ECBはAIサイバー対策の行動計画を2026年10月31日までに求めています。

1. 01

   ECB書簡SSM-2026-0301、1ページおよび2ページ

   包括的な行動計画を策定し、期限内に提出する

   書簡の記載内容

   AIを悪用した脅威の影響を遅滞なく評価し、具体的な対策、必要なリソース、明確な役割と責任、実施スケジュールを盛り込んだ包括的な行動計画を策定します。計画は既存のサイバーリスク戦略を土台とし、短期的な優先事項と長期的な構造的対策を扱い、2026年10月31日までに共同監督チームに提出します。

   出典：ECB書簡SSM-2026-0301、1ページおよび2ページ

   モバイルアプリにとっての意味

   計画には、意思表明ではなく、担当者、リソース、期日が明記されたアプリケーションセキュリティのワークストリームが必要です。監督当局は、計画に照らして進捗をモニタリングします。

   Ostorlabによる支援

   Ostorlabは、アプリケーションのワークストリームに測定可能な中身を提供します。アプリごとの検出結果のベースライン、チケットとして追跡される修正、そして進捗として報告できる再テストの結果です。

   お客様が担うこと

   計画そのもの、そのガバナンス、予算とリソース配分の判断、そして共同監督チームとの対話。

2. 02

   ECB書簡SSM-2026-0301、1ページ

   未解決の監督上の指摘事項を遅滞なく解消する

   書簡の記載内容

   重点対象のICT分野における未解決の監督上の指摘事項と措置、およびオンサイト検査、対象を絞ったレビュー、2024年のサイバーレジリエンス・ストレステストですでに特定されたセキュリティリスクに対処します。脅威が加速するにつれ、未解決のまま残された弱点はますます重大になるおそれがあります。

   出典：ECB書簡SSM-2026-0301、1ページ

   モバイルアプリにとっての意味

   過去の検査やペネトレーションテストでデジタルチャネルに問題が指摘されている場合、計画ではそれらが解消済みであるか、期日を定めて解消に向かっていることを示すべきです。

   Ostorlabによる支援

   過去のレビューで見つかったアプリとAPIの検出結果を再テストし、どれが修正されたかを、各結果の証拠とともに示します。

   お客様が担うこと

   監督上の指摘事項の追跡と、その解消の監督当局への報告。

3. 03

   附属書1、重点分野1

   攻撃対象領域の保護を優先する

   書簡の記載内容

   サードパーティ製ソフトウェアやオープンソースのコンポーネントを含むICT資産を特定し、修正の優先順位付けに役立てます。インターネットに面した資産や外部に公開されている資産をすべて最小化して継続的に監視し、修正ではペリメーター技術を優先します。

   出典：附属書1、重点分野1

   モバイルアプリにとっての意味

   モバイルアプリ、アプリが呼び出すAPI、アプリに組み込まれたSDKは外部に公開されており、アプリをリリースするたびにその攻撃対象領域は変化します。

   Ostorlabによる支援

   Ostorlabは、顧客がダウンロードするビルドとそのビルドが呼び出すAPIをテストし、各リリースに含まれるSDKとネイティブライブラリを一覧化し、APIキーやトークンなどのハードコードされたシークレットをリリース前に見つけます。攻撃対象領域の探索機能は、自社が公開しているアプリや資産の把握に役立ちます。

   お客様が担うこと

   ペリメーターデバイス、VPN、クラウド環境、その他の外部資産全般。

4. 04

   附属書1、重点分野2

   大規模な脆弱性管理とパッチ管理を迅速化する

   書簡の記載内容

   優先順位を付けた脆弱性スキャンは、脆弱性の発見のスピードと量の増大に金融機関が対処する助けとなる可能性があります。自社開発のソフトウェアを含め、より頻繁で大量のパッチ適用に備え、業務の安定を保ちながらリスクに基づく迅速な修正を可能にする変更管理を整えます。

   出典：附属書1、重点分野2

   モバイルアプリにとっての意味

   自社開発のモバイルアプリは自社開発のソフトウェアにあたります。より多くの修正がより頻繁に発生することを想定し、すべてのリリースに追いつくテストを計画してください。

   Ostorlabによる支援

   スキャンはリリースごとに実行されます。AIエージェントによるペネトレーションテストは、AIエージェントによる各検出結果を再実行できる動作するエクスプロイトで裏付け、誤検知は5%未満に抑えられるため、対応キューは実際に悪用可能なものの順に並びます。

   お客様が担うこと

   パッチ適用の期限、変更管理、ICT部門の人員配置。

5. 05

   附属書1、重点分野2および5

   セーフガードと人による監督のもとでAIベースのツールを使う

   書簡の記載内容

   AIベースのツールは脆弱性スキャンを補完し得ますが、それには導入前にメリットとリスクを十分に評価し、導入後も適切なセーフガード、人による監督、強固なリスク管理のもとに置くことが条件となります。AIを活用した防御ツールは、適切なガバナンス、検証、人による監督のもとで導入されることを条件に、銀行が脅威に追いつく助けとなり得ます。

   出典：附属書1、重点分野2および5

   モバイルアプリにとっての意味

   計画にAIテストツールを加える場合は、その評価を文書化してください。ツールが何にアクセスできるか、データがどこに送られるか、結果がどのように検証され、誰がレビューするかです。

   Ostorlabによる支援

   判断内容、ツール出力、実行手順を含む各検証パスを確認できます。BYOKでは、AIは自社のモデルプロバイダーのアカウント上で、自社の認証情報、自社が選んだモデル、スキャンごとの支出上限のもとで実行されます。OstorlabはSOC 2 Type II監査を受けており、オンプレミスでのスキャンも利用できます。

   お客様が担うこと

   自社のAIおよびICTリスクのポリシーに基づく、ツールのリスク評価と承認。

6. 06

   附属書1、重点分野3

   監視と検知を強化する

   書簡の記載内容

   アプリケーションログやアクセスログ、ネットワークトラフィック、その他の指標の監視を強化し、特にインターネットに面したアプリケーション、クラウドリポジトリ、重要な内部システム全体で、侵害の痕跡（IoC）や悪用の試みを検知します。

   出典：附属書1、重点分野3

   モバイルアプリにとっての意味

   検知は実行時の運用能力であり、リリース前後のアプリのテストとは別のものです。

   Ostorlabによる支援

   この分野はOstorlabの対象外です。OstorlabはアプリとAPIをテストしますが、本番環境のログやトラフィックは監視しません。

   お客様が担うこと

   セキュリティ監視、検知エンジニアリング、セキュリティオペレーションセンター。

7. 07

   附属書1、重点分野4

   ガバナンス、資金、サプライチェーンの保証を強化する

   書簡の記載内容

   経営機関は、ICTの予算、人員、ツール、変更対応能力が十分であることを確認すべきです。銀行は外部委託したICTサービスについても引き続き全面的な責任を負い、プロバイダーが迅速化する開示とパッチ適用にどの程度備えているかを把握する必要があります。より頻繁なパッチ適用に関する指標や許容閾値を含め、リスクアペタイト・フレームワークを見直すべきです。

   出典：附属書1、重点分野4

   モバイルアプリにとっての意味

   アプリに組み込まれたSDKのベンダーやセキュリティツールのベンダーもこのサプライチェーンの一部です。アプリにおける深刻度「緊急」の検出結果の修正に要する時間などの指標は、リスクアペタイト・フレームワークに含めるべきものです。

   Ostorlabによる支援

   SCAは、各リリースに含まれるサードパーティ製コンポーネントを示し、既知の脆弱性と対応付け、リリースごとにその解消を追跡します。Ostorlab自身の管理策はトラストセンターに掲載しており、SOC 2 Type IIレポートはご要望に応じて提供します。

   お客様が担うこと

   予算、研修、ベンダー評価、そしてリスクアペタイトの指標そのもの。

8. 08

   附属書1、重点分野5

   多層防御を強化し、セキュリティを組み込む

   書簡の記載内容

   ペリメーターの防御は突破されるものと想定します。ユーザー、デバイス、アプリケーション、API、サービスアカウントの継続的な検証を含むゼロトラストの原則を適用し、多要素認証などの強固な基本的管理策を維持し、セキュリティ・バイ・デザインの開発によってデプロイ前に脆弱性を減らし、レガシー技術を置き換えるか保護します。

   出典：附属書1、重点分野5

   モバイルアプリにとっての意味

   銀行アプリでは、すべてのAPI呼び出しをサーバー側で認可し、アプリは侵害されたデバイス上で自らを保護し、セキュリティチェックはインシデントの後ではなく各リリースの前に実行すべきです。

   Ostorlabによる支援

   Ostorlabは、アプリの背後にあるアクセス制御の不備（BOLA、BFLA、IDOR）、MFAの強制、セッション管理をテストし、root・脱獄検知、改ざん防止、TLSピンニングなどのシールドが実行時に機能するかを確認します。リリースパイプラインにおける静的テストと動的テストは、セキュリティ・バイ・デザインを支援します。

   お客様が担うこと

   ネットワークのセグメンテーション、IDアーキテクチャ、レガシーの置き換え。

9. 09

   附属書1、重点分野6

   オペレーショナル・レジリエンスと情報共有を改善する

   書簡の記載内容

   DORAに沿って、危機管理、インシデント対応、バックアップ、フェイルオーバー、復旧の体制を定期的にテストし（高速・大量の攻撃シナリオやサプライチェーンの途絶を想定した演習を含む）、信頼できる枠組みを活用して脅威と脆弱性の情報を共有します。

   出典：附属書1、重点分野6

   モバイルアプリにとっての意味

   これらの演習でテストするのは組織の対応であり、アプリのコードではありません。

   Ostorlabによる支援

   この分野はOstorlabの対象外です。ただし、実際の検出結果に基づく再実行可能なエクスプロイトは、演習シナリオを具体的なものにするのに役立ちます。

   お客様が担うこと

   危機管理、バックアップと復旧のテスト、情報共有。

2026年7月7日付ECB書簡SSM-2026-0301とその附属書1の要約です。本ページは法的助言ではありません。