CNBVとBanxicoの規則：リリースの前後にモバイルバンキングアプリを診断しましょう。

1. 01

   Disposiciones de carácter general aplicables a las instituciones de crédito（CUB）第168 Bis 11条IIIおよびVI（スペイン語版）

   すべての技術コンポーネントをライフサイクル全体で保護する

   条文の内容

   CUBは、自社製か第三者提供かを問わず、技術インフラを対象とする情報セキュリティの内部統制システムの責任を最高経営責任者に負わせています。各コンポーネントのプロセス、構成、開発または調達の方法を文書化し、変更と更新の記録および詳細な台帳を整備する必要があります。情報セキュリティの観点は、要件定義、設計、開発または調達、実装テストと利用者による受入テスト、本番稼働前の脆弱性テストとコード解析を含むリリース、定期テスト、変更管理、交換、情報の破棄というライフサイクルのすべての段階で考慮します。情報は送信時・保存時を含め機密度に応じて暗号化し、アクセスは最小権限の原則で付与します。

   出典：Disposiciones de carácter general aplicables a las instituciones de crédito（CUB）第168 Bis 11条IIIおよびVI（スペイン語版）

   モバイルアプリにとっての意味

   モバイルバンキングアプリとその背後のAPIも、このインフラのコンポーネントです。CUBは、本番稼働前のセキュリティ要件、脆弱性テスト、コード解析と、その後の定期テストを求めています。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAのバイナリを、組み込まれたSDKを含めて解析し、ソースコードは不要です。Mobile DASTは実行中のアプリをテストします。いずれもビルドごとにCI/CDから実行でき、SCAが内部のライブラリをカバーします。

   お客様が担うこと

   セキュリティ要件そのもの、アーキテクチャと設計のレビュー、アクセス管理、コンポーネントの交換と破棄。

2. 02

   CUB第168 Bis 12条IIからVII（スペイン語版）

   脆弱性をスキャンし、独立したペネトレーションテストを実施する

   条文の内容

   CUBは、情報を保存、処理、送信するコンポーネントについて、データ分類に基づいて優先順位を付けた年間の脆弱性スキャンカレンダーを求め、四半期ごとに一部を確認することで年内にすべての重要コンポーネントを網羅し、新しいコンポーネントは本番投入前にスキャンすることを義務付けています。また、業界の資格を持つ要員を擁する独立した第三者に対し、異なるシステムとアプリケーションを対象としたペネトレーションテストを少なくとも年2回実施させ、顧客の情報と資産を危険にさらすエラー、脆弱性、不正な機能、コードを検出することを求めています。対象範囲と方法は情報セキュリティ責任者が承認する必要があります。テストの結論は20営業日以内にCNBVへ送付し、脆弱性はリスク委員会が承認した方法で分類し、情報セキュリティ責任者が承認した改善計画は10営業日以内にCNBVへ提出します。

   出典：CUB第168 Bis 12条IIからVII（スペイン語版）

   モバイルアプリにとっての意味

   アプリとそのAPIはこのプログラムの対象です。CUBはスキャンの頻度とペネトレーションテストを分けて定め、双方に期限と報告義務を課しています。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは、アプリとそのAPIをログインの先まで、公開するビルドに対してテストし、各検出結果に再実行できる動作するエクスプロイトを付けます。検出結果はクリティカル、高、中、低で評価され、プラットフォーム内、またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。OstorlabはCUBが求める独立した第三者ではなく、CNBVへの報告も行いません。

   お客様が担うこと

   独立した第三者の契約、対象範囲と方法の承認、リスク委員会での脆弱性の分類、CNBVへの報告。

3. 03

   CUB第308条、第310条、第313条（スペイン語版）

   CUBの認証要素を適用する

   条文の内容

   セッションの開始には、CUBは利用者識別子と、カテゴリー2（利用者だけが知る情報。6文字以上のパスワードやNIPなど）、カテゴリー3（電子的な手段や機器に含まれ、受信し、または生成される情報。複製や改変ができず、一度だけ使用し、有効期間は最長2分）、カテゴリー4（生体データ。認証のたびにワンタイムパスワードを生成するよう変換したもの）のいずれかの認証要素を求めています。第三者の送金先口座への送金、送金先口座の登録、限度額の設定や引き上げ、通知手段の変更、認証情報のロック解除など、列挙された操作では、セッション開始に使った要素に加えて、カテゴリー3または4の第2要素をサーバーで要求する必要があります。

   出典：CUB第308条、第310条、第313条（スペイン語版）

   モバイルアプリにとっての意味

   第2要素は、アプリや攻撃者が手順を飛ばした場合も含め、列挙されたすべての操作でサーバーが強制しなければなりません。ワンタイムコードは一度だけ有効で短命である必要があり、生体データはワンタイム値を生成しなければなりません。

   Ostorlabによる支援

   認証後のテストでは、ワンタイムコードでログインし、攻撃者による操作の試みも含めてMFAの強制とステップアップ認証のフローを、その背後にあるAPI呼び出しとあわせてテストします。Ostorlabはテスト用アカウントでSMS、メール、TOTPのワンタイムコードを入力できます。

   お客様が担うこと

   認証要素の選定と導入、生体情報の登録プロセス、コードを生成するベンダーの選定。

4. 04

   CUB第316 Bis 2条および第316 Bis 3条（スペイン語版）

   セッションを管理し、アカウントをロックする

   条文の内容

   利用者の認証後、CUBはセッションが第三者に使用されないことを求めています。セッションは20分を超える無操作で自動的に終了し、Pago Móvil、ATM、POS端末では最長1分で終了する必要があります。デバイスの識別情報、通信プロトコルのアドレス範囲、地理的位置など、通信パラメータに重要な変化があった場合も終了します。同一の利用者識別子による同時セッションは禁止され、利用者への通知が必要です。パスワードその他の認証要素は、連続する失敗が最大5回に達したとき、およびポリシーで定める無操作期間（最長1年を超えない）の後に自動的にロックする必要があります。利用者は契約手続またはカテゴリー1の要素でロック解除や再設定ができなければなりません。

   出典：CUB第316 Bis 2条および第316 Bis 3条（スペイン語版）

   モバイルアプリにとっての意味

   タイムアウト、単一セッションのルール、ロックのしきい値は、アプリとバックエンドの具体的な挙動です。アプリで手順を飛ばしても、サーバーは操作を拒否し続けるべきです。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、セッションのタイムアウト、セッションの無効化、ロックの挙動を、その背後にあるAPI呼び出しとあわせて確認します。

   お客様が担うこと

   タイムアウト値、ロックと解除の手続、顧客への通知。

5. 05

   CUB第309条、第316 Bis 4条、第316 Bis 10条（スペイン語版）

   認証情報を読めない形で保護する

   条文の内容

   CUBは、利用者が入力する識別・認証情報がアクセス機器の画面に表示されないようにし、認証要素を受け取り、有効化し、知り、ロック解除し、再設定するのは利用者だけであることを保証するよう求めています。機関が認証情報を知り、復元し、または復号できる仕組み、アルゴリズム、手続を禁止し、職員が利用者にカテゴリー2または3の要素を尋ねることも禁止しています。アクセス機器から機関までの機密情報についてメッセージや通信チャネルの暗号化、保存するパスワードやNIPの暗号化、HSMなどの高セキュリティ機器での暗号鍵の管理、カードを用いる電子バンキングについてPCI-DSS、PA-DSS、PTSなどの業界認証を求めています。

   出典：CUB第309条、第316 Bis 4条、第316 Bis 10条（スペイン語版）

   モバイルアプリにとっての意味

   認証情報やコードは、画面に表示されず、スマートフォン上に平文で残らず、保護されないままバックエンドに送られてはなりません。パスワードを暗号化なしでSMSやメールで送ることもできません。

   Ostorlabによる支援

   Ostorlabは、アプリのパッケージ内のAPIキー、トークン、認証情報を見つけ、それらが有効かどうかを検証します。ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認します。

   お客様が担うこと

   鍵管理、HSMの運用、PCI-DSSとPTSの認証プログラム、カードデータのルール。

6. 06

   Banco de MéxicoのCirculares 9/2026および10/2026（DOF、2026年6月17日）とGuíasバージョン1.1（スペイン語版）

   標準化されたモバイル送金フローを提供する

   条文の内容

   BanxicoのCirculares 9/2026と10/2026は、SPEIの規則と信用機関の操作に関する規則を改正し、モバイル端末から提示される電子送金の指図がGuías para la homologación de la experiencia de usuarioに従うことを求めています。ガイドは、認証、送金情報の入力、確認、通知という最大4段階の単一フローを定めています。ログイン画面とメイン画面に送金を開始するショートカットを置き、利用者が受取人、金額、概念を確認するレビュー画面を設け、指定された認証要素で承認することを求めています。QRコードから読み取った受取人データは編集できません。参加者は2026年12月14日までに対応する必要があります。

   出典：Banco de MéxicoのCirculares 9/2026および10/2026（DOF、2026年6月17日）とGuíasバージョン1.1（スペイン語版）

   モバイルアプリにとっての意味

   2026年12月14日以降、アプリの送金フローは詳細に規定され、画面の背後でCUBの認証要件も維持する必要があります。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは、テスト用アカウントで送金フローを最後まで実行し、決済のビジネスロジックをテストします。APIテストは受取人の登録と送金の背後にある呼び出しを、各検出結果のリクエストとレスポンスの証拠とともに確認します。

   お客様が担うこと

   UXの設計と実装、指定する認証要素の選定、リリースのスケジュール。

7. 07

   Circular 14/2017、第58a条Iおよび第46a条（スペイン語版）

   SPEIのセキュリティ要件を満たす

   条文の内容

   Circular 14/2017は、SPEIの参加者に文書化されたセキュリティの方針と手続を求めています。セキュリティ担当領域の設置、安全な通信プロトコル、マルウェア検知ツール、コンピューティングインフラの脆弱性の検知と管理ツール、セキュリティインシデントの検知と管理、異常検知を伴うログの集中管理、そしてManualのApéndice Mが定める頻度、報告、実施者の資格に従った技術インフラのペネトレーションテストです。SPEIアプリケーションの開発プロセスでは、各段階でセキュリティを考慮し、静的分析と動的分析を行い、アクセスと操作のログを少なくとも6か月保管する必要があります。参加者は、インシデントや切迫した脅威を、電話と電子的に署名した通信で60分以内にシステム管理者へ通知しなければなりません。

   出典：Circular 14/2017、第58a条Iおよび第46a条（スペイン語版）

   モバイルアプリにとっての意味

   SPEIの参加者であれば、SPEIに接続するインフラとアプリケーションが対象となり、インシデントの時計は短いものです。この作業の一部は、モバイルチャネルを運用する同じチームが担います。

   Ostorlabによる支援

   Ostorlabは、モバイルアプリとそのAPI、決済サービスに到達する呼び出しを含めて、リクエストとレスポンスの証拠とともにテストします。SPEIアプリケーションやそのインフラはテストせず、管理者への通知も行いません。

   お客様が担うこと

   SPEIのセキュリティプログラム、Apéndice MとANの管理策、ペネトレーションテストの日程、Banxicoへの通知。

8. 08

   Disposiciones aplicables a las IFPE（DOF、2021年1月28日）第8条、第11条、第12条、第34条、第42条；フィンテック法第76条（スペイン語版）

   フィンテック：独立した要素、ロック、ペネトレーションテスト、API

   条文の内容

   CNBVの電子決済資金機関（IFPE）向け規則は、受取人の変更、認証要素の変更、取引明細の請求、通知手段の変更について、少なくとも2つの独立した認証要素を求めています。また、5分の無操作後のセッションの自動終了、通信パラメータの変化の検知、連続3回の失敗後の10分間の要素のブロックと、さらなる失敗後の恒久的なブロック、顧客が操作を一時的に無効化できる手続を求めています。IFPEは、資格を持つ要員を擁する独立した法人と契約し、少なくとも2年ごとにペネトレーションテストを実施し、結論を20営業日以内にBanxicoとCNBVへ送付し、高または非常に高い重要度の指摘には20営業日以内に改善計画を提出し、2か月以内に再テストする必要があります。さらにフィンテック法第76条は、オープンデータ、集計データ、取引データのための標準化されたAPIインターフェースを求め、顧客情報を危険にさらす脆弱性がある場合にはアクセスを中断し、検知から2時間以内に監督当局へ通知することを求めています。

   出典：Disposiciones aplicables a las IFPE（DOF、2021年1月28日）第8条、第11条、第12条、第34条、第42条；フィンテック法第76条（スペイン語版）

   モバイルアプリにとっての意味

   ウォレットの規則は、モバイルチャネルに関して銀行規則より踏み込んだ部分があります。より短いタイムアウト、ブロックまでの3回の試行、ペネトレーションテストの2年間という下限です。APIインターフェースは顧客データを運び、独自のセキュリティと停止の義務を負います。

   Ostorlabによる支援

   Ostorlabは、テスト用アカウントでアプリとそのAPIにおけるこれらの挙動（要素の独立性、セッションのタイムアウト、ロックと解除、受取人変更の背後の呼び出し）をテストし、AIエージェントによる各検出結果に再実行できるエクスプロイトを付けます。

   お客様が担うこと

   ペネトレーションテストの契約、BanxicoとCNBVへの報告、改善計画、APIの認可、顧客への通知。

9. 09

   Ley Federal de Protección de Datos Personales en Posesión de los Particulares（DOF、2025年3月20日、最終改正2025年11月14日）第18条から第20条（スペイン語版）

   LFPDPPPに基づいて個人データを保護する

   条文の内容

   2025年3月20日に公布され、2025年11月14日に最後の改正が行われたLFPDPPPは、すべての責任者に対し、個人データを損傷、損失、改変、破壊、または不正な利用、アクセス、処理から保護する、管理上・技術上・物理上の安全措置を維持することを求めています。措置は、存在するリスク、データ主体への影響の可能性、データの機密度、技術の発展に応じて定め、責任者が自らの情報に適用する措置を下回ってはなりません。データ主体の財産上または精神上の権利に重大な影響を与える漏えいは、直ちに本人へ通知する必要があります。処理に関与するすべての者は個人データの秘密を保持し、その義務は関係の終了後も存続します。

   出典：Ley Federal de Protección de Datos Personales en Posesión de los Particulares（DOF、2025年3月20日、最終改正2025年11月14日）第18条から第20条（スペイン語版）

   モバイルアプリにとっての意味

   アプリ内、通信中、バックエンドの個人データには技術的な保護が必要であり、重大な漏えいが発生したときに顧客へ直ちに伝える手段も必要です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショット、アプリのバックアップに個人データやトークンがないかを調べ、アプリの背後のAPIが他の顧客のデータを露出していないかをテストします。

   お客様が担うこと

   プライバシー通知、データ主体の権利、漏えいの評価、顧客への連絡。

CNBV、Banxico、フィンテック法の公開文書の要約です（2026年9月27日時点で確認）。文書はスペイン語であり、要件は原文から要約しています。Apéndice MとANはCircularが参照するSPEIのManualに定められており、本ページでは引用していません。本ページは法的助言ではありません。