FSAサイバーセキュリティガイドライン：リリースの前後にモバイルバンキングアプリを診断しましょう。

1. 01

   金融分野におけるサイバーセキュリティに関するガイドライン、2.2.4、基本的な対応事項

   モバイルアプリと公開APIを定期的に診断する

   条文の内容

   リスクの程度とシステムの重要度を考慮し、脆弱性診断とペネトレーションテストを定期的に実施します。システムのリリース前を含め、対象範囲、頻度、時期を定めます。インターネットバンキングサイトや公開APIなど、一般に公開されているウェブサイトについては、プラットフォーム診断とウェブアプリケーション診断の両方を実施します。モバイルアプリケーションの脆弱性診断を実施します。検出結果に優先順位を付け、対応期限を設定し、重要な検出結果は速やかに経営陣に報告します。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.2.4、基本的な対応事項

   モバイルアプリにとっての意味

   モバイルアプリの診断は、明記された基本的な対応事項です。アプリとアプリが呼び出すAPIは、リリース前と定期的なサイクルで診断すべきです。

   Ostorlabによる支援

   Mobile SASTは組み込まれたSDKを含めてバイナリを解析し、Mobile DASTは実行中のアプリをテストします。いずれもCI/CDで実行できます。AIエージェントによるペネトレーションテストは、アプリとそのAPIをログインの先までテストし、AIエージェントによる各検出結果に、再実行できる動作するエクスプロイトが付きます。

   お客様が担うこと

   頻度の設定、サーバーやVPN機器のプラットフォーム診断、経営陣への報告。

2. 02

   金融分野におけるサイバーセキュリティに関するガイドライン、2.2.4、対応が望ましい事項(b)～(d)

   脅威ベースのペネトレーションテストを検討する

   条文の内容

   対応が望ましい事項として、必要な経験とスキルを持つベンダーにより、脅威インテリジェンスに基づく現実的な脅威シナリオを用いて、ブルーチームへの事前通知なしに本番環境で行う脅威ベースのペネトレーションテスト（TLPT）を定期的に実施します。ペネトレーションテストの手法と結果を定期的に見直し、新鮮で独立した視点を得るためにテストベンダーの変更を検討します。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.2.4、対応が望ましい事項(b)～(d)

   モバイルアプリにとっての意味

   TLPTは主に大規模な金融機関に期待されるものです。アプリだけでなく防御態勢全体をテストするもので、アプリとAPIの既知の問題がすでに修正されているときに最も効果を発揮します。

   Ostorlabによる支援

   OstorlabはTLPTを実施せず、その代わりにもなりません。既知のアプリとAPIの問題を修正したうえでTLPTに臨めるよう支援し、その後は修正計画に含まれるアプリとAPIの項目を再テストします。

   お客様が担うこと

   TLPTの範囲設定と実施、ベンダーの選定、ブルーチームの評価。

3. 03

   金融分野におけるサイバーセキュリティに関するガイドライン、2.2.3、フロンティアAIに関するFSAと日本銀行の要請（2026年5月22日）

   期限を定めて脆弱性を管理する

   条文の内容

   ハードウェアとソフトウェアの脆弱性を管理する手続きを定めます。脆弱性情報の入手先、深刻度と影響の評価、対応方法と期限、例外の扱いです。システムの重要度、リスク、深刻度に基づいてパッチ適用の期限を設定し、実施の記録を残し、例外的に修正を適用しない場合は経営陣の正式な承認を得ます。2026年5月、FSAと日本銀行は、インターネットバンキングなど重要なサービスを支える外部からアクセス可能なシステムを優先するよう金融機関に要請し、そのリスクがオープンソースのコンポーネントを含むサードパーティ製ソフトウェアにも及ぶことを指摘しました。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.2.3、フロンティアAIに関するFSAと日本銀行の要請（2026年5月22日）

   モバイルアプリにとっての意味

   アプリに含まれるライブラリやSDKも、お客様が出荷するソフトウェアです。それぞれについて、把握されたバージョン、脆弱性が見つかったときの深刻度、そして証明できる修正期限が必要です。

   Ostorlabによる支援

   SCAは静的にコンパイルされたライブラリを識別し、リリースごとに既知の脆弱性と対応付けます。検出結果はクリティカル、高、中、低で評価され、プラットフォーム内、またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   サーバーとインフラのパッチ適用、ベンダーとの保守契約、リスク受容の判断。

4. 04

   金融分野におけるサイバーセキュリティに関するガイドライン、2.3.4.3、主要行等向けの総合的な監督指針、III-3-7-1-2(6)

   セキュリティを組み込み、リリースの前後にテストする

   条文の内容

   金融商品・サービスの企画・設計段階からセキュリティ要件を取り込み、セキュリティ・バイ・デザインを実践します。対応が望ましい事項として、セキュアコーディング標準を定め、アプリケーションソフトウェアの脆弱性診断をリリースの前後に定期的に実施し、ソースコード解析ツールなどのツールを用いて脆弱性を早期に発見します。監督指針も、システム開発にあたってテスト計画を策定し、十分なテストを行うよう銀行に求めています。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.3.4.3、主要行等向けの総合的な監督指針、III-3-7-1-2(6)

   モバイルアプリにとっての意味

   アプリの各リリースは、インターネットに公開されたチャネルへの変更です。パイプラインでの自動テストがリリース前を、ストア版のスキャンがリリース後をカバーします。

   Ostorlabによる支援

   Ostorlabは、ビルドごとにCI/CDパイプラインから自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。Mobile SASTはAPK、AAB、IPAを対象に動作し、ソースコードは不要です。

   お客様が担うこと

   セキュリティ要件、セキュアコーディング標準、手動レビュー、リリースの承認。

5. 05

   金融分野におけるサイバーセキュリティに関するガイドライン、2.2.1.2および2.6

   各リリースに含まれるものを把握する

   条文の内容

   ソフトウェアのバージョン情報を含め、ハードウェアとソフトウェアの台帳を管理します。対応が望ましい事項として、自社開発のソフトウェアについてソフトウェア部品表（SBOM）を作成します。サプライチェーン全体のサイバーセキュリティリスクを管理し、役割、取り扱う機密情報、システムとの接続性に基づいてサードパーティを特定・評価します。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.2.1.2および2.6

   モバイルアプリにとっての意味

   モバイルバンキングアプリには、それぞれのバックエンドと通信するサードパーティ製SDKが組み込まれています。これらは資産台帳とサードパーティリスクの管理対象に含まれます。

   Ostorlabによる支援

   Ostorlabは、各リリースに含まれるSDKとネイティブライブラリを、バージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがネットワーク経由でバックエンドとやり取りする内容を示します。

   お客様が担うこと

   資産台帳、サードパーティのデューデリジェンス、契約。

6. 06

   金融分野におけるサイバーセキュリティに関するガイドライン、2.3.1(3)、(5)、(7)

   認証と認証情報を管理する

   条文の内容

   APIに埋め込まれた認証情報を含め、デバイスIDと認証情報を適切に管理します。システムと情報資産の重要度に基づき、多要素認証やリスクベース認証などの認証要件を定めます。シングルサインオンや外部認証との連携を含め、システムやセキュリティ境界をまたぐ認証・認可において、機密性、完全性、真正性を確保します。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.3.1(3)、(5)、(7)

   モバイルアプリにとっての意味

   アプリのパッケージに残されたAPIキーやトークンは、誰でも抽出できる認証情報です。アプリ、バックエンド、外部のIDサービスの間の認可は、すべての境界で機能しなければなりません。

   Ostorlabによる支援

   Ostorlabは、アプリのパッケージ内のAPIキー、トークン、認証情報を見つけ、それらが有効かどうかを検証します。TLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）やトークンとセッションの悪用についてAPIをテストします。

   お客様が担うこと

   特権アカウントの管理、アクセス権の見直し、物理的なアクセス管理。

7. 07

   主要行等向けの総合的な監督指針、III-3-8-2(2)（2026年2月27日改正、日本語版）

   インターネットバンキングのフィッシング耐性のあるMFAとアカウントロック

   条文の内容

   銀行は、ログインや出金などの重要な操作について、パスキーやPKIベースの認証など、フィッシング耐性のある多要素認証を導入し、標準で必須とすべきです。当面、代替となるMFAを提供する場合は、顧客にそのスケジュールを示し、振る舞い分析やログイン通知などの検知を強化すべきです。また、不正なログインや取引を検知するための通知を送信し、認証の連続失敗後にアカウントを自動でロックすべきです。

   出典：主要行等向けの総合的な監督指針、III-3-8-2(2)（2026年2月27日改正、日本語版）

   モバイルアプリにとっての意味

   第2要素は、アプリや攻撃者が手順を飛ばした場合も含め、すべての重要な操作でサーバーが強制しなければなりません。ロックアウトと通知は、テストできる挙動です。

   Ostorlabによる支援

   認証後のテストでは、ステップアップ認証のフローを含め、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を、その背後にあるAPI呼び出しとあわせて確認します。

   お客様が担うこと

   パスキーやPKIの選定と導入、振る舞い検知、利用を見送る顧客の割合の追跡。

8. 08

   主要行等向けの総合的な監督指針、III-3-7-1-2(5)（日本語版）

   認証に使う連絡先情報を保護する

   条文の内容

   インターネットバンキングの不正利用を防ぐため、銀行は、預金者への通知や認証に使う電話番号、メールアドレスその他の情報が不正に登録・変更されないよう、適切な手続きを整備すべきです。非対面取引については、インターネットバンキングに関する項目に定めるとおり、チャネルの安全を確保すべきです。

   出典：主要行等向けの総合的な監督指針、III-3-7-1-2(5)（日本語版）

   モバイルアプリにとっての意味

   アプリでの電話番号やメールアドレスの変更は、アカウント乗っ取りの典型的な手口の1つです。変更には、バックエンドで強制される強固な認証が必要です。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   変更手続きそのものと、顧客への通知チャネル。

9. 09

   金融分野におけるサイバーセキュリティに関するガイドライン、2.3.3、主要行等向けの総合的な監督指針、III-3-7-1-2(4)

   顧客データを保護する

   条文の内容

   データを重要度で分類し、データ管理方針に従って、暗号化、認証、データマスキング、アクセス制御などで保護し、暗号鍵をライフサイクル全体で管理します。監督指針は、暗証番号、パスワード、クレジットカード情報などの機密情報について、暗号化とマスキングのルールを定めるよう銀行に求めています。

   出典：金融分野におけるサイバーセキュリティに関するガイドライン、2.3.3、主要行等向けの総合的な監督指針、III-3-7-1-2(4)

   モバイルアプリにとっての意味

   パスワード、トークン、カード情報は、スマートフォン上に平文で残ったり、保護されないままバックエンドに送られたりしてはなりません。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認します。

   お客様が担うこと

   データの分類、鍵管理、バックアップ、データ漏洩防止。

公開されているFSAの文書の要約です（2026年9月27日時点で確認）。監督指針の項目は日本語版から要約しています。FISC安全対策基準はFISCが販売しているため、本ページでは引用していません。本ページは法的助言ではありません。