DORAのテストを、顧客が使うアプリに。

1. 01

   DORA第8条

   重要な機能を支えるアプリとコンポーネントを把握する

   条文の内容

   ICTに支えられたすべての業務機能と、その背後にある情報資産およびICT資産を、依存関係やICTサードパーティサービスプロバイダーに依存するプロセスを含めて特定、分類、文書化します。分類は少なくとも年1回見直し、サイバー脅威とICTの脆弱性を継続的に評価します。

   出典：DORA第8条

   モバイルアプリにとっての意味

   顧客がログイン、支払い、口座管理に使うモバイルバンキングアプリは、通常、重要または重大な機能を支えており、アプリが呼び出すAPIや組み込まれたSDKも同様です。この分類によって、どの程度の頻度と深さでテストしなければならないかが決まります。

   Ostorlabによる支援

   Ostorlabは、アプリの各リリースに何が含まれているかを示します。サードパーティ製SDKとネイティブライブラリのバージョンとアプリバンドル内の位置、アプリとそのSDKがネットワーク経由でバックエンドとやり取りする内容、そしてアプリが収集・共有する個人データです。

   お客様が担うこと

   業務機能の分類、インベントリそのもの、その年次の見直し。

2. 02

   委任規則（EU）2024/1774第10条

   重要な資産を少なくとも週1回、自動でスキャンする

   条文の内容

   脆弱性管理の手続きには自動化された脆弱性スキャンと評価を含めなければならず、重要または重大な機能を支えるICT資産については少なくとも週1回実施しなければなりません。また、サードパーティ製およびオープンソースのライブラリを追跡し、重要度に応じてパッチに優先順位を付け、修正を検証し、検出されたすべての脆弱性を解決されるまで記録しなければなりません。

   出典：委任規則（EU）2024/1774第10条

   モバイルアプリにとっての意味

   モバイルアプリとそのAPIには、リリースのない週にも維持される自動スキャンの頻度と、検出から修正までのすべての検出結果の記録が必要です。

   Ostorlabによる支援

   CI/CDパイプラインからビルドごとに自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。パイプラインのスケジュール実行により、リリースの合間にも週次の頻度を維持できます。検出結果は緊急、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   パッチ適用の期限とエスカレーション手続き、そしてその他のICT資産全般のスキャン。

3. 03

   委任規則（EU）2024/1774第16条

   本番稼働前にコードを静的・動的にテストする

   条文の内容

   すべてのICTシステムを、使用前と保守後に、その重要度に応じてテストし承認します。テストには、静的テストと動的テストの両方を含むソースコードレビュー、インターネットに公開されたシステムとアプリケーションのセキュリティテスト、発見された脆弱性に対する行動計画が含まれます。サードパーティ製およびオープンソースのコードは、実行可能な場合、本番環境へのデプロイ前に分析・テストします。

   出典：委任規則（EU）2024/1774第16条

   モバイルアプリにとっての意味

   モバイルバンキングアプリはインターネットに公開されたアプリケーションです。各リリースはストアに公開される前に静的・動的なセキュリティテストを通過すべきであり、アプリに含まれるSDKも同じ規則の対象となるサードパーティ製コードです。

   Ostorlabによる支援

   Mobile SASTは、ソースコードなしでAPK、AAB、IPAを直接解析し、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みセッションを維持し、通信、スタックトレース、スクリーンショットを記録します。SCAは、マニフェストベースのスキャナーでは見落とされることがある、静的にコンパイルされたライブラリを識別します。

   お客様が担うこと

   アプリ以外のソースコードのレビュー、リリースの承認手続き、行動計画の管理責任。

4. 04

   DORA第9条第4項(d)、委任規則（EU）2024/1774第21条

   強固な認証も、他の管理策と同様にテストする

   条文の内容

   関連する標準に基づく強固な認証メカニズムのためのポリシーとプロトコルを導入します。RTSは、各ICT資産の分類とリスクプロファイルに見合った認証方式と、重要または重大な機能を支える資産や一般にアクセス可能な資産へのアクセスに対する強固な認証を求めています。

   出典：DORA第9条第4項(d)、委任規則（EU）2024/1774第21条

   モバイルアプリにとっての意味

   ログイン、ワンタイムコード、ステップアップ認証は認証の管理策であり、バックエンドがそれらを適用する方法に欠陥があれば、それは管理策そのものの欠陥です。これらはテストプログラムの範囲に含まれます。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、ステップアップ認証のフローを含むMFAの強制をテストします。

   お客様が担うこと

   従業員と特権アクセス、IDライフサイクル管理、認証標準の選定。

5. 05

   DORA第24条および第25条

   リスクベースのテストプログラムを年次テストとともに実施する

   条文の内容

   ICTリスク管理フレームワークの一部として、デジタル・オペレーショナル・レジリエンス・テストのプログラムを策定、維持、見直します。プログラムには、脆弱性評価とスキャン、オープンソース分析、実行可能な場合のソースコードレビュー、シナリオベースのテスト、エンドツーエンドテスト、ペネトレーションテストなどの適切なテストを盛り込み、重要または重大な機能を支えるすべてのICTシステムとアプリケーションについて少なくとも年1回テストを実施します。

   出典：DORA第24条および第25条

   モバイルアプリにとっての意味

   モバイルアプリは、プログラムの中で明確に位置付ける必要があります。どのテストを、どの頻度で、どのビルドに対して実行するかです。年1回のペネトレーションテストだけでは、その間のすべてのリリースがテストされないままになります。

   Ostorlabによる支援

   クイックスキャンは通常1〜5分、フルスキャンは15〜45分で完了するため、すべてのリリースに組み込めます。AIエージェントによるペネトレーションテストはより深く調べ、通常数時間で、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。重要な変更や定期的な詳細テストに活用できます。

   お客様が担うこと

   プログラムの文書、そのリスクベースの設計、そしてネットワーク、物理、パフォーマンスのテストなど、アプリケーション層以外のテスト。

6. 06

   DORA第24条第4項および第5項

   独立したテスターを起用し、すべての修正を証明する

   条文の内容

   テストは、内部か外部かを問わず、十分なリソースを持ち利益相反のない独立した者が実施しなければなりません。テストで明らかになったすべての問題に優先順位を付け、分類し、是正しなければならず、各弱点が完全に対処されたことを確認するための内部検証の方法を備えなければなりません。

   出典：DORA第24条第4項および第5項

   モバイルアプリにとっての意味

   アプリを開発するチームだけがテストを行うべきではありません。また、チケットを閉じただけでは証明になりません。修正が機能するという証拠が必要です。

   Ostorlabによる支援

   テストを実行し結果を管理するのは、お客様のセキュリティチームまたは第2線のチームです。各検出結果には、リスク評価、再現手順、リクエストとレスポンスのログ、スクリーンショットが付き、再テストで根本的な問題が解決されたかどうかを確認します。

   お客様が担うこと

   組織内で誰を独立した者とみなすかの判断と、検証の承認。

7. 07

   DORA第26条および第27条、委任規則（EU）2025/1190

   指定を受けた場合は少なくとも3年に1回のTLPT

   条文の内容

   所管当局に指定された事業体は、重要または重大な機能を支える稼働中の本番システムを対象に、少なくとも3年に1回、脅威ベースのペネトレーションテストを実施しなければなりません。テスターは第27条の要件を満たす必要があり、重要な信用機関は外部のテスターを起用しなければなりません。テスト後、修正計画と文書をTLPT当局に提出します。

   出典：DORA第26条および第27条、委任規則（EU）2025/1190

   モバイルアプリにとっての意味

   TLPTは、数か月にわたって行われるインテリジェンス主導のレッドチーム演習です（下記のフェーズを参照）。定期的なテストで見つけられたはずのアプリやAPIの弱点は、レッドチームの時間を消費し、最終的に修正計画に載ることになります。

   Ostorlabによる支援

   OstorlabはTLPTを実施せず、その代わりにもなりません。既知のアプリとAPIの問題を修正したうえでTLPTに臨めるよう支援し、その後は修正計画に含まれるアプリとAPIの項目を再テストします。

   お客様が担うこと

   TLPTそのもの：コントロールチーム、脅威インテリジェンスプロバイダー、レッドチームのテスター、TLPT当局との対話。

8. 08

   DORA第28条～第30条

   テストベンダーをICTサードパーティとして管理する

   条文の内容

   金融事業体は、ICTサードパーティサービスプロバイダーを利用する場合でもコンプライアンスについて引き続き全面的な責任を負い、そうした契約に関する情報登録簿を維持します。契約には、データ保護に加え、重要または重大な機能を支えるサービスについては、無制限のアクセス、検査、監査の権利と、プロバイダーのTLPTへの参加を盛り込まなければなりません。

   出典：DORA第28条～第30条

   モバイルアプリにとっての意味

   アプリのバイナリとテスト用の認証情報を受け取るSaaSのテストプラットフォームは、サードパーティリスク管理のプロセスで審査されるベンダーです。

   Ostorlabによる支援

   OstorlabはSOC 2 Type II監査を受けています。Enterpriseプランでは、データの保管地域としてEUを選ぶか、オンプレミスでスキャンを実行でき、BYOKではAIが自社のプロバイダーアカウント上でスキャンごとの支出上限付きで実行されます。SSO/SAML、ロールベースのアクセス制御、監査ログはアドオンとして利用でき、Enterpriseプランには含まれています。

   お客様が担うこと

   デューデリジェンス、契約条項、情報登録簿。

規則（EU）2022/2554、委任規則（EU）2024/1774および2025/1190の要約です。零細企業と簡素化された枠組みの対象となる事業体の義務は、より軽くなっています。本ページは法的助言ではありません。