Bangladesh Bank ICTセキュリティ：ガイドラインのとおりにモバイルバンキングアプリをテストしましょう。

1. 01

   Guideline on ICT Security v4.0、11.4.12および11.4.13

   モバイルアプリにSASTとDASTを実施する

   条文の内容

   入力値の検証、出力のエンコード、アプリケーション内の機密データの安全な保存など、セキュアコーディングの手法を採用します。静的・動的アプリケーションセキュリティテスト（SASTとDAST）を定期的に実施し、モバイルアプリのコードにあるセキュリティ上の脆弱性を特定して修正します。

   出典：Guideline on ICT Security v4.0、11.4.12および11.4.13

   モバイルアプリにとっての意味

   モバイルアプリについてSASTとDASTをここまで直接名指しする規制当局は多くありません。「定期的に」はリリースのサイクルに当てはまります。各ビルドをストアに届く前にテストします。

   Ostorlabによる支援

   Mobile SASTは、組み込まれたSDKにまたがるテイント解析を含め、ソースコードなしでAPK、AAB、IPAを直接解析します。Mobile DASTはアプリを実行し、認証済みセッションを維持しながら、通信、スタックトレース、スクリーンショットを取得します。いずれもCI/CDパイプラインからビルドごとに実行できます。

   お客様が担うこと

   セキュアコーディングのトレーニングと、バックエンドのコードのレビュー。

2. 02

   Guideline on ICT Security v4.0、11.4.14および11.7.8

   アプリをハードニングし、シールドする

   条文の内容

   改ざん、悪用、知的財産の窃取、脆弱性の悪用からアプリを保護するため、アプリケーションのハードニング（またはアプリケーションシールド）の仕組みを実施します。モバイル金融サービスについては、設定に不備のあるデバイスが企業のリソースにアクセスできないよう対策を講じ、安全でない状態にあるデバイスが企業のデータにアクセスしようとした場合は、積極的に拒否します。

   出典：Guideline on ICT Security v4.0、11.4.14および11.7.8

   モバイルアプリにとっての意味

   シールドは求められています。重要なのは、誰かがアプリを再パッケージしたり、実行時にフックしたり、root化・脱獄されたスマートフォンで実行したりしたときに、それが機能するかどうかです。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。ハードニングスコアとバイパスの証拠が得られます。

   お客様が担うこと

   シールドや実行時保護の製品の選定と設定。

3. 03

   Guideline on ICT Security v4.0、11.4.2、11.4.6、11.4.7、11.4.11

   オンライン取引でMFAと安全なセッションを強制する

   条文の内容

   すべてのオンライン金融取引に多要素認証を実装します。オンラインセッションは、顧客が再認証しない限り、一定時間後に自動的に終了しなければならず、安全なセッション管理によって、一意のセッション識別子、セキュアなCookie、強制的なセッションタイムアウトを用いてセッションハイジャックを防止しなければなりません。インターネットバンキングのアカウントは、PINの入力を複数回誤るとブロックされます。

   出典：Guideline on ICT Security v4.0、11.4.2、11.4.6、11.4.7、11.4.11

   モバイルアプリにとっての意味

   すべての金融取引でのMFA、セッションの有効期限、ロックアウトは、アプリとそのバックエンドでテストできる具体的な設定です。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を確認し、通信の解析によって認証情報がアプリからバックエンドへどのように送られるかを示します。

   お客様が担うこと

   認証方式の選定と、タイムアウトやロックアウトのしきい値などのポリシーの値。

4. 04

   Guideline on ICT Security v4.0、11.7.18および11.7.19

   モバイル決済の認証をサーバー側で行う

   条文の内容

   ログイン認証と、リスクベースおよび金額ベースの取引認証を導入します。モバイル決済と機密データへのアクセスを、堅牢な顧客認証で保護します。これには、アプリ登録時のMFA、設定可能なPIN、パスワード、パターンまたは生体認証、時間ベースのワンタイムパスワード、OTPの自動取得、試行失敗回数の上限、無操作セッションの最長時間、そしてアプリ運営者のサーバー側のみで処理される認証が含まれます。

   出典：Guideline on ICT Security v4.0、11.7.18および11.7.19

   モバイルアプリにとっての意味

   リストの各項目は、実行中のアプリに対して確認できます。最後の項目が重要です。ユーザーが認証済みかどうかを、アプリが単独で判断してはなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証方式の選定と取引上限の設定。

5. 05

   Guideline on ICT Security v4.0、11.7.16、11.7.17、11.7.23

   デバイスをバインドし、新しいデバイスを通知する

   条文の内容

   デバイス固有の複数の属性を用いてデバイスの登録またはバインディングを実装し、登録済みのデバイスだけがバックエンドサーバーにアクセスできるようにします。新しいデバイスが登録されるたびにユーザーに通知し、登録済みデバイスの記録を保持し、複数の同時ログインの試みを検知して、コールバック、SMS、メールなどの別のチャネルでユーザーに知らせます。

   出典：Guideline on ICT Security v4.0、11.7.16、11.7.17、11.7.23

   モバイルアプリにとっての意味

   デバイスのバインディングはバックエンドで強制されます。未登録のデバイスからのリクエストやリプレイされたトークンは、アプリ内で隠すだけでなく、APIが拒否すべきです。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   バインディングの設計、新しいデバイスの通知、ログインの異常の監視。

6. 06

   Guideline on ICT Security v4.0、11.7.10、11.7.11、11.7.20～11.7.22

   機密データをデバイスに残さない

   条文の内容

   ログインIDとパスワードの自動補完、および機密データのクリップボードを無効にし、オプションとしてアプリ内キーパッドを用意します。他のアプリと共有されるストレージ領域に機密情報を保存せず、使用後はキャッシュとメモリから機密データを削除し、ログオフ時やアプリのインスタンス終了時には、アプリケーション固有の機密データを一時メモリと永続メモリから消去します。

   出典：Guideline on ICT Security v4.0、11.7.10、11.7.11、11.7.20～11.7.22

   モバイルアプリにとっての意味

   ストレージ、キャッシュ、ログに残ったトークン、口座データ、個人データは、マルウェアやスマートフォンを手にした人物に読み取られる可能性があります。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認し、取引の背後にあるAPIをテストします。

   お客様が担うこと

   アプリ内キーパッドの設計と、各画面の入力設定。

7. 07

   Guideline on ICT Security v4.0、6.2.1～6.2.3および6.2.7、Cybersecurity Framework v1.0、5.1.2.25

   決まったサイクルでスキャンとペネトレーションテストを行う

   条文の内容

   脆弱性スキャンを定期的に、および重要な変更の後に実施します。内部スキャンは少なくとも半年に1回とし、高リスクの脆弱性がすべて解消されるまで再スキャンします。重要なシステムとアプリケーションについては、年1回、独立した第三者によるスキャンを行い、期限付きの修正計画を立てます。内部・外部のペネトレーションテストを、少なくとも年1回、およびインフラやアプリケーションの重要なアップグレードや変更の後に実施します。2026年のサイバーセキュリティフレームワークも、年次のペネトレーションテストの規則を繰り返しています。

   出典：Guideline on ICT Security v4.0、6.2.1～6.2.3および6.2.7、Cybersecurity Framework v1.0、5.1.2.25

   モバイルアプリにとっての意味

   アプリとそのAPIはアプリケーションです。メジャーリリースはアプリケーションの重要な変更であり、年次テストに加えて新たなペネトレーションテストを行うきっかけになります。

   Ostorlabによる支援

   CI/CDパイプラインからビルドごとに自動スキャンを実行し、手動で起動しなくてもストアのリリースを監視できます。検出結果はクリティカル、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   独立した第三者による年次スキャン、インフラとネットワークのテスト、修正計画。

8. 08

   Guideline on ICT Security v4.0、6.2.6および11.7.15

   内部および独立した評価者にアプリをテストさせる

   条文の内容

   組織は、内部および独立した評価者を通じて、弱点を特定するための広範かつ反復的な脆弱性評価、スキャン、侵入テストに自社のアプリが合格していることを確認することができます。ペネトレーションテストの手法は、NIST SP800-115などの業界で認められたアプローチに基づき、重要なシステムを対象とし、ネットワークの内外からテストし、過去12か月の脅威を考慮し、テストと修正の結果の保管について定めます。

   出典：Guideline on ICT Security v4.0、6.2.6および11.7.15

   モバイルアプリにとっての意味

   テストは一度きりではなく繰り返し行うことが期待されており、結果と修正は保管しなければなりません。

   Ostorlabによる支援

   クイックスキャンは通常1〜5分、フルスキャンは15〜45分で完了するため、すべてのリリースに組み込めます。AIエージェントによるペネトレーションテストはより深く調べ、通常数時間で、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。重要な変更や定期的な詳細テストに活用できます。

   お客様が担うこと

   独立した評価者の選定と、手法の文書化。

9. 09

   Guideline on ICT Security v4.0、10.8.3、10.8.4、10.8.12

   本番稼働前にAPIを保護し、テストする

   条文の内容

   APIキーとアクセストークンの保護、合理的かつ強制されるトークンの有効期限を含め、APIの設計と開発に関するセキュリティ基準を定めます。APIサービスに強力な認証とアクセス制御を実装し、組織と第三者の間のAPIについては、本番環境に展開する前にセキュリティの審査とテストを実施します。

   出典：Guideline on ICT Security v4.0、10.8.3、10.8.4、10.8.12

   モバイルアプリにとっての意味

   アプリの背後にあるAPIは、アプリと同じ資金とデータを扱います。本番稼働前と変更後にテストが必要です。

   Ostorlabによる支援

   ログイン後のテストでは、アプリを追ってAPIまで入り込み、認可、セッション、MFAの強制をテストし、各検出結果にリクエストとレスポンスのログと再現手順を付けます。

   お客様が担うこと

   第三者の審査、APIの監視とアラート、サービス拒否攻撃への対策。

公開されているBangladesh Bankの文書の要約です（2026年9月27日時点で確認）。一部の規定は、引用のとおり「shall」ではなく「should」や「may」を用いています。本ページは法的助言ではありません。