顧客が使うモバイルバンキングアプリのためのOJKサイバーセキュリティテスト

1. 01

   POJK 11/POJK.03/2022、第21条、SEOJK 29/SEOJK.03/2022、IV.2

   資産、脅威、脆弱性を把握する

   条文の内容

   銀行は、少なくとも4つのプロセスを通じてサイバーレジリエンスを維持しなければなりません。資産、脅威、脆弱性の特定、資産の保護、サイバーインシデントの検知、そしてその対応と復旧です。特定には、ソフトウェアを含むIT資産の棚卸しと評価、脆弱性の特定とサイバー動向の監視、定期的なサイバーセキュリティテストが含まれます。

   出典：POJK 11/POJK.03/2022、第21条、SEOJK 29/SEOJK.03/2022、IV.2

   モバイルアプリにとっての意味

   モバイルアプリ、その中のSDK、アプリが呼び出すAPIはIT資産です。各リリースの脆弱性がどこにあるかを示すには、まずリリースに何が含まれているかを把握する必要があります。

   Ostorlabによる支援

   Ostorlabは、アプリの各リリースに何が含まれているかを示します。サードパーティ製SDKとネイティブライブラリのバージョンとアプリバンドル内の位置、アプリとそのSDKがネットワーク経由でバックエンドとやり取りする内容、そしてアプリが収集・共有する個人データです。

   お客様が担うこと

   その他のIT資産全体の棚卸し、重要度の分類、リスク登録簿。

2. 02

   POJK 11/POJK.03/2022、第23条および第24条とその解説、SEOJK 29/SEOJK.03/2022、VII.2

   ペネトレーションテストを含む、脆弱性に基づくテストを実施する

   条文の内容

   銀行は、脆弱性分析に基づくサイバーセキュリティテストと、シナリオに基づくサイバーセキュリティテストを実施しなければなりません。ペネトレーションテストなどの脆弱性に基づくテストは、システムの重要度やサイバーリスクへの露出を高める変更などの要因から銀行が定める頻度で、定期的に実施しなければなりません。テストは脆弱性の特定から始まり、続いてペネトレーションテストを行うもので、デジタルバンキングサービスやその他のオンラインサービスを運営する銀行は実施しなければなりません。

   出典：POJK 11/POJK.03/2022、第23条および第24条とその解説、SEOJK 29/SEOJK.03/2022、VII.2

   モバイルアプリにとっての意味

   モバイルバンキングアプリはオンラインサービスであるため、対象に含まれます。OJKは固定の頻度を定めておらず、頻度を決めるのは自社の評価です。アプリが露出させるものを変える新しいリリースは、通達が指摘する種類の変更にあたります。

   Ostorlabによる支援

   クイックスキャンは通常1〜5分、フルスキャンは15〜45分で完了するため、すべてのリリースに組み込めます。AIエージェントによるペネトレーションテストはより深く調べ、通常数時間で、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。重要な変更や定期的な詳細テストに活用できます。

   お客様が担うこと

   テスト頻度の決定と、アプリとそのAPI以外のネットワーク、サーバー、その他のシステムのテスト。

3. 03

   SEOJK 29/SEOJK.03/2022、付録I.b、管理策4.1.bおよび4.2.c

   ペネトレーションテストのプログラムにモバイルアプリを含める

   条文の内容

   サイバーセキュリティリスク管理の評価基準では、ウェブベースのアプリケーション、クライアントベースのアプリケーション、モバイルアプリケーション、無線、サーバー、ネットワーク機器について、定期的な脆弱性の特定またはペネトレーションテストのための適切なプログラムを銀行が有しているかを確認します。内部監査は、ペネトレーションテストの出発点としての脆弱性特定ツールの使用と、テスト専用の非管理者アカウントの使用をレビューします。

   出典：SEOJK 29/SEOJK.03/2022、付録I.b、管理策4.1.bおよび4.2.c

   モバイルアプリにとっての意味

   モバイルアプリはプログラムに明記されています。自動化された特定がペネトレーションテストにつながり、テスト用アカウントは専用のものとして管理し、テスト後に削除すべきです。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAを直接解析し、ソースコードは不要で、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みセッションを維持して、通信、スタックトレース、スクリーンショットを取得します。続いてAIエージェントによるペネトレーションテストが、テスト用アカウントを使って、ログインの先にあるビジネスロジックをテストします。

   お客様が担うこと

   プログラムの文書、テスト用アカウントとそのライフサイクル、プログラム内のその他の資産の種類。

4. 04

   SEOJK 29/SEOJK.03/2022、IV.3.iおよび付録I.c、管理策2.i

   本番環境の前のセキュアコーディングとソースコードレビュー

   条文の内容

   銀行は、システムとアプリケーションの開発においてセキュアコーディングを確保します。最低限、開発はシステム開発ライフサイクルの一部としてセキュアコーディングの実践に従い、ソフトウェアの脆弱性を検出するため、特に本番環境への移行前にソースコードをレビューし、自社またはサードパーティが開発したソフトウェアのセキュリティを定期的にレビュー・テストします。

   出典：SEOJK 29/SEOJK.03/2022、IV.3.iおよび付録I.c、管理策2.i

   モバイルアプリにとっての意味

   アプリの各リリースは、自社チームとベンダーのどちらが開発したものでも、ストアに公開される前に脆弱性を確認すべきです。自社で書いていないSDKも、そのソフトウェアの一部です。

   Ostorlabによる支援

   ビルドごとにCI/CDパイプラインから自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。Mobile SASTはバイナリを対象に動作するため、ソースコードを保有していないサードパーティ製コードもカバーし、SCAはマニフェストベースのスキャナーが見逃しがちな、静的にコンパイルされたライブラリを識別します。

   お客様が担うこと

   セキュアコーディング標準、サーバー側コードのソースコードレビュー、リリースの承認ステップ。

5. 05

   POJK 21/2023、第5条および第9条、SEOJK 29/SEOJK.03/2022、付録I.c、管理策2.g

   二要素認証と高リスク取引のOTP

   条文の内容

   銀行は、金融取引の検証に少なくとも2つの認証要素を適用しなければなりません。取引ごと、または銀行のリスク分析と顧客の同意に基づく上限を設けて適用します。電子的手段による遠隔での口座開設では、2つの要素のうち1つは生体情報（本人の身体的特徴）でなければなりません。通達の基準には、高リスク取引でのOTPによる検証、機密データへのアクセスにおけるMFA、パスワードの試行回数と無操作時間の管理が含まれます。

   出典：POJK 21/2023、第5条および第9条、SEOJK 29/SEOJK.03/2022、付録I.c、管理策2.g

   モバイルアプリにとっての意味

   第2要素は、アプリに表示するだけでなく、サーバーが強制しなければなりません。振込、受取人の変更、その他の高リスクの操作は、第2要素なしで通ってはなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証要素の選定、取引上限の根拠となるリスク分析、顧客の同意、顧客への啓発。

6. 06

   POJK 21/2023、第21条、SEOJK 29/SEOJK.03/2022、付録I.c、管理策2.e

   顧客データと取引へのアクセスを制御する

   条文の内容

   銀行は、デジタルサービスに使用するすべての電子システムにおいて、顧客データと取引に関するセキュリティ管理の原則を適用しなければなりません。少なくとも、機密性、完全性、可用性、認証、否認防止、システム・データベース・アプリケーションにおける認可の制御、職務の分離、監査証跡、データの保持を対象とします。通達は、保存中、使用中、通信中のデータの保護も銀行に求めています。

   出典：POJK 21/2023、第21条、SEOJK 29/SEOJK.03/2022、付録I.c、管理策2.e

   モバイルアプリにとっての意味

   認可はアプリの画面ではなくAPIで確認されます。リクエスト内の口座番号を変更した顧客が、他人のデータを見られるようであってはなりません。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   職務の分離、監査証跡、データの保持、勘定系システムの管理策。

7. 07

   POJK 21/2023、第13条(3)および(4)とその解説、付録I

   新しいデジタルサービスの前に独立したレビューを受ける

   条文の内容

   新商品の基準を満たすデジタルサービスのライセンス申請には、商品の特性、その商品のためのITシステムのセキュリティの適切性、コンプライアンスについて、独立した第三者によるレビューの結果を含めなければなりません。初めて提供するデジタルサービスについては、ITセキュリティコンサルタントなど、銀行外部の独立した第三者がレビューを行います。申請には、セキュリティに関するテスト結果、使用する二要素認証、暗号化も含まれます。

   出典：POJK 21/2023、第13条(3)および(4)とその解説、付録I

   モバイルアプリにとっての意味

   新しい取引用アプリや、リスクへの露出を高める機能を立ち上げるには、OJKがライセンスを付与する前にセキュリティの証拠が必要です。自社のテストで見つかった問題は、独立したレビューが始まる前に修正しておくのが最善です。

   Ostorlabによる支援

   アプリがストアに公開される前のリリースパイプラインでのMobile SASTとDAST、そして新しいフローに対するAIエージェントによるペネトレーションテスト。各検出結果にはリスク評価、再現手順、リクエストとレスポンスのログ、スクリーンショットが付き、再テストで根本的な問題が解決されたかを確認できます。

   お客様が担うこと

   ライセンス申請、独立したレビュー担当者の選定、取締役が署名する声明書。

8. 08

   POJK 11/POJK.03/2022、第24条および第25条、SEOJK 29/SEOJK.03/2022、VII.4、PADK 1/2026、付録IIおよび様式3.2.14

   テスト結果をOJKと取締役会に報告する

   条文の内容

   テスト結果は、改善の基礎として取締役会に提出されます。脆弱性に基づくテストの結果は、翌年1月21日を期限とするITの運用の現状に関する年次報告の一部としてOJKに報告され、範囲（テストした資産と環境）、手法（ホワイトボックス、ブラックボックス、グレーボックス）、検出結果とその重要度、ビジネスへの影響、フォローアップの状況を含みます。シナリオに基づくテストの報告は、テスト後10営業日以内が期限です。

   出典：POJK 11/POJK.03/2022、第24条および第25条、SEOJK 29/SEOJK.03/2022、VII.4、PADK 1/2026、付録IIおよび様式3.2.14

   モバイルアプリにとっての意味

   アプリの各検出結果には、年末までに重要度、影響の記述、フォローアップの状況が必要です。リリースごとに記録を残しておけば、1月の報告は慌てて準備するものではなく、まとめるだけの作業になります。

   Ostorlabによる支援

   検出結果はクリティカル、高、中、低で評価され、プラットフォーム内、またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。スキャン結果、再現手順付きの検出結果、再テストの結果により、アプリの管理策がリリースごとにどのようにテストされ修正されたかを、日付入りの記録として残せます。

   お客様が担うこと

   報告書そのもの、ビジネスへの影響の評価、取締役会への報告、シナリオに基づくテスト。

9. 09

   SEOJK 29/SEOJK.03/2022、VII.5およびVII.7、POJK 11/POJK.03/2022、第29条および第30条

   サードパーティを利用しても責任を持ち続ける

   条文の内容

   銀行は、自らテストを行うことも、サードパーティを利用することもできます。サードパーティを利用する場合、銀行は、インドネシア国内外の権限のある機関による認証や承認などで示される、テストに必要な十分な能力をその者が有していることを確認しなければならず、テストについて引き続き責任を負います。テスト結果は文書化し、機密性を保つよう保護しなければなりません。ITサービスプロバイダーとの契約は、データの機密性、独立した監査の結果、OJKによるアクセスを対象とします。

   出典：SEOJK 29/SEOJK.03/2022、VII.5およびVII.7、POJK 11/POJK.03/2022、第29条および第30条

   モバイルアプリにとっての意味

   アプリのバイナリとテスト用の認証情報を受け取るSaaSのテストプラットフォームは、ベンダー管理のプロセスでレビューされるITサービスプロバイダーであり、その結果は機密データです。

   Ostorlabによる支援

   OstorlabはSOC 2 Type II監査を受けています。Enterpriseプランでは、データの保管地域としてアジア太平洋を選ぶか、オンプレミスでスキャンを実行できます。BYOKを使えば、AIは自社のプロバイダーアカウントで、スキャンごとの支出上限を設けて実行されます。SSO/SAML、ロールベースのアクセス制御、監査ログはアドオンとして利用でき、Enterpriseには含まれています。

   お客様が担うこと

   プロバイダーが能力の要件を満たすかどうかの判断、デューデリジェンス、契約条項。

POJK 11/POJK.03/2022、SEOJK 29/SEOJK.03/2022、PADK OJK No. 1 of 2026、POJK 21/2023の要約です（2026年9月27日時点で確認）。原文はインドネシア語であり、本ページの訳文は当社によるものです。本ページは法的助言ではありません。