PBOC・NFRA規則：モバイルバンキングアプリをリリースごとに評価しましょう。

1. 01

   PBOC通知 銀発〔2019〕237号；JR/T 0092-2019 第4章から第6章（中国語テキスト）

   モバイルアプリのセキュリティ基準線を満たす

   条文の内容

   本基準はモバイル金融クライアントアプリに適用され、設計、開発、保守、公開の各段階のセキュリティ要件と管理要件を定めています。アプリを資金取引類、情報収集類、情報照会類の3種類に分け、資金取引類はすべての技術・管理要件を満たし、情報収集類は情報保護に重点を置く必要があります。各要件は基本と強化に区分され、基本要件は最低限の保護、強化要件は推奨です。237号通知は、資金取引類には資金の安全と情報保護の観点から、情報収集類には情報保護の観点から、年1回以上の外部評価を求め、報告書の保管を義務付けています。

   出典：PBOC通知 銀発〔2019〕237号；JR/T 0092-2019 第4章から第6章（中国語テキスト）

   モバイルアプリにとっての意味

   条項の一覧は、署名や改ざん検知から入力保護、保存、データ消去まで、お客様が配布するビルドのテスト計画そのものに見えます。

   Ostorlabによる支援

   Mobile SASTはソースコードなしでAPK、AAB、IPAを直接解析します。AIエージェントのペネトレーションテストは、ログイン後のアプリとAPIをテストし、AIエージェントの各検出結果に再実行できる動作するエクスプロイトを付けます。Mobile Shielding Scanは実行時の保護をテストします。

   お客様が担うこと

   認定された認証・試験機関による外部評価と、年次評価のスケジュール管理。

2. 02

   PBOC通知 銀発〔2019〕237号；NIFAの届出管理規則および届出通知（中国語テキスト）

   NIFAへの届出を行い、評価を最新に保つ

   条文の内容

   237号通知は、金融機関に対し、中国インターネット金融協会（NIFA）が運営する届出システム（finapp.nifa.org.cn）を通じたモバイル金融アプリの実名届出を求めています。届出には資金取引類と情報収集類の外部評価報告書が必要で、有効期間は1年、重大な変更または1年以内に更新されなかった届出は新たな外部評価の対象となります。NIFAは年次評価を確認し、届出を停止または取消すことができ、未届出の金融アプリへの慎重な対応をアプリストアに助言しています。NIFAによると、2025年末までに844機関が2,773本のモバイル金融アプリを届け出ています。

   出典：PBOC通知 銀発〔2019〕237号；NIFAの届出管理規則および届出通知（中国語テキスト）

   モバイルアプリにとっての意味

   届出と年次評価は毎年繰り返す運用義務であり、評価は自己申告ではなく第三者が確認する証拠です。

   Ostorlabによる支援

   Ostorlabのスキャンはリリースごとに日付入りの証拠を生成し、外部評価や届出の更新に添付できます。新しいバージョンに新しい評価が必要なときも、スキャンを再実行できます。

   お客様が担うこと

   届出そのもの、認証・試験機関との関係、重大な変更の判断。

3. 03

   工信部通知 工信部信管〔2023〕105号；2025年10月28日改正のサイバーセキュリティ法（中国語テキスト）

   サービス開始前に工信部へ届け出る

   条文の内容

   工業情報化部は、中国本土でインターネット情報サービスを提供するApp提供者に対し、ネットワーク接続事業者またはアプリ配布プラットフォームを通じた届出を義務付けています。新規アプリはサービス開始前に届け出る必要があり、既存アプリは2023年9月から2024年3月31日までの届出が求められました。通信管理局は届出を継続的に確認し、届け出ていない提供者はAppによるインターネット情報サービスを提供できません。2025年のサイバーセキュリティ法改正は、アプリダウンロードサービスの提供者にも安全管理義務を課し、業務停止やアプリの閉鎖を含む罰則を定めています。

   出典：工信部通知 工信部信管〔2023〕105号；2025年10月28日改正のサイバーセキュリティ法（中国語テキスト）

   モバイルアプリにとっての意味

   銀行アプリは、PBOCとNIFAにとっての金融アプリであると同時に、工信部にとってのインターネット情報サービスを提供するアプリです。2つの届出は別々です。

   Ostorlabによる支援

   Ostorlabは届出を行いません。届出記録とその背後にあるセキュリティ説明を支える日付入りの証拠を、リリースごとに提供します。

   お客様が担うこと

   届出そのもの、ストアの掲載情報、通信管理局への回答。

4. 04

   JR/T 0068-2020 6.2.1；JR/T 0092-2019 5.3.3および5.3.4（中国語テキスト）

   クライアントプログラム自体を保護する

   条文の内容

   クライアントプログラムは、システムコンポーネント、第三者コンポーネント、SDKのリスクを避け、必要に応じて選定時のセキュリティテストを行う必要があります。明確なアプリ識別子とバージョンを持ち、アプリ所有者が署名して出所と発行者を示し、起動時と更新時に真正性と完全性を検証して改ざん、置換、ハイジャックに耐える必要があります。コードの難読化とパッキング、コードインジェクション、権限昇格、プロセスアクセスからの保護、支払機微情報の入力とメモリの保護、支払機微情報のローカル保存の拒否、パスワードのマスキング、無操作後の自動ログアウト、最小権限の適用、終了時の不要データ消去も求められます。さらに、不正な管理者権限やエミュレータ、仮想マシンを含む実行環境を検知し、バックエンドに通知し、危険な環境では警告するか取引を拒否する必要があります。

   出典：JR/T 0068-2020 6.2.1；JR/T 0092-2019 5.3.3および5.3.4（中国語テキスト）

   モバイルアプリにとっての意味

   これらの挙動はすべて、ソースコードのレビューだけでなく、公開されたビルドでテストできます。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・計測された環境でアプリを実行し、root、エミュレータ、改ざん検知、TLSピンニングの回避を試み、保護が破られたときのアプリの動作を報告します。コードとSDKの側面はMobile SASTが担います。

   お客様が担うこと

   シールド製品の選定と設定、リリース署名のプロセス、侵害された端末のリスク方針。

5. 05

   JR/T 0171-2020 6.1および7.4.2（中国語テキスト）

   個人金融情報を区分ごとに保護する

   条文の内容

   本規範は、不正な閲覧や変更が与える危害に応じて個人金融情報をC3、C2、C1に分類します。C3は利用者認証情報であり、カードのトラックデータ、カード検証コード、カードパスワード、取引パスワード、認証に使う生体情報を含みます。C3は保存時に暗号化し、C2とC3は公共ネットワーク上を移動する際に暗号化チャネルまたはデータ暗号化を使う必要があります。クライアントアプリと個人端末は、支払機微情報や生体情報のサンプル・テンプレートを保存してはならず、現在の取引に必要な基本要素のみを保持し、取引直後に消去します。表示する個人金融情報はマスキングし、開発・テスト環境は本番から分離し、実在の個人金融情報を使用してはなりません。個人金融情報を収集、保存、送信、使用するシステムは、情報セキュリティ評価、脆弱性診断、ペネトレーションテストを含む安全点検または評価を年1回以上受ける必要があり、重大な変更や新たな高リスク脅威が生じたときは再評価が必要です。

   出典：JR/T 0171-2020 6.1および7.4.2（中国語テキスト）

   モバイルアプリにとっての意味

   アプリのパッケージ、キャッシュ、ログ、スクリーンショット、テスト工程までが対象であり、年次評価はチェックリストではなく実際のテストを期待しています。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにある支払データ、トークン、個人データを探し、通信保護を確認し、各検出結果を評価・追跡します。スキャンは日付入りなので、年次評価の証拠がリリースごとに積み上がります。

   お客様が担うこと

   データの分類、暗号化の設計、共有・移転・委託処理に規範が求める影響評価。

6. 06

   JR/T 0068-2020 6.2.3および6.4.2；JR/T 0092-2019 5.1.1および5.5.6.3（中国語テキスト）

   高リスク取引を検証し、セッションを適切に終了する

   条文の内容

   高リスク取引について、インターネットバンキング基準は3種類の要素のうち2種類以上の組み合わせを求めています。顧客が知る要素、認証済み証明書・電子署名・ワンタイムパスワードなど顧客だけが持つ要素、生体要素の3つです。要素は相互に独立し、一方の破損や漏えいが他方を損なわない必要があります。ワンタイムパスワードの有効期間は必要最小限にする必要があります。認証が連続して最大10回失敗した場合、ログインまたは取引の権限を短時間でロックし、解除手順を文書化する必要があります。取引通知やワンタイムコードに使う登録済み携帯電話番号の変更には、窓口での手続き、または元の番号への二要素認証が必要です。クライアントとサーバー間の通信は鍵や証明書による相互認証を使い、クライアントはサーバー証明書を検証します。クライアントプログラムは無操作後に自動ログアウトし、通常のログアウトはサーバーにセッション終了を要求します。

   出典：JR/T 0068-2020 6.2.3および6.4.2；JR/T 0092-2019 5.1.1および5.5.6.3（中国語テキスト）

   モバイルアプリにとっての意味

   要素の独立性、ワンタイムコードの有効期間、ロックアウトのしきい値、サーバー側のセッション無効化は、お客様のテストアカウントで検証できます。

   Ostorlabによる支援

   認証後のテストでは、テスト用アカウントでSMS、メール、TOTPのワンタイムコードを完了し、MFAの適用、ステップアップ認証、ロックアウトの動作をテストし、背後のAPI呼び出しを通じてトークン更新、タイムアウト、セッション無効化を確認します。

   お客様が担うこと

   要素の選択とチャネル設計、解除手順、顧客向け通知チャネル。

7. 07

   PBOC令第3号〔2025〕第35条および第36条；NFRA 金規〔2024〕24号第48条および第53条（中国語テキスト）

   本番前にAPIをテストする

   条文の内容

   PBOCは、業務データを提供するフロントゲートウェイとAPIの動的な台帳を維持し、ゲートウェイやAPIの変更を本番に投入する前のセキュリティテストと、発見したリスクの即時是正を求めています。高感度データ項目は、他の処理者、他のデータセンター、インターネットへの送信時に原則として暗号化し、専用線やVPNを優先する必要があります。NFRAは、外部とのデータ連携を集中管理された外部プラットフォームまたはAPIを通じて行い、設計、開発、提供、運用を、知る必要の原則と最小権限に基づく集中安全管理の下に置くことを求めています。システムは本番前にセキュリティテストに合格し、テスト環境は本番から分離し、マスキングされていない機微データを含めない必要があります。

   出典：PBOC令第3号〔2025〕第35条および第36条；NFRA 金規〔2024〕24号第48条および第53条（中国語テキスト）

   モバイルアプリにとっての意味

   APIに触れるすべてのリリースは、本番前にテストが必要な変更であり、API台帳は証拠の一部です。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、壊れた認可（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの乱用を、各検出結果の要求・応答の証拠とともにテストします。

   お客様が担うこと

   API台帳、ゲートウェイ設計、ネットワーク暗号化の選択、本番監視。

8. 08

   PBOC令第3号〔2025〕第16条、第17条、第20条および第33条；NFRA 金規〔2024〕24号第43条、第45条および第46条（中国語テキスト）

   機微データを端末と平文から遠ざける

   条文の内容

   高感度データ項目は原則として端末や可搬媒体に保存せず、業務上必要な場合はそのシナリオを集中的に列挙して管理します。本人確認に使うデータは原則として検証にとどめてエクスポートせず、高感度データ項目は表示時にマスキングします。高感度データ項目は原則としてメール、インスタントメッセージ、オンラインファイル保管、可搬媒体で送らないものとします。NFRAは本人確認データについて明確で、個人の本人確認データを平文で保存、送信、表示してはならず、機微データ以上は保存期間の終了時に、端末や媒体を含めて復元不能に削除または破壊する必要があります。核心データの操作ログは3年以上、重要データと機微データは1年以上保存し、アクセス行為は少なくとも6か月ごとに監査します。

   出典：PBOC令第3号〔2025〕第16条、第17条、第20条および第33条；NFRA 金規〔2024〕24号第43条、第45条および第46条（中国語テキスト）

   モバイルアプリにとっての意味

   平文の本人確認データは強化設定の好みではなく明確な違反であり、モバイルテストで最も証明しやすいものの一つです。

   Ostorlabによる支援

   Ostorlabは、ストレージ、キャッシュ、ログ、スクリーンショット、アプリパッケージにある本人確認データと認証情報を探し、どの秘密情報が機能するかを検証し、アプリとSDKがネットワーク上でバックエンドとやり取りするデータを示します。

   お客様が担うこと

   データ分類、端末管理ポリシー、削除または破壊のプロセス。

9. 09

   GB/T 22239-2019；PBOC令第3号〔2025〕第32条；NFRA 金規〔2024〕24号第41条（中国語テキスト）

   等級保護（MLPS 2.0）の義務を満たす

   条文の内容

   ネットワークセキュリティ等級保護は、中国における情報システムの基盤制度です。GB/T 22239-2019は、第1級から第4級までの一般要件と、クラウド、モバイルインターネット、IoT、産業制御システムの拡張要件を定めています。PBOCは、重要データを保存するシステムに第3級、核心データを保存するシステムに第4級または重要情報インフラ保護を求めています。NFRAは、データを等級保護の対象とし、データの級に応じて論理セキュリティ領域を分割し、機微データ以上を保管・伝送する部屋とネットワークを保護することを求めています。JR/T 0068は、インターネットバンキングシステムに、モバイルインターネット拡張を含む金融業界の実施指針JR/T 0071を参照させています。

   出典：GB/T 22239-2019；PBOC令第3号〔2025〕第32条；NFRA 金規〔2024〕24号第41条（中国語テキスト）

   モバイルアプリにとっての意味

   アプリの背後のシステムの級が保護の基準線を決め、モバイルアプリはその境界の一部です。

   Ostorlabによる支援

   OstorlabはアプリとAPIの管理策をテストし、等級保護評価の技術項目について日付入りの検出結果と再テストを提供するため、アプリ側の既知の問題が公式評価を驚かせることはありません。

   お客様が担うこと

   システムの級の判定と届出、認可された評価機関による正式なMLPS評価、物理・ネットワーク管理策。

10. 10

    NFRA情報科技外部委託規則 銀保監辦発〔2021〕141号第5条、第11条、第17条、第21条、第32条、第34条から第36条および第38条；NFRAオペレーショナルリスク規則 2023年令第5号第29条から第31条（中国語テキスト）

    外部委託とオペレーショナルリスクを管理する

    条文の内容

    NFRAの情報科技外部委託規則は、情報科技の管理責任とサイバーセキュリティの責任を外部委託できないとしています。情報科技戦略管理、情報科技リスク管理、情報科技内部監査その他の中核競争力に関わる機能は外部委託できません。重要な外部委託には、契約前のデュー・デリジェンス、コンプライアンス、サービス継続性、監査権、安全と秘密保持、インシデント報告を含む契約条項、ソースコードを含む開発成果物のセキュリティスキャンが必要です。セキュリティ措置には、委託先への知る必要の原則と最小権限に基づくアクセス、遠隔保守の厳格な管理、機微データ漏えいの継続監視、外部委託活動の定期的なセキュリティ評価が含まれます。重要な非常駐外部委託は少なくとも3年ごとに実地確認し、外部委託リスク管理の全体評価を年1回以上行い、重要な外部委託を少なくとも3年ごとに監査する必要があります。顧客の個人情報漏えいを含む重大事象は報告が必要で、他の規則に期限がなければ24時間以内です。オペレーショナルリスク規則は、事業継続と連携したネットワークセキュリティ、データセキュリティ、外部委託リスクの体制を求めています。

    出典：NFRA情報科技外部委託規則 銀保監辦発〔2021〕141号第5条、第11条、第17条、第21条、第32条、第34条から第36条および第38条；NFRAオペレーショナルリスク規則 2023年令第5号第29条から第31条（中国語テキスト）

    モバイルアプリにとっての意味

    アプリが依存するSDK、テストベンダー、クラウドサービスはすべてこの枠組みに入り、テストの証拠がセキュリティ義務を監視する手段になります。

    Ostorlabによる支援

    Ostorlabはアプリとその内部コンポーネントをテストし、各リリース内のSDKとネイティブライブラリをバージョン付きで列挙し、既知の脆弱性に対応付けてリリースごとに解消を追跡するため、第三者コンポーネントにも独自の証拠が付きます。

    お客様が担うこと

    デュー・デリジェンス、契約、委託先要員のアクセス管理、実地確認、年次評価、インシデント報告。

PBOC、NFRA、工信部、NIFA、全人代の公開文書の要約です（2026年9月27日時点で確認）。中国語のみで公表された文書は要約し、（中国語テキスト）と表示しています。本ページは法的助言ではありません。