BNMのRMiT：リリースの前後にモバイルバンキングアプリをBNMの示すとおりに診断しましょう。

1. 01

   RMiT付属文書4「Control Measures for Mobile Applications and Devices」第1項および第2項

   モバイルアプリとそれが動作するデバイスを保護する

   条文の内容

   金融機関は、モバイルアプリケーションに伴うリスクを認識し、継続的に評価しなければなりません。モバイルデバイス上で機密性の高い顧客情報を扱うデジタルサービスは、適切に保護する必要があります。アプリを、侵害されておらず、脱獄もroot化もされていない、安全で改ざん耐性のある環境で動作するよう設計すること。PINやパスワードなど、アプリケーションサーバーとの認証に使う顧客情報をアプリに保存することを禁じ、鍵とPINの認証と検証をホストに集約すること。アプリの有効化に堅牢な認証を求めること。安全なプロビジョニングとデプロビジョニングを確保すること。信頼できる配布プラットフォームを利用すること。

   出典：RMiT付属文書4「Control Measures for Mobile Applications and Devices」第1項および第2項

   モバイルアプリにとっての意味

   root・脱獄検知、改ざん耐性、認証情報の保存場所は、明記された管理策であり、追加オプションではありません。顧客がダウンロードするビルドで、実行時に機能し続ける必要があります。

   Ostorlabによる支援

   Mobile Shielding Scanは、root化・脱獄環境でアプリを実行し、root・脱獄検知、改ざん防止、ピンニングの回避を試み、アプリが処理をブロックするか、起動を拒否するか、動作を続けるかを示します。Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにあるPIN、トークン、個人データも調べます。

   お客様が担うこと

   保護製品の選定、安全なプロビジョニングのプロセス、偽アプリを把握するためのアプリストアの監視。

2. 02

   RMiT付属文書3「Control Measures for Digital Services」第4項、第5項、第6項、第7項および第9項

   暗号化されていないSMSより安全なMFAを、デバイス生成コードで使う

   条文の内容

   金融取引およびリスクの高い非金融取引（お気に入り受取人の登録と、その後の同受取人へのすべての送金を含む）では、金融機関は多要素認証を採用し、取引内容の確認を利用者に求め、適時の通知を送らなければなりません。MFAはフィッシング、傍受、操作に耐性があり、使用するチャネルは暗号化されていないSMSより安全でなければなりません。OTPを使う場合、動的で時間制限があり、取引内容に紐付き、銀行のサーバーではなく顧客のデバイスで生成される必要があります。金融機関はまた、パスワードに代わるものとして、デジタル証明書やパスワードレスなどの暗号鍵ベースの認証を提供しなければなりません。

   出典：RMiT付属文書3「Control Measures for Digital Services」第4項、第5項、第6項、第7項および第9項

   モバイルアプリにとっての意味

   第2要素は、すべての金融取引でサーバーが強制し、コードは承認する受取人と金額を伴う必要があります。SMSだけでは、もう条文を満たしません。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を、ステップアップ認証のフローとその背後にあるAPI呼び出しとあわせて確認します。Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、手順を飛ばしたり再実行したときのフローの挙動をテストします。

   お客様が担うこと

   MFAとパスキーまたは証明書方式の選定と導入、および顧客基盤のSMS OTPからの移行管理。

3. 03

   RMiT付属文書3「Control Measures for Digital Services」第3項

   デバイスを紐付け、顧客情報の変更を保護する

   条文の内容

   認証に使うモバイルデバイスと顧客情報（携帯電話番号、メールアドレス、郵便住所など）の登録と更新は、詐欺師が盗んだ認証情報で資金を動かせないよう強化しなければなりません。管理策には、既定で1口座につき1台のモバイルまたはセキュアデバイスを安全に紐付け・解除すること、新しいデバイスからのアクセスや顧客情報の変更時に直ちに通知すること、新しい番号または差し替え番号の登録前に堅牢な検証を行うこと、初回登録や異常な取引パターンに対するクーリングオフ期間、取引限度額の引き上げ時の検証が含まれます。

   出典：RMiT付属文書3「Control Measures for Digital Services」第3項

   モバイルアプリにとっての意味

   電話番号とメールアドレスの変更は、詐欺師がアカウント乗っ取りの前に行う手順です。変更、通知、クーリングオフは、アプリの表示だけでなく、バックエンドで強制する必要があります。

   Ostorlabによる支援

   Ostorlabは、デバイス登録、連絡先の変更、受取人の登録、限度額の変更の背後にあるAPI呼び出しをテストし、第2要素が要求されるか、クーリングオフや限度額のルールがAPI経由で回避できないかを確認します。

   お客様が担うこと

   検証とクーリングオフの手続きそのもの、および通知チャネル。

4. 04

   RMiT付属文書5「Control Measures on Cybersecurity」パートE「Application Programming Interface (API) Security」第1項

   APIを評価し、強化する

   条文の内容

   APIのセキュリティはリスクに見合った水準でなければなりません。少なくとも、すべての接続と依存関係を網羅する一元化されたAPIインベントリの維持、高トラフィックに耐えサービス妨害を緩和するAPI設計、サードパーティのコードとライブラリの検証、堅牢なエラー処理、入力検証、セキュリティヘッダーを含むセキュアコーディングの実践、堅牢な暗号化と鍵管理、レート制限やアカウントロックアウトなどのブルートフォース対策、強固な認証と認可、APIゲートウェイの検討、ペネトレーションテストや静的・動的セキュリティテストを含むAPIの定期的なセキュリティ評価、API利用状況の監視、侵害後のアクセストークンやAPIキーの失効プロセスが必要です。

   出典：RMiT付属文書5「Control Measures on Cybersecurity」パートE「Application Programming Interface (API) Security」第1項

   モバイルアプリにとっての意味

   アプリが呼び出すすべてのAPIが対象で、ログインの先にあるものも含まれます。レート制限、ロックアウト、トークン失効は、設計文書だけでなくテストできる挙動です。

   Ostorlabによる支援

   Ostorlabは、TLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙・リプレイ・自動化などの不正利用をテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   APIインベントリ、ゲートウェイ、API監視、失効プロセス。

5. 05

   RMiT付属文書5パートD「Vulnerability Assessment and Penetration Test (VAPT)」第1項から第6項、RMiT第11.6項

   BNMが定めるVAPTの頻度を守る

   条文の内容

   金融機関は、脆弱性評価とペネトレーションテストの標準作業手順を整備し、外部テスト業者の監督、イベントログの検証、データの消去を行わなければなりません。すべての重要システムを支える外部および内部のネットワーク構成要素について四半期ごとの脆弱性評価を行い、内部および外部のネットワークインフラ、重要システム、ウェブ・モバイル・すべての外部公開アプリケーションを含むデジタルサービスに対して、年次のインテリジェンス主導ペネトレーションテストを、極端だが起こり得る攻撃シナリオと適切に認定されたテスト業者を用いて実施する必要があります。新製品や新サービスのための新システムも、導入前にテストしなければなりません。結果は文書化し、経営陣にエスカレーションします。独立した侵害評価は少なくとも3年ごと、レッドチーム演習も少なくとも3年ごとに必要です。

   出典：RMiT付属文書5パートD「Vulnerability Assessment and Penetration Test (VAPT)」第1項から第6項、RMiT第11.6項

   モバイルアプリにとっての意味

   アプリとそのAPIは年次のインテリジェンス主導テストの対象に入り、新しいデジタルサービスは公開前にテストされます。その間も、各リリースはインターネット公開チャネルへの変更です。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは、リリースするビルドを対象に、ログインの先のアプリとそのAPIをテストし、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。検出結果はチケットとして追跡し、修正のリリース後に再テストするため、改善計画のアプリとAPIの項目は年次テストの前に閉じられます。

   お客様が担うこと

   四半期評価の範囲設定と実施、認定テスト業者による年次のインテリジェンス主導ペネトレーションテスト、侵害評価、レッドチーム演習。

6. 06

   RMiT第10.5項、第10.6項、第10.8項、第10.9項、第10.10項および第10.12項

   SDLCにセキュリティを組み込み、リリース前にテストする

   条文の内容

   システム開発ライフサイクルは、要件、設計、開発、テスト、配備、変更管理、保守、廃止を含み、セキュリティ原則と要件を統合しなければなりません。DevOpsのような迅速な開発手法では、ITセキュリティのコンプライアンスレビューと、セキュリティ脆弱性の発見とテストを自動化する必要があります。配備前のシステムテストは厳格でなければならず、その範囲にはアプリケーションセキュリティテストを含めることができます。重要システムのソースコード変更は、適切なソースコードレビューの対象としなければなりません。第三者が重要システムを開発・保守する場合、契約でセキュア・バイ・デザインの原則とソースコードへの継続的なアクセスを求める必要があります。

   出典：RMiT第10.5項、第10.6項、第10.8項、第10.9項、第10.10項および第10.12項

   モバイルアプリにとっての意味

   アプリの各リリースは、インターネット公開チャネルへの変更です。パイプラインでの自動テストがリリース前を、ストア版のスキャンがリリース後をカバーします。

   Ostorlabによる支援

   Ostorlabは、ビルドごとにCI/CDパイプラインから自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。Mobile SASTはAPK、AAB、IPAを対象に動作し、ソースコードは不要です。Mobile DASTは実行中のアプリを検証します。

   お客様が担うこと

   セキュリティ要件、セキュアコーディング標準、手動コードレビュー、リリースの承認。

7. 07

   RMiT第10.15項、第10.17項および第10.18項

   コンポーネント、パッチ、EOLシステムを管理する

   条文の内容

   デジタルサービスを含むシステムは、既知のセキュリティ脆弱性、古いプラットフォーム、サポート終了（EOL）技術で稼働してはなりません。金融機関は、最新のセキュリティベースラインを維持し、最新のパッチリリースを適時に監視・適用し、EOLに近づくシステムの是正措置を計画し、例外については経営陣の承認を得る必要があります。パッチとEOLの枠組みは、特定された脆弱性の深刻度に応じて基準、優先順位、対応期限を定めなければなりません。サードパーティ製ソフトウェアについては、BNMはソフトウェア部品表（SBOM）とオープンソースソフトウェアのセキュリティ方針を推奨しており、オープンソースソフトウェアの堅牢なテストと脆弱性の適時の評価が含まれます。

   出典：RMiT第10.15項、第10.17項および第10.18項

   モバイルアプリにとっての意味

   アプリに含まれるライブラリやSDKも、お客様が出荷するソフトウェアです。それぞれについて、把握されたバージョン、脆弱性が見つかったときの深刻度、そして証明できる修正期限が必要です。

   Ostorlabによる支援

   SCAは静的にコンパイルされたライブラリを識別し、リリースごとに既知の脆弱性と対応付けます。Mobile SASTとSCAは各リリースのSDKとネイティブライブラリをバージョンとともに一覧化し、検出結果はクリティカル、高、中、低で評価されチケットとして追跡されます。

   お客様が担うこと

   サーバーとインフラのパッチ適用、ベンダーとの保守契約、リスク受容の判断。

8. 08

   Management of Customer Information and Permitted Disclosures第10.12項、第10.26項、第10.31項、第11.8項、第11.19項、第11.20項および第11.25項、Personal Data Protection (Amendment) Act 2024第12B条

   顧客情報を保護し、侵害に対応する

   条文の内容

   「Management of Customer Information and Permitted Disclosures」ポリシー文書は、顧客情報の盗難、紛失、悪用、不正なアクセス・改変・開示に対する予防的・検知的なICT管理策、アプリケーション、データベース、オペレーティングシステム、ネットワークの各レベルでのアクセス制御、外部作業および通信中の情報の管理策、安全な廃棄を求めています。風評リスクを生じさせる、重大な害を及ぼすまたは及ぼす可能性がある、あるいは多数の顧客に関わる顧客情報侵害は、直ちにBNMへ通知し、3か月以内に調査し、取締役会への報告後1営業日以内にBNMへ報告しなければなりません。影響を受ける顧客には、不当な遅延なく通知する必要があります。PDPA改正は、2025年6月1日から、個人データ保護委員長への同様の義務、侵害の通知、データ保護責任者の任命を追加します。

   出典：Management of Customer Information and Permitted Disclosures第10.12項、第10.26項、第10.31項、第11.8項、第11.19項、第11.20項および第11.25項、Personal Data Protection (Amendment) Act 2024第12B条

   モバイルアプリにとっての意味

   スマートフォン、そのキャッシュ、ログ、スクリーンショットに書かれた個人データは侵害面の一部であり、それを運ぶAPIはアクセス制御が機能すべき場所です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにあるセッショントークンや個人データを調べ、通信とセッションの保護を弱める設定ミスを確認します。各検出結果には、保管できるファイルシステムの証拠またはリクエストとレスポンスの証拠が付きます。

   お客様が担うこと

   データの分類、鍵管理、侵害調査、BNM・委員長・顧客への通知。

9. 09

   RMiT第10.47項、第10.48項および第10.49項、Personal Data Protection (Amendment) Act 2024第5条

   サードパーティと、アプリに組み込まれるものを管理する

   条文の内容

   金融機関は、サードパーティの導入前および関係の全体を通じて、デューデリジェンスを実施し、アクセス権、秘密保持、インシデント通知、事業継続、退出を含むサービスレベル契約を維持しなければなりません。サードパーティのサイバーセキュリティ態勢を継続的に監視するロードマップを策定し、サードパーティがアクセスできるITインフラの範囲と顧客情報を測定し、インシデント対応にサードパーティとのプロトコルを組み込む必要があります。PDPA改正により、セキュリティ原則はデータ管理者だけでなくデータ処理者にも適用されます。

   出典：RMiT第10.47項、第10.48項および第10.49項、Personal Data Protection (Amendment) Act 2024第5条

   モバイルアプリにとっての意味

   モバイルバンキングアプリには、独自のバックエンドと通信し個人データを処理し得るサードパーティ製SDKが組み込まれています。これらは資産台帳、サードパーティリスクの管理対象、処理者契約に含まれます。

   Ostorlabによる支援

   Ostorlabは、各リリースに含まれるSDKとネイティブライブラリを、バージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがネットワーク経由でバックエンドとやり取りする内容を示します。サードパーティの継続監視は行いません。

   お客様が担うこと

   デューデリジェンス、契約、監視ロードマップ、処理者契約。

10. 10

    RMiT付属文書12「Code of Practice for NCII Entities」第11.3.2項から第11.3.6項

    NCIIに指定された場合は行動規範を満たす

    条文の内容

    サイバーセキュリティ法2024に基づきBNMから国家重要情報インフラ（NCII）に指定された銀行は、その行動規範となるRMiT付属文書12を遵守しなければなりません。同付属文書は、OWASP Top 10に沿ったセキュアコーディング、アプリケーション内のアクセス制御、定期的な更新とパッチの要件を含む、ソフトウェアとシステム開発のサイバーセキュリティ指針を求め、SDLCとサードパーティからの調達の全体でこれを適用します。開発段階でのセキュリティテストと、本番または公開環境への配備前のペネトレーションテスト（脆弱性スキャン、ペネトレーションテスト、セキュアコーディング指針への適合確認を含む）が必要です。

    出典：RMiT付属文書12「Code of Practice for NCII Entities」第11.3.2項から第11.3.6項

    モバイルアプリにとっての意味

    指定された銀行にとって、モバイルチャネルに、文書化されテスト可能なセキュア開発と配備前テストの道筋を追加するものです。

    Ostorlabによる支援

    Ostorlabは、それらの配備前チェックに対応します。ビルドへのMobile SAST、実行中のアプリへのMobile DAST、コンポーネントへのSCA、そしてアプリとそのAPIへのAIエージェントによるペネトレーションテストと、検出結果ごとの再実行できるエクスプロイトです。

    お客様が担うこと

    セキュアコーディング指針、ガバナンス委員会の承認、本番配備の判断。

公開されているBNMの文書の要約です（2026年9月27日時点で確認）。引用しているRMiTは、2025年11月28日に発行され、2026年9月25日に再発行された現行版です。本ページは法的助言ではありません。