満たす

   条文の内容

   Competition and Consumer Act 2010の第IVD編に基づくConsumer Data Rightでは、銀行はデータホルダーとして、消費者本人または認定された者が本人に代わって求めたときにCDR APIを通じてCDRデータを開示し、消費者がCDRデータの開示の承認を管理し撤回できる消費者ダッシュボードを提供しなければなりません。Consumer Data Standardsが技術的な基準を定めています。セキュリティプロファイルでは、データホルダーはFAPI 1.0 Advancedをサポートし、JARMとPKCEもサポートする必要があります。データレシピエントのソフトウェアはPARとPKCEを使い、S256のチャレンジ方式を使わなければなりません。規則は、認定データレシピエントと指定ゲートウェイ向けの手順と最低限の情報セキュリティ管理策を定め、CDRデータに関する対象データ侵害はデータ侵害通知制度の対象となります。

   出典：Consumer Data Right Rules 2020、第1.15条、第4.25条、第4.27条およびSchedule 2；Consumer Data Standards 1.36.0、Security Profile（Authentication Flows）；Competition and Consumer Act 2010、第56ES条

   モバイルアプリにとっての意味

   モバイルアプリが消費者ダッシュボードを兼ねる場合、承認の画面と撤回のフローはCDRの対象面の一部です。CDR APIのエンドポイントは、FAPIの追加要件とともに、他のAPI資産と同じテストが必要です。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、OIDCのフロー、トークンの取り扱い、承認撤回の呼び出し、他顧客のデータへのアクセスを含め、APIの認証と認可をテストします。

   お客様が担うこと

   認定とCDRポリシー、同意とダッシュボードの設計、CDRデータのガバナンス、侵害の通知。

10. 10

    Privacy Act 1988、Schedule 1、APP 11およびPart IIIC；OAIC APP Guidelines、Chapter 11（2025年10月3日更新）；Privacy Amendment (Personal Data Protection) Bill 2026（草案）

    Privacy Actに基づき個人情報を保護する

    条文の内容

    Privacy Act 1988は、APPエンティティに対し、個人情報を悪用、干渉、紛失、および不正なアクセス、改変、開示から保護するための合理的な措置を講じ、不要になった情報を破棄または匿名化することを求めています。2024年12月11日以降、APP 11.3により、合理的な措置には技術的および組織的な措置が含まれることが明確になりました。第IIIC編のデータ侵害通知制度では、データ侵害が重大な被害をもたらす可能性が高い場合、OAICと影響を受ける個人に通知する必要があります。2025年10月に更新されたOAICのAPP 11ガイダンスは、ICTセキュリティ、アクセスセキュリティ、第三者プロバイダーなどを対象領域として挙げています。プライバシー改革の第2弾は2026年8月に草案として公表され、まだ法律にはなっていません。

    出典：Privacy Act 1988、Schedule 1、APP 11およびPart IIIC；OAIC APP Guidelines、Chapter 11（2025年10月3日更新）；Privacy Amendment (Personal Data Protection) Bill 2026（草案）

    モバイルアプリにとっての意味

    パスワード、トークン、口座番号、個人データが端末上で平文のまま残ったり、保護されずにバックエンドへ送られたりしてはなりません。アプリがログ、キャッシュ、スクリーンショットに書き込む内容も対象です。

    Ostorlabによる支援

    Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットに残るセッショントークンや個人データを探し、通信とセッションの保護を弱める設定ミスを確認します。

    お客様が担うこと

    プライバシープログラム、保存と破棄の判断、侵害の評価と通知、プライバシーポリシー。

公開されているAPRA、オーストラリア政府、OAICの文書の要約です（2026年9月27日時点で確認）。CPS 234とCPS 230はBanking Act 1959に基づくプルーデンス基準で、CPG 234とCPG 235はガイダンスです。銀行セクターの詐欺防止フレームワークのコードと規則は、本ページの確認時点では草案の段階でした。本ページは法的助言ではありません。