Bank Al-Maghribと国のサイバーセキュリティ規則：モバイルバンキングアプリをリリース前後に診断しましょう。

1. 01

   Bank Al-Maghrib指令第3/W/16号、第1条から第3条、第5条、第8条（フランス語の正文）

   リスクに基づくペネトレーションテストのプログラムを実施する

   条文の内容

   指令第3/W/16号は最低限の規則を定めています。信用機関は自らの情報システムのセキュリティを評価し、定期的なテストの実施を、リスクに基づくアプローチによる安全対策の有効性評価の全体枠組みに位置付ける必要があります。情報システムに対する侵入・サイバー攻撃のリスクをカートグラフィ（リスクマップ）として整理し、毎年、本番系と予備系を含む情報システム全体について、テストの範囲、性質、広さ、頻度を定めたテストプログラムを策定します。プログラムは監査委員会またはリスク委員会の承認のために提出され、情報システムセキュリティ責任者（RSSI）が実施を主導します。

   出典：Bank Al-Maghrib指令第3/W/16号、第1条から第3条、第5条、第8条（フランス語の正文）

   モバイルアプリにとっての意味

   アプリ、バックエンドのAPI、それらが保護するアカウントは情報システムの一部であり、リスクマップと年次プログラムに、重要度に応じた頻度で含める必要があります。

   Ostorlabによる支援

   AIエージェントのペネトレーションテストが、あなたが出荷するビルドに対し、アプリとそのAPIをログイン後の状態でテストし、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。検出結果は重大・高・中・低で評価され、プラットフォーム内またはJiraやServiceNowのチケットとして追跡されます。

   お客様が担うこと

   リスクマップ、年次プログラムと監査委員会・リスク委員会による承認、選定した頻度の背景となるリスク選好です。

2. 02

   Bank Al-Maghrib指令第3/W/16号、第4条、第6条、第7条（フランス語の正文）

   外部に開かれたシステムを年1回を超えてテストする

   条文の内容

   外部に開かれた情報システムは、年1回を超える頻度でテストする必要があります。情報セキュリティまたはサイバー攻撃のリスクへの全体的なエクスポージャーに影響し得る変更が情報システムに生じた場合にも、テストを実施します。Bank Al-Maghribは、自らが定める頻度と方法で、対象を絞ったテストを信用機関に求めることができます。テストの範囲、性質、広さ、頻度は、システムの重要度、リスク分析の結果、信用機関の規模と活動量に適合させる必要があります。

   出典：Bank Al-Maghrib指令第3/W/16号、第4条、第6条、第7条（フランス語の正文）

   モバイルアプリにとっての意味

   モバイルアプリとその公開APIは外部に開かれたシステムです。年1回のテストでは足りず、重要なリリースごとにテストを実施すべきです。

   Ostorlabによる支援

   CI/CDパイプラインからのスキャンがビルドごとに実行され、ストア公開版の監視が顧客のダウンロードする版を対象とするため、変更が年次のサイクルを待つことはありません。

   お客様が担うこと

   重要な変更の定義と、運用を妨げないテスト日程の調整です。

3. 03

   Bank Al-Maghrib指令第3/W/16号、第9条、第10条（フランス語の正文）

   外部と内部の両方から、事前知識の有無を組み合わせてテストする

   条文の内容

   テストは、信用機関の内部ネットワークからと外部からの両方で実施する必要があります。信用機関は、ベストプラクティスに基づく手法と方法論を定め、少なくとも次の2種類のテストを実施します。対象情報システムに関する事前知識なしで行うアプローチと、対象情報システムに関する事前知識ありで行うアプローチです。

   出典：Bank Al-Maghrib指令第3/W/16号、第9条、第10条（フランス語の正文）

   モバイルアプリにとっての意味

   ブラックボックステストはインターネット側から攻撃者に見える姿を示し、認証情報と資料を用いるグレーボックステストは、アプリとAPIの認証後のフローをより深く検証します。

   Ostorlabによる支援

   Ostorlabは外部からアプリをテストし、さらにテスト用アカウントを用いてログイン後の状態をテストします。TLSピンニングがあっても通信を傍受し、認可、トークンの不正利用、列挙やリプレイといった濫用を、リクエストとレスポンスの証拠とともに検証します。

   お客様が担うこと

   エンゲージメントのルール、テスト憲章、テスト前に誰がどの情報を受け取るかの判断です。

4. 04

   Bank Al-Maghrib指令第3/W/16号、第11条から第15条（フランス語の正文）

   テスト事業者を選定し、守秘と証拠を管理する

   条文の内容

   信用機関は、テストの実施枠組みと、実施する内部・外部チームが守るべき規則を定めた憲章を策定します。対象システムに関する明示的かつ機密の情報を必要とするテストでは、内部チームの活用を優先します。内部チームは、必要な専門性と資格を有し、独立性を保ち、十分な資源を持つ必要があります。外部事業者による実施は、介入範囲、実施方法、事業者の責任を定めた契約による必要があります。事業者には、必要な能力、厳格な守秘、誠実な実施、業務で得た記録と信用機関から提供された記録を最大2か月以内に破棄し正式な証明を提出すること、脆弱性の悪用は信用機関の事前の明示的な同意がある場合に限り対象に損害を与えずに行うこと、モロッコの法令を遵守することが求められます。

   出典：Bank Al-Maghrib指令第3/W/16号、第11条から第15条（フランス語の正文）

   モバイルアプリにとっての意味

   この規則は、誰が認証情報や個人データを見られるか、テスト後の証拠をどう扱うかまで、チェーン全体を対象にしています。

   Ostorlabによる支援

   OstorlabはSOC 2 Type II監査を受けており、スキャンデータの所在を選べます。Enterpriseプランでデータ保管地域を選択するか、自社管理のインフラでオンプレミススキャンを実行できます。

   お客様が担うこと

   テスト憲章、内部チームと外部チームの選択、事業者契約、破棄証明の確認です。

5. 05

   Bank Al-Maghrib指令第3/W/16号、第16条から第18条（フランス語の正文）

   是正計画とともに結果を経営層へ報告する

   条文の内容

   テスト結果は、経営機関と監査委員会またはリスク委員会に報告する必要があり、少なくとも、テストの手法と範囲および対象としたリスク、実施したテストの定義と位置付けおよび使用した手段、検出した脆弱性と情報システムのセキュリティへの影響、認知された標準に対するセキュリティ水準の評価、必要な予防・是正措置を記載します。システムを外部事業者に委託している場合、信用機関は、本指令のすべての規定が契約に反映され遵守されることを確認する必要があります。

   出典：Bank Al-Maghrib指令第3/W/16号、第16条から第18条（フランス語の正文）

   モバイルアプリにとっての意味

   検出結果は単なる技術的な一覧ではありません。経営層が読める形で、標準と比較でき、行動計画を伴う必要があります。

   Ostorlabによる支援

   AIエージェントの各検出結果には再実行できる動作するエクスプロイトが付き、結果は証拠、重大度、クローズまでの状況を保持するチケットにまとめられます。報告書と是正計画の材料になります。

   お客様が担うこと

   報告書の作成、経営機関と委員会のプロセス、是正措置計画です。

6. 06

   回状第LC/BKAM/2018/70号、第5条（フランス語の正文）

   モバイル決済の各取引を認証し、失敗時にロックする

   条文の内容

   回状は、m-walletの発行機関と加盟店管理機関に適用される最低限のセキュリティ規則を定めています。取引は、顧客認証の事前ステップを経た後にのみ開始できます。誤った認証情報の複数回の入力は、追加の認証メカニズムまたはm-walletのブロックを引き起こす必要があります。顧客とその取引のリスクプロファイルは、不正リスクを低減するために管理・統制する必要があります。

   出典：回状第LC/BKAM/2018/70号、第5条（フランス語の正文）

   モバイルアプリにとっての意味

   モバイル決済アプリでは、サーバー側での強制を意味します。各取引前の認証、繰り返しの失敗後のロックまたは追加確認、アプリの挙動に依存しないリスク管理です。

   Ostorlabによる支援

   認証後のテストは、テスト用アカウントで、ログイン、ワンタイムコード、取引確認、ステップアップ認証、セッション処理、アカウントロックを、その背後のAPI呼び出しとともに検証します。

   お客様が担うこと

   認証方式としきい値、ロックと解除のプロセス、不正検知のルールです。

7. 07

   決定第392/W/2018号、第13条から第15条（フランス語の正文）

   モバイル決済データを保護し、新製品を届け出る

   条文の内容

   信用機関は、m-wallet利用者のデータの機密性と完全性を保護するため、適切な安全対策を講じる必要があります。m-walletに関するすべての不正を、Bank Al-Maghribが定める方法と条件に従ってBank Al-Maghribに届け出る必要があります。発行機関は、新たなm-wallet製品を、発売日の少なくとも15日前に、Bank Al-Maghribが定める方法で意見照会のために提出する必要があります。

   出典：決定第392/W/2018号、第13条から第15条（フランス語の正文）

   モバイルアプリにとっての意味

   端末上および通信中のモバイル決済データが対象となり、新規または大きく変更された決済機能には、発売前の規制上の手続きがあります。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットに残るトークンや個人データを探し、通信の保護を確認し、決済フローの背後のAPIについて認可の不備やトークンの不正利用をテストします。

   お客様が担うこと

   データ分類、Bank Al-Maghribへの不正届出、製品の届出手続きです。

8. 08

   Bank Al-Maghrib指令第4/W/2022号、第5条、第6条、第8条、第9条、第10条（フランス語の正文）

   クラウドと第三者接続のリスクを評価する

   条文の内容

   指令第4/W/2022号は、クラウド外部化の最低限の規則を定めています。信用機関は、データ分類、適格な保管場所、分類ごとの安全対策と制限、データの喪失や漏えい後の復旧プロセスを含むデータ管理の枠組みを定めます。外部化の前にリスク分析を行い、ガバナンスの喪失、連鎖的な再委託、保存・破棄ルールの不遵守、アクセス権管理の不備、データの国際移転、および自社システムと事業者システムの接続における、暗号化の欠如、認証の弱さ、プロトコルの非互換、APIの欠陥といった弱点を対象とします。事業者の認証、安全対策、テスト済みの事業継続計画、インシデントの透明性、サイバー保険を確認し、監査可能性と可逆性の条項を維持します。

   出典：Bank Al-Maghrib指令第4/W/2022号、第5条、第6条、第8条、第9条、第10条（フランス語の正文）

   モバイルアプリにとっての意味

   銀行の外でアプリが通信するもの、すなわちクラウドサービスや第三者のAPIはすべて分類とリスク分析の対象となり、認証とAPIの弱点は明示されたリスクとして扱われます。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、呼び出されるAPIについて、認可の不備（BOLA、BFLA、IDOR）、トークンの不正利用、リプレイをテストします。SCAは静的にコンパイルされたライブラリを指紋照合し、第三者のSDKを既知の脆弱性と突き合わせます。

   お客様が担うこと

   クラウド戦略、データ分類、事業者のデューデリジェンスと契約、退出計画です。

9. 09

   法律第05-20号（サイバーセキュリティ）、第3条から第8条、第11条、第12条、第19条、第20条；デクレ第2-21-406号；回状第02/2023号で承認されたDNSSI V2（フランス語の正文）

   法律05-20、DNSSI、機微なシステムの規則を遵守する

   条文の内容

   法律05-20は、エンティティと重要インフラに対し、国のサイバーセキュリティ機関の指令・規則・参照枠組みの遵守、情報システムのセキュリティポリシーの策定、リスクの特定とそれを管理する技術的・組織的措置の実施、第三者にデジタルサービスを提供する情報システムの運用開始前の監査と定期的な監査を求めています。情報資産と情報システムを機微性に応じて分類し、アクセス権限付与の手続きを定め、情報システムセキュリティ責任者（RSSI）を指名し、監視と検知の手段を整備する必要があります。サイバーインシデントは国の機関に届け出る必要があります。機微なデータは国内にのみ保管する必要があり、機微な情報システムの外部化は、情報保護、監査可能性、可逆性の約束を含むモロッコ法の契約による必要があります。機微な情報システムは運用開始前にセキュリティの認証（homologation）を受け、国の機関の求めに応じて、同機関または同機関が認定した監査事業者による監査を受ける必要があります。回状第02/2023号で承認されたDNSSI V2は組織的・技術的な措置を定め、エンティティと重要インフラには実施計画を策定するための6か月が与えられています。

   出典：法律第05-20号（サイバーセキュリティ）、第3条から第8条、第11条、第12条、第19条、第20条；デクレ第2-21-406号；回状第02/2023号で承認されたDNSSI V2（フランス語の正文）

   モバイルアプリにとっての意味

   モバイルバンキングアプリはデジタルサービスであり、機微と指定され得るシステムへのチャネルです。運用開始前の監査、分類、機微なデータの国内保管、監視の義務が適用されます。銀行のシステムが機微な情報システムを持つ重要インフラに指定された場合、モバイルチャネルとそのバックエンドは対象範囲に入ります。

   Ostorlabによる支援

   Ostorlabはリリース前のセキュリティテストの証拠を提供します。アプリとAPIのAIエージェントによるペネトレーションテスト、バイナリに対するMobile SAST、組み込みコンポーネントに対するSCA、root・脱獄・改ざん・ピンニングに対するシールディング検査を、CI/CDまたは自社管理のオンプレミスで実行できます。OstorlabはSOC 2 Type II監査を受けており、DGSSIが認定した事業者が行う監査を代替するものではありません。

   お客様が担うこと

   セキュリティポリシー、リスク分析、分類とその届出、RSSI、機微なシステムの認証、保管場所の選択、DGSSIへのインシデント届出、認定事業者による監査です。

10. 10

    法律第09-08号、第12条、第23条、第24条、第43条、第44条（フランス語の正文）

    法律09-08に基づき個人データを保護する

    条文の内容

    法律09-08の下では、個人データの処理には事前の届出が必要で、機微なデータ、収集目的以外での利用、遺伝データを扱う場合には事前の許可が必要です。管理者は、個人データを偶発的または違法な破壊、喪失、改変、拡散、不正アクセスから保護するため、ネットワーク上でのデータ送信を含め、適切な技術的・組織的措置を講じ、十分な保証を提供し書面の契約で拘束される委託先を選ぶ必要があります。機微なデータと健康データには、アクセス管理、媒体管理、送信管理、記録など特定の対策が適用されます。個人データは、十分な保護水準を保証する国へのみ、または第44条の例外（CNDPの明示的かつ理由のある許可を含む）に基づいて移転できます。

    出典：法律第09-08号、第12条、第23条、第24条、第43条、第44条（フランス語の正文）

    モバイルアプリにとっての意味

    アプリ内、ログ内、バックエンド内の顧客データは個人データです。安全対策、委託先との条項、スキャンプラットフォームへの移転を含む国外移転を整理する必要があります。

    Ostorlabによる支援

    Ostorlabはローカルストレージ、キャッシュ、ログ、スクリーンショットに残る個人データを探し、アプリの送信方法を確認します。Enterpriseプランではデータ保管地域を選択するか、オンプレミスでスキャンを実行でき、CNDPに対する自社の立場に合わせて処理を整えられます。

    お客様が担うこと

    法的根拠、届出と事前許可、処理記録、CNDPへの移転申請です。

Bank Al-Maghrib、DGSSI、CNDPの公開文書を2026年9月27日に確認した要約です。これらの文書はフランス語であり、本ページの要約は当社によるものです。本ページは法的助言ではありません。