HKMAの電子バンキング規則：モバイルバンキングアプリをリリース前後に診断しましょう。

1. 01

   SPM TM-E-1, 3.3.1〜3.3.3

   独立評価と年次のペネトレーションテスト

   条文の内容

   電子バンキングのリスクガバナンスの一環として、経営陣は、新たな電子デリバリーチャネルの開始または既存サービスの大幅な強化の前に、厳格な独立評価を実施することを確保しなければなりません。これは、サービスが適用されるガイダンスに適合し、十分なリスク管理策が実際に機能しているかを検証するものです。独立評価の枠組みにペネトレーションテストが含まれない場合、有資格の独立した主体が、少なくともそのAIのインターネットバンキングと、インターネットまたは無線ネットワーク経由で提供する金融サービスを年1回評価する必要があります。正式なリスク評価も少なくとも年1回求められます。

   出典：SPM TM-E-1, 3.3.1〜3.3.3

   モバイルアプリにとっての意味

   モバイルバンキングアプリは電子バンキングチャネルです。独立評価、年次のペネトレーションテスト、新たな脆弱性の年次レビューのすべてが、アプリとそのAPIを対象に含めるべきです。

   Ostorlabによる支援

   Ostorlabは、ログイン後のアプリとそのAPIに対するAIエージェントによるペネトレーションテスト、APK・AAB・IPAに対するMobile SAST、実行時の保護機能テストを、必要に応じていつでも再実行でき、リリース前、年次、そして各リリースで同じ証拠を生成します。

   お客様が担うこと

   評価者の選定、正式なリスク評価の実施、リリース前の重大な問題の解消です。

2. 02

   SPM TM-E-1, 7.1.1〜7.1.4

   モバイルチャネルと固有リスクの評価

   条文の内容

   モバイル端末からアクセスするインターネットバンキングには固有のリスクがあります。モバイルプラットフォームの脆弱性、顧客の機微な情報を取得したり、通知やワンタイムパスワードを転送・隠蔽したり、顧客を不正取引に誘導するマルウェアや悪意あるアプリ、端末の紛失・盗難、そして顧客のセキュリティ意識が低いことです。AIはこれらのリスクを特定・評価し、対応するセキュリティ対策を講じ、モバイル端末向けの顧客教育を実施し、偽のバンキングアプリを継続的に探索して顧客に通知する必要があります。顧客がバンキングに使う端末でワンタイムパスワードを受信または生成する場合は、追加のセキュリティ管理策が必要です。

   出典：SPM TM-E-1, 7.1.1〜7.1.4

   モバイルアプリにとっての意味

   バックエンドだけでなく、アプリ自体が対象です。オーバーレイマルウェア、通知の傍受、改ざん、偽アプリはモバイル固有の脅威であり、管理策で対処する必要があります。

   Ostorlabによる支援

   Mobile SASTはバイナリと組み込まれたSDKを検査し、Mobile Shielding Scanはroot・脱獄検知、改ざん防止、ピンニングを実行時にテストし、AIエージェントによるペネトレーションテストは詐欺師と同じようにアプリとAPIを試します。

   お客様が担うこと

   ストアにおける偽アプリの監視、顧客教育、ワンタイムパスワードも受信する端末に関する方針です。

3. 03

   SPM TM-E-1, 4.1.1〜4.1.8；回覧「New Anti-Digital Fraud Measures: E-Banking Security ABC」2025年4月14日、附属文書

   2要素認証と既定でのアプリ内認証

   条文の内容

   インターネットバンキングでは、高リスク取引の前に、各ログインセッションで少なくとも1回は2要素認証で顧客の本人確認を行う必要があります。高リスク取引には、未登録の第三者受取人への送金、特定の請求書支払い、第三者への特典やポイントの移転が含まれます。デバイス紐付け直後の高額送金など、高リスク取引が疑わしいと判断された場合は、追加の確認が求められます。2025年以降、HKMAは、モバイルバンキングアプリを持つ顧客が、インターネットバンキングへのログインと高リスク取引を、SMSワンタイムパスワードではなく、既定で紐付けたデバイスを通じて認証することを期待しています。デバイスの新規紐付けと再紐付けには、SMSではなく顔認証または同等に厳格な方法を使用し、SMSワンタイムパスワードを限定された場合に残すときは、クーリングオフ期間と厳格化した不正監視を適用する必要があります。

   出典：SPM TM-E-1, 4.1.1〜4.1.8；回覧「New Anti-Digital Fraud Measures: E-Banking Security ABC」2025年4月14日、附属文書

   モバイルアプリにとっての意味

   第2要素は各重要ステップでサーバー側が強制する必要があり、デバイス紐付けによる認証は、アプリが端末を登録し信頼する方法を変えます。どちらもテストできる挙動です。

   Ostorlabによる支援

   認証後のテストでは、テスト用アカウントを使い、ログインとログアウト、ワンタイムコード、ステップアップ認証とアプリ内認証のフロー、その背後のAPI呼び出しを検証します。

   お客様が担うこと

   デバイス紐付け認証と顔認証の導入、クーリングオフの運用、顧客への説明です。

4. 04

   SPM TM-E-1, 4.4.1〜4.4.3および5.3.3；回覧「Enhancement to security of electronic banking services」2023年10月31日、第8項

   セッション管理とアカウント活動の確認機能

   条文の内容

   インターネットバンキングでは、正当な必要がない限り電子バンキング口座への同時ログインを認めない、実効的なセッション管理を導入し、追加のログイン試行に関するIPアドレス、端末種別、地理的位置などの重要データを記録する必要があります。顧客は、ログイン日時、地理的位置、端末情報を含む口座活動を確認・監視でき、高リスク活動を合理的に長い期間（通常90日以上）検索できるべきです。また、支援を求めるためのアクセスしやすい窓口と、電子バンキング口座を速やかに停止する仕組みを提供し、再有効化には厳格な認証を求める必要があります。

   出典：SPM TM-E-1, 4.4.1〜4.4.3および5.3.3；回覧「Enhancement to security of electronic banking services」2023年10月31日、第8項

   モバイルアプリにとっての意味

   同時ログインの扱い、タイムアウト、トークンの無効化、活動確認画面、停止フローはテストできる挙動であり、そこで生成されるログは証拠になります。

   Ostorlabによる支援

   Ostorlabは、ログインとログアウト、トークン更新、タイムアウト、セッション無効化、同時ログイン試行をテストし、アプリとそのAPIがストレージ、キャッシュ、ログに何を書き込むかを確認します。

   お客様が担うこと

   顧客向けの活動確認機能、停止の仕組み、ログの保存です。

5. 05

   SPM TM-E-1, 5.2.1および5.4.1〜5.4.3；SPM TM-G-1, 3.4.1および5.3.1

   脆弱性評価、脅威監視、パッチ管理

   条文の内容

   AIは、インターネットインフラ、アプリケーションシステム、その他の構成要素に対する新たなセキュリティ脅威を体系的に監視するプロセスを設け、自動化ツール（必要に応じて手動手法で補完）を用いて、インターネットインフラとインターネットバンキングシステムの脆弱性評価を定期的に実施し、検出結果をリスクベースで対処する必要があります。パッチ管理手順はシステムとインフラ構成要素を対象としなければなりません。TM-G-1は、パッチとセキュリティ更新が特定・評価・テストされ、適時に適用されるよう明確な責任を定め、購入およびリースしたハードウェアとソフトウェアを管理・追跡するためのハードウェアおよび設備の台帳を保持することを求めています。

   出典：SPM TM-E-1, 5.2.1および5.4.1〜5.4.3；SPM TM-G-1, 3.4.1および5.3.1

   モバイルアプリにとっての意味

   アプリに組み込まれたSDKとネイティブライブラリは、お客様が顧客に届けるソフトウェアであり、脆弱な構成要素の一覧はリリースごとに変わります。

   Ostorlabによる支援

   SCAは静的にコンパイルされたライブラリを特定して既知の脆弱性と照合し、リリースごとに追跡します。検出結果は重大・高・中・低で評価され、プラットフォームまたはJiraやServiceNowのチケットとして管理され、修正のリリース後に再テストされます。

   お客様が担うこと

   インフラのスキャン、サーバーと端末へのパッチ適用、リスク受容の判断です。

6. 06

   SPM TM-E-1, 5.3.1および5.3.2；PCICSOセクター別行動規範, 6.2.22

   セキュア開発とソースコードレビュー

   条文の内容

   AIは、アプリを含むインターネットバンキングシステムについて、アプリケーションの設計・開発、テスト、実装を少なくとも含む適切なアプリケーションセキュリティを、業界の優れた実務を参照して維持する必要があります。インターネットバンキングシステムやその変更の開始前に、アプリケーションセキュリティ基準への不適合、セキュリティ上の脅威や欠陥となり得るコード、悪意あるコードがないかを確認する適切なソースコードレビューを実施すべきです。レビューは、開発者から独立し、必要な専門知識を持つ主体が行う必要があります。PCICSOのセクター別行動規範は、重要コンピュータシステムについて、セキュア開発プロセスとソースコードの保護を追加しています。

   出典：SPM TM-E-1, 5.3.1および5.3.2；PCICSOセクター別行動規範, 6.2.22

   モバイルアプリにとっての意味

   レビューはリリース前に実施し、アプリのバンドルに含まれる第三者コンポーネントも対象にする必要があります。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAのバイナリを、アプリと組み込まれたSDK全体のテイント解析とともに分析するため、ストア版しか入手できない場合でもコード上の問題を検出できます。

   お客様が担うこと

   セキュアコーディング基準、コードの所有権、自社ソースコードの手動レビューです。

7. 07

   回覧「Managing cyber risk associated with third-party service providers」2023年12月21日；回覧「Risk Associated with Third-party IT Solutions」2024年9月27日

   第三者サービスとソフトウェアのサイバーリスク管理

   条文の内容

   HKMAは、第三者サービス提供者に伴うサイバーリスクを管理するための優れた実務を共有しました。ガバナンス、デューデリジェンス、契約上の管理、継続的な監視が含まれます。セキュリティ製品ベンダーの不具合ある更新により世界的なIT障害が発生した後、HKMAはAIに対し、第三者の依存関係の管理を促しました。更新の展開前テスト、利用者の選択を伴わない自動更新への統制、第三者ITソリューションの障害に対するレジリエンスであり、重要なサービスを依存している場合も含みます。

   出典：回覧「Managing cyber risk associated with third-party service providers」2023年12月21日；回覧「Risk Associated with Third-party IT Solutions」2024年9月27日

   モバイルアプリにとっての意味

   モバイルバンキングアプリは第三者のSDKとサービスから組み立てられます。その更新サイクルと障害のあり方は、ベンダーだけでなくお客様のリスクの一部です。

   Ostorlabによる支援

   Ostorlabは各リリースのSDKとネイティブライブラリをバージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがネットワーク上でバックエンドと何をやり取りするかを示します。再テストは、ベンダーの修正が実際に問題を解消したかを示します。

   お客様が担うこと

   契約、デューデリジェンス、ベンダー監視、提供者の継続か交代かの判断です。

8. 08

   SPM TM-C-1, 3.5；回覧「Cybersecurity Fortification Initiative 2.0」2020年11月3日；SPM OR-2, 4.3および7；回覧「Strengthening Cyber Resilience amid Artificial Intelligence-Empowered Cyber Threats」2026年6月2日

   C-RAF 2.0、iCAST、シナリオテスト

   条文の内容

   Cybersecurity Fortification Initiativeの下で、AIはCyber Resilience Assessment Frameworkにより自己評価します。固有リスク評価、成熟度評価、そして固有リスクが中または高と評価されたAIには、実際の攻撃を模擬するインテリジェンス主導のサイバー攻撃シミュレーションテスト（iCAST）が求められます。C-RAF 2.0はiCASTにブルーチームの要件を追加し、検知・対応・復旧の機能を測定します。TM-C-1は、サイバー防御の成熟度がリスクに見合っているかを評価するHKMAのツールとしてC-RAFを位置づけています。OR-2は別途、第三者やそのサプライチェーンでの障害を含む、深刻だが現実的な中断のシナリオテストを求めています。2026年6月、HKMAはAIに対し、フロンティアAIを活用した攻撃に対して管理策が今も適切かを確認し、第三者サービス提供者のサイバーレジリエンスを見直すよう求めました。

   出典：SPM TM-C-1, 3.5；回覧「Cybersecurity Fortification Initiative 2.0」2020年11月3日；SPM OR-2, 4.3および7；回覧「Strengthening Cyber Resilience amid Artificial Intelligence-Empowered Cyber Threats」2026年6月2日

   モバイルアプリにとっての意味

   iCASTは組織全体の演習であり、有資格者が実施するもので、モバイルアプリのスキャンではありません。アプリとAPIの問題をあらかじめ解消しておくことが、既知の弱点を持ち込まない土台になります。

   Ostorlabによる支援

   OstorlabはiCASTやその他のレッドチーム演習を実施しません。お客様の対応計画のうちアプリとAPIの項目を解消し再テストすることで、より広い評価がきれいな状態から始められるようにします。

   お客様が担うこと

   有資格の評価者によるC-RAFとiCASTの計画・実施、ブルーチーム演習、オペレーショナルレジリエンスのシナリオテストです。

9. 09

   PCICSOセクター別行動規範, 2026年6月2日, 6.3.4〜6.3.7および6.4；PCICSO（Cap. 653）第24条および第25条

   PCICSO：法定のリスク評価、ペネトレーションテスト、監査

   条文の内容

   2026年1月1日以降、Protection of Critical Infrastructures (Computer Systems) Ordinanceが指定事業者に法的義務を課し、Monetary Authorityは重要インフラ事業者に指定したAI向けのセクター別行動規範を発行しました。コンピュータシステムのセキュリティリスク評価は、重要コンピュータシステムのすべてのアプリケーション、ホスト、ネットワーク機器を対象とし、脆弱性評価とペネトレーションテストを含まなければなりません。ペネトレーションテストは、潜在的な攻撃者の立場または脅威インテリジェンスに基づいて実施し、ネットワークセキュリティ、システムソフトウェアセキュリティ、クライアント側アプリケーションセキュリティ、サーバー側アプリケーションセキュリティを対象とすべきです。最初の評価は指定から12か月以内、その後は少なくとも12か月ごと、独立した監査は少なくとも24か月ごとです。報告書には、各検出結果の優先度と、期限および責任者を含む対応計画を記載する必要があります。

   出典：PCICSOセクター別行動規範, 2026年6月2日, 6.3.4〜6.3.7および6.4；PCICSO（Cap. 653）第24条および第25条

   モバイルアプリにとっての意味

   クライアント側アプリケーションセキュリティが明記されているため、モバイルアプリは法定テストの対象であり、各検出結果には証拠と追跡可能な対応計画が必要です。

   Ostorlabによる支援

   OstorlabはアプリとそのAPIをテストし、検出結果ごとの証拠を生成します。再実行できるエクスプロイト、リクエストとレスポンスのログ、構成要素の一覧、再テスト結果を評価報告書に添付できます。

   お客様が担うこと

   有資格の評価者と独立した監査人の選定、ネットワークとインフラのテスト、報告書の提出です。

10. 10

    SPM TM-E-1, 4.3.1、4.4.5および5.1.1；Personal Data (Privacy) Ordinance（Cap. 486）データ保護原則4

    端末上および通信中の顧客データ保護

    条文の内容

    AIは、外部ネットワークを経由する顧客情報と、保管中のログイン資格情報などの高度に機微な情報を保護するため、安全で国際的に認知された強力な暗号化を採用し、適切な鍵管理を行う必要があります。顧客には、端末と認証要素を保護するための合理的な注意を払う義務があることを周知すべきです。監督マニュアルは、AIに対し、Personal Data (Privacy) Ordinanceの遵守を求めています。同条例は、データ使用者に対し、個人データを不正または偶発的なアクセス、処理、消去、損失、使用から保護するためのすべての実行可能な措置を講じることを義務付けています。

    出典：SPM TM-E-1, 4.3.1、4.4.5および5.1.1；Personal Data (Privacy) Ordinance（Cap. 486）データ保護原則4

    モバイルアプリにとっての意味

    トークン、資格情報、個人データがアプリのストレージ、キャッシュ、ログ、スクリーンショットに平文で残らず、通信の保護が攻撃に耐える必要があります。

    Ostorlabによる支援

    Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショット内のセッショントークンと個人データを探し、通信の保護とピンニングの回避を確認し、アプリパッケージ内のシークレットと資格情報を検出します。

    お客様が担うこと

    データ分類、鍵管理、プライバシー通知、保存期間、侵害対応です。

HKMAの公開文書とPCICSOセクター別行動規範の要約です（2026年9月27日時点で確認）。節番号と表現は英語文書に従っています。本ページは法的助言ではありません。