顧客が使うモバイルバンキングアプリのためのブラジルのサイバーセキュリティ規則

1. 01

   CMN決議第4,893号、第3条§2および§8

   脆弱性をテストし、期限内に修正する

   条文の内容

   サイバーセキュリティポリシーの手続きと管理策は、最低限、認証、暗号化、侵入の防止と検知、情報漏洩の防止、システムの脆弱性の評価と修正を対象としなければなりません。脆弱性への対応には、情報システムの脆弱性を検出するための定期的なテストと分析、ペネトレーションテスト、見つかった脆弱性の適時の修正が含まれます。

   出典：CMN決議第4,893号、第3条§2および§8

   モバイルアプリにとっての意味

   モバイルアプリとアプリが呼び出すAPIは情報システムです。脆弱性を見つけるテストのサイクルと、それぞれが期限内に修正されたことの記録が必要です。

   Ostorlabによる支援

   ビルドごとにCI/CDパイプラインから自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。検出結果はクリティカル、高、中、低で評価され、プラットフォーム内、またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   ポリシーそのもの、パッチ適用の期限、ネットワークやデバイスなどその他の資産全体のテスト。

2. 02

   CMN決議第4,893号、第22-A条、BCB決議第85号、第22-A条

   少なくとも年1回、独立性をもってペネトレーションテストを行う

   条文の内容

   ペネトレーションテストは少なくとも年1回実施しなければなりません。テストは、金融機関がその目的のために起用する自然人または専門会社が、独立性と公平性をもって実施しなければならず、金融機関自身のチームによるテストを妨げるものではありません。結果、特に見つかった脆弱性とその修正のための行動計画は、文書化しなければなりません。

   出典：CMN決議第4,893号、第22-A条、BCB決議第85号、第22-A条

   モバイルアプリにとっての意味

   アプリとそのAPIの年次ペネトレーションテストは、外部に委託する独立したテストです。自社のチームはより頻繁にテストでき、条文はその余地を残しています。

   Ostorlabによる支援

   年次テストの合間には、セキュリティチームがOstorlabを実行します。AIエージェントによるペネトレーションテストは、アプリとそのAPIをログインの先まで通常数時間でテストし、AIエージェントによる各検出結果に、再実行できる動作するエクスプロイトが付きます。そのため、既知の問題を修正した状態で年次テストに臨めます。

   お客様が担うこと

   独立したテスト実施者の起用、テストが要件を満たすかどうかの判断、行動計画。

3. 03

   CMN決議第4,893号、第3条§3および§6

   セキュアな開発に管理策を適用する

   条文の内容

   手続きと管理策は、安全な情報システムの開発と新技術の導入に適用しなければなりません。金融機関は、該当する場合、自ら取得したシステムや、サードパーティのプロバイダーが開発し自社のコンピューティング資源で稼働するシステムについても、これを検証しなければなりません。

   出典：CMN決議第4,893号、第3条§3および§6

   モバイルアプリにとっての意味

   アプリの各リリースは、ストアに公開される前にセキュリティテストを通過すべきです。代理店やベンダーが開発したコードと、アプリ内のSDKも、同じ検証の対象です。

   Ostorlabによる支援

   Mobile SASTは、ソースコードなしでAPK、AAB、IPAを直接解析し、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みセッションを維持し、通信、スタックトレース、スクリーンショットを記録します。SCAは、マニフェストベースのスキャナーでは見落とされることがある、静的にコンパイルされたライブラリを識別します。

   お客様が担うこと

   セキュアな開発ライフサイクル、アプリ以外のコードレビュー、ベンダーとの契約。

4. 04

   CMN決議第4,893号、第3条IIIおよび§2

   認証、暗号化、情報漏洩の防止

   条文の内容

   認証、暗号化の仕組み、情報漏洩を防止する仕組みは、サイバーセキュリティポリシーの最低限の手続きと管理策に含まれます。ポリシーには、機密情報のセキュリティを確保するための具体的な管理策も含めなければなりません。

   出典：CMN決議第4,893号、第3条IIIおよび§2

   モバイルアプリにとっての意味

   モバイルアプリでは、これらの管理策はログインとセッション管理、デバイス上でのデータの保存方法、バックエンドへのデータの送信方法にあります。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制をテストします。ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認します。

   お客様が担うこと

   認証と暗号化の標準の選定、従業員のアクセス。

5. 05

   CMN決議第4,893号、第3条§2 XIII、および第24条

   システム間のインターフェースを保護する

   条文の内容

   最低限の管理策には、電子インターフェースを通じて情報システムを統合する際のセキュリティ要件が含まれます。ブラジル中央銀行は、技術革新に合わせて、それらの要件を定めることができます。

   出典：CMN決議第4,893号、第3条§2 XIII、および第24条

   モバイルアプリにとっての意味

   アプリが呼び出すAPIは電子インターフェースです。そのうち1つでも認可に不備があれば、他の顧客の口座が露出するおそれがあります。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   APIの設計、ゲートウェイ、BCBが公表する技術要件への対応。

6. 06

   Pix規則（BCB決議第1/2020号の附属書）、第89条

   Pixの認証と送金開始の堅牢なセキュリティ

   条文の内容

   Pixの参加者は、支払人の認証と受取人の識別、Pixの送金開始、口座開設、Pixキーの手続き、口座への資金の入出金のセキュリティを確保するため、堅牢な仕組みを導入しなければなりません。個人顧客によるPixの送金開始は、BCBが定める例外を除き、顧客が事前に登録したアクセスデバイスからのみ行わなければなりません。

   出典：Pix規則（BCB決議第1/2020号の附属書）、第89条

   モバイルアプリにとっての意味

   顧客が認証を行い、Pixの支払いを開始する場所はアプリです。デバイスの登録、ステップアップ認証、Pixキーと送金の背後にあるAPIは、悪用に耐えなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。AIエージェントによるペネトレーションテストは、決済と口座のフローのビジネスロジックをテストします。

   お客様が担うこと

   不正リスク管理ソリューション、DICTの照合、上限、不正の疑いへの対応。

7. 07

   共同決議第1/2020号、第16条～第18条、BCB決議第32/2020号、第16条

   Open Financeの認証とAPIのセキュリティ

   条文の内容

   データを送信する金融機関または口座を保有する金融機関は、顧客と、受信または送金を開始する金融機関を認証するための手続きと管理策を導入しなければなりません。顧客の認証は、金融機関自身の電子チャネルで使用する認証、およびそのサイバーセキュリティポリシーと整合していなければなりません。Open Financeのセキュリティマニュアルは、APIのセキュリティ標準、証明書、技術要件を詳しく定めています。

   出典：共同決議第1/2020号、第16条～第18条、BCB決議第32/2020号、第16条

   モバイルアプリにとっての意味

   アプリ内の同意と認証のステップ、そしてOpen Financeを提供するAPIは、デジタルチャネルの他の部分と同じテスト範囲に含まれます。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を確認し、通信の解析によって認証情報がアプリからバックエンドへどのように送られるかを示します。

   お客様が担うこと

   Open Financeの標準、証明書、ディレクトリへの適合。

8. 08

   CMN決議第4,893号、第8条および第23条

   結果を報告し、記録を5年間保管する

   条文の内容

   12月31日を基準日とする、行動計画とインシデント対応計画に関する年次報告書には、ペネトレーションテストと、定期的な脆弱性テスト、スキャン、分析の結果を、その修正のための行動計画とともに含めなければなりません。ペネトレーションテストの結果と行動計画は、テスト日から5年間、BCBが利用できる状態で保管しなければなりません。

   出典：CMN決議第4,893号、第8条および第23条

   モバイルアプリにとっての意味

   アプリの各テストには、日付入りの結果、その後の修正、修正が機能したことの証明が必要であり、年次報告書と監督当局のために用意しておく必要があります。

   Ostorlabによる支援

   スキャン結果、再現手順付きの検出結果、再テストの結果により、アプリの管理策がリリースごとにどのようにテストされ修正されたかを、日付入りの記録として残せます。

   お客様が担うこと

   年次報告書、3月31日までの取締役会への提出、記録の保管。

ブラジル中央銀行が公表したポルトガル語の文書（改正を反映）の要約です（2026年9月27日時点で確認）。一部の文書は、記載のとおり特定のライセンスの種類に適用されます。本ページは法的助言ではありません。