CBEの規則：モバイルバンキングアプリをログイン後の状態で、リリースごとに診断。

1. 01

   CBEインターネットバンキング規則 3-8-1から3-8-3、CBEモバイル決済サービス規則 3-11-1から3-11-4（アラビア語版）

   インターネットバンキングとモバイル決済のシステムを定期的に評価する

   条文の内容

   CBEの規則は、インターネットバンキングとモバイル決済サービスに関連するすべてのシステムについて、本番サイトと災害復旧サイトの両方で定期的なセキュリティ評価を求めています。最低限の活動は、少なくとも3か月ごと、または運用環境に根本的な変更があった場合の脆弱性評価と、少なくとも年1回、または新しい重要サービスを開始する前のペネトレーションテストです。脆弱性評価は、SQLインジェクション、認証バイパス、安全でない保存などの一般的な弱点を対象とし、指摘事項は修正し、再テストで修正を検証する必要があります。評価活動の対象には、銀行の顧客が利用できるモバイル決済アプリの全リリースを含める必要があります。

   出典：CBEインターネットバンキング規則 3-8-1から3-8-3、CBEモバイル決済サービス規則 3-11-1から3-11-4（アラビア語版）

   モバイルアプリにとっての意味

   アプリは明示的に対象であり、1年前にテストした版だけではありません。規則は顧客が利用できる全リリースを対象としています。四半期ごとの評価と年1回のペネトレーションテストが最低ラインです。

   Ostorlabによる支援

   AIエージェントのペネトレーションテストが、お客様がリリースするビルドで、アプリとそのAPIをログイン後の状態でテストし、AIエージェントの各検出結果に再実行できる動作するエクスプロイトを付けます。Mobile SAST、Mobile DAST、SCAはCI/CDパイプラインからビルドごとに実行されるため、ストアリリースごとに、公式なテストの合間にも評価が行われます。

   お客様が担うこと

   評価の対象範囲の設定、サーバー、ネットワーク機器、災害復旧サイトのテスト、および社内への結果報告。

2. 02

   CBE IPN規則 7-3-3および7-3-4、CBEインターネットバンキング規則 4-5-1（アラビア語版）

   リリース前のペネトレーションテスト報告書をCBEへ提出する

   条文の内容

   新しいサービスは、本番環境に対するペネトレーションテストの報告書をCBEが受領し、高リスク・中リスクの弱点がないことを示すまでは開始できません。銀行はサービス有効化についてCBEの承認を得る必要があり、報告書は発行から3か月以内に提出します。ペネトレーションテストは、秘密保持契約を結んだ独立した第三者事業者が実施し、署名済みの初期報告書と是正計画、本番系と災害復旧系の両方での修正検証、CBEに提出する署名済みの最終報告書が必要です。同じ事業者が3回連続でペネトレーションテストを実施することはできません。

   出典：CBE IPN規則 7-3-3および7-3-4、CBEインターネットバンキング規則 4-5-1（アラビア語版）

   モバイルアプリにとっての意味

   これは年に一度の儀式ではなく、リリース前の関門です。証拠は自社の外にも提出されるため、検出結果と再テストは文書化され、再現可能である必要があります。

   Ostorlabによる支援

   Ostorlabは提出物に添付できる検出結果ごとの証拠を生成します。AIエージェントの各検出結果には再実行できるエクスプロイト、APIの検出結果にはリクエストとレスポンスの証拠が付き、修正後の再テスト結果も確認できます。

   お客様が担うこと

   独立した事業者の選定と契約、報告書への署名、災害復旧サイトのテスト、CBEへの提出。

3. 03

   CBEモバイル決済サービス規則 3-4および3-5（アラビア語版）

   2要素認証を使い、高リスク操作では再認証する

   条文の内容

   モバイル決済サービスの認証は、3つの要素のうち2つを組み合わせる必要があります。ユーザーが知っているもの、デジタル署名やセキュリティトークン機器・アプリが発行するワンタイムパスワードなどユーザーが持っているもの、生体認証などユーザー自身に属するもののうち2つです。複数の受取人への支払指図、上限を超える送金、顧客の連絡先情報の変更などの高リスク行為では、2つの手段による再認証が必要で、個人向けのワンタイムパスワードをこれらの操作でSMSやメールにより自動的に届けてはなりません。ワンタイムパスワードは6文字以上、有効期間は最大90秒とし、PINは6桁以上（望ましくは8桁）で推測しやすい値を使わず、一定回数の失敗でアクセスをブロックし、ユーザー名とパスワードのどちらが誤りかを明かしてはなりません。

   出典：CBEモバイル決済サービス規則 3-4および3-5（アラビア語版）

   モバイルアプリにとっての意味

   管理策はテストできる具体性を持っています。どのフローが第2要素を必要とするか、ワンタイムコードの出所、有効時間、失敗後の挙動を確認できます。

   Ostorlabによる支援

   認証後のテストは、テスト用アカウントでSMS、メール、TOTPのワンタイムコードを入力し、高リスク行為に対するMFAの適用とステップアップ認証のフローをテストし、アプリとその背後のAPIでロックアウト、ユーザー列挙、ワンタイムコードの再利用を確認します。

   お客様が担うこと

   認証方式の選定、生体認証の調整、取引タイプごとのリスク分類。

4. 04

   CBEモバイル決済サービス規則 3-9、CBE IPN規則 7-1-9および7-1-10

   侵害された端末と改ざんに対してアプリを堅牢化する

   条文の内容

   モバイル決済の規則は、アプリがリスクのある端末を検知し、改ざんに抵抗することを求めています。対策には、端末がroot化・脱獄されていないことを十分に検知すること、コードの難読化などのリバースエンジニアリング対策、同じ端末上のスパイウェアによる自動スクリーンショットへの対策、以前に入力したパスワードを保存・表示しないこと、一定時間操作がない場合の自動ログアウトが含まれます。セキュリティ上の問題を修正した新しいリリースが出た場合、銀行は顧客がアプリを使う前にそのインストールを必須とする必要があります。アプリは銀行の公式ストアアカウントから正しいブランドで公開し、銀行は顧客の認証情報を狙うマルウェアを抑えるため、ストアで偽アプリを検索する必要があります。

   出典：CBEモバイル決済サービス規則 3-9、CBE IPN規則 7-1-9および7-1-10

   モバイルアプリにとっての意味

   いずれも、お客様がインストールするビルドのテスト可能な挙動であり、方針の文言ではありません。アプリは停止するか警告するか、検知は回避できるか、古い版は動き続けるかを確認します。

   Ostorlabによる支援

   Mobile Shielding Scanは、root化・脱獄した環境でアプリを実行し、root化・脱獄検知、改ざん防止、計装の回避を試み、アプリがワークフローを遮断するか、起動を拒否するか、動作を続けるかを示します。

   お客様が担うこと

   シールド製品の選定、強制アップデート方針の作成、偽アプリ監視プロセスの運用。

5. 05

   CBEモバイル決済サービス規則 3-5、3-8、3-9-8、CBE IPN規則 7-1-2、7-1-6、7-1-8

   通信データを暗号化し、端末に残すデータを最小化する

   条文の内容

   端末の内部メモリに保存するデータは最小限にし、真に必要なデータは保護する必要があります。モバイルネットワークで送信するデータは、アプリケーション層で暗号化し、PINやパスワードが、アプリと検証を行うホストサーバーの間の中間段階で露出しないようにします。パスワードを平文で処理、送信、保存してはならず、暗号化には強力な方式または適切な鍵長を使用し、鍵はライフサイクルを通じて保護します。IPN規則はさらに、決済チャネルから決済指図を実行するサーバーまでプロセスを暗号化すること、国際的に認められた暗号化を用いることを求めています。

   出典：CBEモバイル決済サービス規則 3-5、3-8、3-9-8、CBE IPN規則 7-1-2、7-1-6、7-1-8

   モバイルアプリにとっての意味

   アプリがファイル、キャッシュ、ログ、スクリーンショットに何を書き込むか、通信がエンドツーエンドでどう保護されるかは、想定ではなくテストで示せる事柄です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにあるトークン、パスワード、個人データを探し、通信の保護を確認し、アプリパッケージに残された鍵、トークン、認証情報を検出します。

   お客様が担うこと

   データ分類、鍵管理、暗号化スタックの選定と設定。

6. 06

   CBEインターネットバンキング規則 3-6-13から3-6-15、CBEモバイル決済サービス規則 3-8-6、3-9-2、3-9-3、3-9-4（アラビア語版）

   認証がバイパスできないことをテストし、ルールをサーバー側で適用する

   条文の内容

   インターネットバンキングの規則は、認証をバイパスしたり省略したりしてシステムに入れないことをテストすること、システムとデータベースへの厳格な本人確認と権限付与の手続きを定めること、システムプロセスを安全に設計すること、監査証跡を保持することを銀行に求めています。モバイル決済の規則は、ユーザーが入力するデータやユーザーが実行しようとするデータベースクエリを含む入力の完全な検証をネットワークサーバー上で行うこと、ユーザー権限の確認と送金ルールを、操作が完了する前に銀行のバックエンドシステム上で実行することを追加で要求しています。システムは必要最小限の権限で動作させ、既知のパスワードや既定のパスワードを使ってはならず、顧客に表示するエラーメッセージでシステムの詳細を明かしてはなりません。

   出典：CBEインターネットバンキング規則 3-6-13から3-6-15、CBEモバイル決済サービス規則 3-8-6、3-9-2、3-9-3、3-9-4（アラビア語版）

   モバイルアプリにとっての意味

   クライアント側のチェックは管理策ではありません。アプリは改変できるため、認証、権限付与、送金の業務ルールはサーバーが適用する必要があります。

   Ostorlabによる支援

   Ostorlabはアプリを改変して呼び出しを再実行し、認証を省略できるか、権限付与がサーバー側で適用されるかをテストします。オブジェクトレベルおよびファンクションレベルの権限不備（BOLA、BFLA、IDOR）、パラメータの改ざん、業務ロジックの悪用を確認します。

   お客様が担うこと

   安全な設計とコーディング基準、コードレビュー、監査証跡とログ基盤。

7. 07

   CBEモバイル決済サービス規則 3-9-10から3-9-12、CBE IPN規則 2-2-2-5、2-2-2-8、7-1-11、7-2-1

   第三者コンポーネントとアプリストア経路を管理する

   条文の内容

   モバイル決済の規則は、決済アプリの構築に第三者のライブラリや既製のアプリケーションコンポーネントを使う場合に、十分なセキュリティ管理策を求めています。また、アプリは、同じ端末で動作する第三者アプリのサービスや、その他の外部ソースのサービスを、銀行自身のバックエンドシステム以外に公開してはならないとしています。IPN規則は、銀行が依存する第三者を把握し、外部サービスを委託する前にCBEの承認を得ることを求めています。Instant Payment Networkのアプリケーションは稼働前に複数のテストを受け、銀行のシステムは、侵入検知・防止システムやファイアウォールを含む適切なインフラで保護する必要があります。

   出典：CBEモバイル決済サービス規則 3-9-10から3-9-12、CBE IPN規則 2-2-2-5、2-2-2-8、7-1-11、7-2-1

   モバイルアプリにとっての意味

   アプリに組み込まれるSDKはすべて、ネットワークアクセスを持つ第三者コードです。新しいサービスは、テストを受け、必要な場合はCBEの承認を得てから本番に進みます。

   Ostorlabによる支援

   SCAとSBOMは、各リリースのSDKとネイティブライブラリを、バージョンとバンドル内の位置とともに一覧化し、既知の脆弱性と突き合わせてリリースごとに追跡します。Ostorlabは手動のトリガーなしでストアリリースを監視します。

   お客様が担うこと

   第三者へのデューデリジェンス、契約、外部委託に関するCBEの承認、資産台帳。

8. 08

   CBEモバイル決済サービス規則 2-2、2-3、3-10、3-12（アラビア語版）、CBEデジタル金融アイデンティティ規則（2026年8月23日）、CBEサイバーセキュリティページ

   サイバーガバナンスを運用し、インシデントをCBEへ報告する

   条文の内容

   取締役会と経営陣は、明確なセキュリティ戦略、承認された情報セキュリティ方針、モバイル決済サービスのリスク分類、継続的な見直しに責任を負います。銀行は、システムとインフラを24時間365日能動的に監視し、セキュリティ違反、侵害、疑わしい弱点を記録し、監査証跡を改ざんから保護し、セキュリティアラートを確認する必要があります。インシデント手続きは、即時の報告と対応、封じ込め、証拠収集、エスカレーションを対象とします。コンプライアンス責任者は、フィッシングや認証情報の窃取、システムへの不正アクセス、データの破壊的操作、サービス停止の長期化や意図的な停止、内部不正などのインシデントをCBEに通知する必要があります。CBEは金融サイバーセキュリティフレームワーク（EG-FinCSF）を配布し、金融セクターのインシデント対応チームEG-FinCIRTをサイバーインシデント報告の窓口として運営しています。電子KYCサービスでは、銀行はインフラとサイバーセキュリティのテストを定期的に見直し、サイバー成熟度と準備状況を評価し、CBEのフレームワークに沿ったサイバーセキュリティ自己評価を実施し、独立した第三者による検証を受け、結果をCBEへ送付する必要があります。

   出典：CBEモバイル決済サービス規則 2-2、2-3、3-10、3-12（アラビア語版）、CBEデジタル金融アイデンティティ規則（2026年8月23日）、CBEサイバーセキュリティページ

   モバイルアプリにとっての意味

   ガバナンスと監視は銀行に残りますが、アプリは監視対象の一部であり、端末リスクのシグナルや不審なログインが可視化される場所です。

   Ostorlabによる支援

   OstorlabはアプリとそのAPIの管理策をテストし、検出結果ごとの証拠を提供します。これは保証と自己評価の作業に活用できます。SOC監視、インシデント対応、CBEとEG-FinCIRTへの報告は行いません。

   お客様が担うこと

   セキュリティプログラム、24時間365日の監視、インシデント対応、CBEとEG-FinCIRTへの報告、eKYC自己評価。

9. 09

   中央銀行・銀行システム法（2020年法律第194号）第140条、第142条、第197条、第198条、第231条（アラビア語版）

   銀行法に基づき顧客データの秘密を守る

   条文の内容

   中央銀行・銀行システム法は、口座、預金、保管品、取引を含むすべての顧客データを厳格な秘密情報としています。顧客の書面による同意、または司法・仲裁の命令がなければ開示できず、義務は銀行取引関係の終了後も、従業員が退職した後も続きます。決済システムの運営者と事業者は、電子システムをハッキング、不正アクセス、データ改ざん、秘密やプライバシーの侵害から十分に保護し、サービスの継続やシステム運用に影響するインシデントをCBEに通知する必要があります。秘密保持条項に違反した場合は、1年以上の拘禁刑および罰金、またはそのいずれかが科されます。

   出典：中央銀行・銀行システム法（2020年法律第194号）第140条、第142条、第197条、第198条、第231条（アラビア語版）

   モバイルアプリにとっての意味

   秘密保持は刑事罰を伴う法的義務であり、モバイルアプリは顧客データが最も露出しやすい場所の一つです。

   Ostorlabによる支援

   Ostorlabは、アプリが端末に残す、または平文で送信する個人データと認証情報を検出し、アプリの背後のAPIで、ある顧客が別の顧客のデータに到達できるかをテストします。

   お客様が担うこと

   法的解釈、同意と開示の手続き、データ漏えい防止。

10. 10

    個人データ保護法（2020年法律第151号）第4条、第7条、第8条、第14条、第15条、第16条、第17条、第38条、施行規則（2025年政令第816号）（アラビア語版）

    個人データ保護法と施行規則を満たす

    条文の内容

    個人データ保護法は、管理者に対し、同意またはその他の適法な根拠の取得、データが正確で関連性があることの確認、保護に必要な技術的・組織的措置の実施、処理記録の保持、目的が終了したデータの消去を求めています。管理者と処理者は、データ保護責任者を任命して登録し、個人データの侵害を72時間以内に個人データ保護センターへ、影響を受ける本人へは3営業日以内に通知する必要があります。個人データの海外移転は、移転先が本法と同等以上の保護水準を提供し、センターの許可または認可を受けた場合を除き禁止されています。電子ダイレクトマーケティングには事前の同意とオプトアウトが必要です。施行規則である2025年政令第816号は、許可・認可の区分、処理中のセキュリティ措置、侵害報告の手続きを定めています。1年間の猶予期間は2026年10月31日に終了し、以後は本法の罰則を含め完全に適用されます。

    出典：個人データ保護法（2020年法律第151号）第4条、第7条、第8条、第14条、第15条、第16条、第17条、第38条、施行規則（2025年政令第816号）（アラビア語版）

    モバイルアプリにとっての意味

    アプリは個人データを収集、保存、送信するため、同意のフロー、データ最小化、保持、侵害報告、ホスティング地域の選択はすべてアプリの設計の一部です。

    Ostorlabによる支援

    Ostorlabは、どの個人データがアプリから出るか、端末のどこに保存・キャッシュされるか、バックエンドへどう流れるかを示し、技術的措置と侵害対応を想定ではなく検証できるようにします。

    お客様が担うこと

    センターの許可・認可、データ保護責任者の登録、同意通知、越境移転の承認、侵害通知の手順書。

CBEとエジプトの公開文書の要約です（2026年9月27日時点で確認）。インターネットバンキング、モバイル決済、デジタルアイデンティティの文書はアラビア語のため本ページで要約しています。IPN規則は英語です。金融サイバーセキュリティフレームワークは機関向けに配布されており、単独の公開文書として公表されていないため、CBEの公開情報に基づいてのみ記述しています。本ページは法的助言ではありません。