CBNサイバーセキュリティフレームワーク：リリースの前後にモバイルバンキングアプリを診断しましょう。

1. 01

   CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、2.2および付属文書I、1.2

   年次の診断、年1回の第三者ペネトレーションテスト、四半期ごとのスキャンを実施する

   条文の内容

   監督対象の金融機関は、情報資産に対するリスクを検出・評価し、セキュリティ管理策の妥当性を判断するため、年次の脆弱性診断と脅威分析を実施するものとされています。第三者によるペネトレーションテストは少なくとも年1回実施し、内部脆弱性スキャンは四半期ごとに行います。基準管理策ではさらに、すべてのIT資産の脆弱性診断を行い、その報告を少なくとも四半期ごとに情報セキュリティ運営委員会と経営層に提出すること、情報処理基盤に重大な変更があった場合や新しい脆弱性を知った場合に脆弱性診断を行うこと、可能な場合は自動スキャンツールを導入することが求められています。IT資産に対する外部ペネトレーションテストは少なくとも年1回必要で、インターネットに接する金融システムやアプリケーションではより頻繁に実施することがあります。

   出典：CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、2.2および付属文書I、1.2

   モバイルアプリにとっての意味

   年1回の第三者ペネトレーションテスト、四半期ごとの内部スキャン、年次の診断は最低ラインです。モバイルバンキングは同じ基準管理策で、継続的に確認すべきプラットフォームとして名指しされています。

   Ostorlabによる支援

   Mobile SASTが組み込みSDKを含むバイナリを解析し、Mobile DASTが実行中のアプリをテストします。どちらもお客様のCI/CDパイプラインから実行できます。AIエージェントによるペネトレーションテストは、ログイン後のアプリとAPIをテストし、AIエージェントの各検出結果に再実行できる動作するエクスプロイトを付けます。

   お客様が担うこと

   対象範囲と頻度のポリシー、年次ペネトレーションテストの第三者の選定、サーバーとネットワークのテスト、運営委員会と経営層への報告。

2. 02

   CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書I、1.2(a)(b)(h)および付属文書III、1.9

   期限を決めて修正し、パッチ適用状況を把握する

   条文の内容

   フレームワークは、特定した脆弱性の修正について、区分ごとに責任と期限を定めること、セキュリティ更新を十分なテストの後にパッチ管理ポリシーに従って速やかに適用すること、パッチとセキュリティ設定が正しく適用されたことを確認すること、修正とパッチ適用のプロセスを定期的に監査し経営層に報告することを求めています。管理策はまた、取締役会が承認した脆弱性管理ポリシー、IT資産のパッチ適用状況を把握する仕組み、USSDやモバイルバンキングなど業務サービスに使うプラットフォームとプロトコルに固有のリスクと脆弱性の継続的な特定を求めています。

   出典：CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書I、1.2(a)(b)(h)および付属文書III、1.9

   モバイルアプリにとっての意味

   アプリやAPIの検出結果には、区分、担当者、修正期限が必要で、修正はリリース後に検証されなければなりません。アプリ内のSDKとライブラリは、お客様がパッチを当てるソフトウェアです。

   Ostorlabによる支援

   SCAが静的にコンパイルされたライブラリを特定し、既知の脆弱性と突き合わせてリリースごとに追跡します。検出結果はクリティカル、高、中、低に評価され、プラットフォームまたはJiraやServiceNowのチケットとして管理され、修正のリリース後に再テストされます。

   お客様が担うこと

   パッチ適用の時間帯、サーバーとインフラのパッチ適用、リスクの受容、パッチプロセスの監査。

3. 03

   CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書III、1.6(a)から(c)

   SDLCにセキュリティを組み込み、リリースの前後でテストする

   条文の内容

   サイバーセキュリティ管理策は、システムまたはアプリケーションのライフサイクルのすべての段階で検討し組み込む必要があり、システムやアプリケーションの取得・開発の業務要件ではセキュリティ要件を特定し文書化しなければなりません。金融機関は、セキュアコーディングの実践を確保し、ソフトウェア開発ライフサイクル全体を通じて定期的なセキュリティテストを実施して、アプリケーションとシステムの脆弱性を特定・修正するものとされています。オープンソースのコードとライブラリは、使用前に適切にテストする必要があります。

   出典：CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書III、1.6(a)から(c)

   モバイルアプリにとっての意味

   アプリのリリースはすべて、インターネットに接するチャネルの変更です。要件はオープンソースコンポーネントを明示しており、モバイルアプリのバンドルの大半はオープンソースまたは第三者製のコードです。

   Ostorlabによる支援

   Ostorlabは、お客様のCI/CDパイプラインからビルドごとに自動スキャンを実行し、ストア公開版を手動トリガーなしで監視します。Mobile SASTはAPK、AAB、IPAで動作し、ソースコードは不要です。

   お客様が担うこと

   セキュリティ要件、セキュアコーディング基準、手動レビュー、リリース承認。

4. 04

   CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、2.3および3.1、付属文書I、1.2(g)および1.4

   各リリースの構成要素を把握する

   条文の内容

   金融機関は、許可されたソフトウェアとハードウェア、および内部・外部のネットワーク接続の最新のインベントリを維持する仕組みを整え、スイッチ、第三者、ホールセール顧客への接続のカタログを保持する必要があります。フレームワークはまた、業務サービスに使うプラットフォームとプロトコルに固有のリスクと脆弱性の継続的な特定と、ベンダー選定、デューデリジェンス、契約交渉、継続的な監視、インシデント対応を含む第三者リスク管理の枠組みを求めています。

   出典：CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、2.3および3.1、付属文書I、1.2(g)および1.4

   モバイルアプリにとっての意味

   モバイルバンキングアプリは、それぞれのバックエンドと通信する第三者SDKを組み込んでいます。開く接続も含めて、インベントリと第三者リスクの視点に含める必要があります。

   Ostorlabによる支援

   Ostorlabは、各リリースのSDKとネイティブライブラリをバージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがネットワーク上でバックエンドと何をやり取りするかを示します。

   お客様が担うこと

   資産台帳、第三者のデューデリジェンス、契約。

5. 05

   CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書III、1.1および付属文書IV、2(c)

   MFAを徹底し、アクセスを管理する

   条文の内容

   アクセス制御ポリシーは、利用者、システム、サービスアカウントを対象とし、最小権限、役割の変更や終了時の即時の権限剥奪、および従業員、顧客、第三者のネットワーク・システム・アプリケーションへのアクセスを保護する多要素認証、ロールベースアクセス制御、多層の管理策を備える必要があります。認証方式はシステムの重要度と機微度に応じたものとし、重要システムでは多要素認証を必須とします。アクセスはゼロトラストなどの仕組みで継続的に検証し、侵害されたアカウントの自動復旧またはブロックの仕組みを実装しなければなりません。新技術の管理策でも、採用した技術に対するMFAや生体認証を含む強力な認証が繰り返し求められています。

   出典：CBN Risk-Based Cybersecurity Framework and Guidelines for DMBs and PSBs, 2024、付属文書III、1.1および付属文書IV、2(c)

   モバイルアプリにとっての意味

   モバイルアプリは、顧客や場合によっては第三者が銀行のシステムに到達するチャネルです。アプリが何を送るかにかかわらず、重要なフローではサーバー側で第二要素を強制する必要があります。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークン更新、タイムアウト、セッション無効化、MFAの適用状況を、ステップアップ認証のフローやその背後のAPI呼び出しとあわせて確認します。

   お客様が担うこと

   認証方式の選定、特権アクセス管理、アクセスレビュー、端末ポリシー。

6. 06

   CBNの即時決済業務に関するガイドライン、2026年3月12日付回状、2026年7月1日適用（CBN Reforms and Initiativesページの要約）

   即時決済の管理策をアプリに適用する

   条文の内容

   2026年3月12日発行、2026年7月1日適用のCBNの即時決済業務に関するガイドラインは、顧客が任意の期間、口座の即時振込を自発的に無効にできること、オプトインとオプトアウトの手続きを多要素認証で保護することを定めています。金融機関はリアルタイムの企業向け不正監視システムを導入し、オンライン口座開設と再有効化の本人確認を強化する必要があります。モバイルバンキングアプリは同時に1台の端末にのみ紐付けられ、新しい端末で有効化した場合は最初の24時間、20万ナイラの一時的な取引上限が適用されます。

   出典：CBNの即時決済業務に関するガイドライン、2026年3月12日付回状、2026年7月1日適用（CBN Reforms and Initiativesページの要約）

   モバイルアプリにとっての意味

   端末の紐付けと新規端末の上限は、アプリとバックエンドが一体となった挙動です。無効化手続きのMFAと不正監視は、実際のアカウントでテストできる管理策です。

   Ostorlabによる支援

   Ostorlabは、MFAの適用状況とステップアップ認証のフローを、攻撃者による操作の試みを含めてテストし、端末の紐付け、口座の再有効化、取引上限の背後のAPI呼び出しをテストします。

   お客様が担うこと

   不正監視システムの導入、口座開設時の本人確認、新しい管理策に関する顧客への説明。

7. 07

   CBN Framework and Guidelines on Mobile Money Services in Nigeria、2021年7月、ガイドライン第12章、取引セキュリティ基準

   モバイルマネーソリューションのPINと取引メッセージを保護する

   条文の内容

   モバイルマネーソリューションは、取引セキュリティの最低基準を守る必要があります。口座のすべての取引は、携帯電話番号とそれに関連付けられたPINの認証後にのみ許可すること。モバイル決済アプリは、端末上でもアプリ内でもPINを保存する選択肢を提供しないこと。PINは取引中に平文で送信しないこと。利用者の携帯電話からの支払い承認メッセージは、少なくとも暗号化し、スキーム運営者による改ざんチェックを行うこと。これにより、傍受者が内容を変更できないようにします。また、取締役会が承認したセキュリティポリシーの存在、セキュリティ機能とIT部門の分離、規定のセキュリティ基準の遵守状況の定期的な監査、論理アクセス制御、インターネットと運営者のシステムの間に直接接続がないようにするプロキシまたは検査型ファイアウォールが必要です。

   出典：CBN Framework and Guidelines on Mobile Money Services in Nigeria、2021年7月、ガイドライン第12章、取引セキュリティ基準

   モバイルアプリにとっての意味

   PINの取り扱いとメッセージの完全性は、アプリ内と通信路上でテストできます。改変された端末や傍受プロキシは、まさにPINの非保存、平文禁止、改ざんチェックの規則が想定するものです。

   Ostorlabによる支援

   Ostorlabは、アプリパッケージ内のPIN、APIキー、トークン、認証情報を検出し、それらが機能するかを検証します。TLSピンニングがあっても通信を傍受し、メッセージやワンタイムコードが再利用または改変できるかをテストします。

   お客様が担うこと

   セキュリティポリシー、職務分離、ファイアウォール構成、基準の定期的な監査。

8. 08

   CBN Guidelines on Operations of Electronic Payment Channels in Nigeria、2020年6月、2.3、3.4.1、4.3から4.5

   決済アプリケーションを認証し、ロックダウンする

   条文の内容

   カード会員情報を処理または保存するすべての業界関係者は、端末、アプリケーション、処理システムが、PA-DSS、PCI PED、PCI DSS、当事者間で送受信され認証されるデータの基準となるTriple DES、およびEMVの最低要件を満たすことを確保する必要があります。Web加盟店業務では、ゲートウェイプロバイダーがPCI DSS、PA-DSS、Triple DES、二要素認証を満たすこと、カード発行会社がWebチャネルでカードを使う会員に二要素認証を提供し、2FAを要する高度に保護されたレベルでの認証と、行動監視およびSMSやメールによる通知を行うことが求められています。モバイルPOSでは、アクワイアラーがmPOSアプリケーションのPA-DSS認証を確保し、モバイルアプリの効果的なパッチとバージョン管理を適用し、決済データをエンドツーエンド暗号化で送信し、mPOSアプリケーションをロックダウンして、端末上の他のアプリケーションが決済データに触れたり、保存したり、送信したりできないようにする必要があります。

   出典：CBN Guidelines on Operations of Electronic Payment Channels in Nigeria、2020年6月、2.3、3.4.1、4.3から4.5

   モバイルアプリにとっての意味

   アプリがカード決済を受け付ける場合や、エージェントが決済アプリを使う場合、認証、パッチ、暗号化、ロックダウンの要件は端末だけでなくアプリケーション自体に適用されます。

   Ostorlabによる支援

   Ostorlabは決済アプリのバイナリを解析して弱い暗号とハードコードされた鍵を探し、保存・記録される内容を確認し、root、改ざん、ピンニングなどの保護が改変された端末で回避できるかをテストします。

   お客様が担うこと

   PA-DSS、PCI DSS、EMVの認証、アクワイアラー契約、加盟店端末の管理。

9. 09

   CBN Operational Guidelines for Open Banking in Nigeria、2023年3月、9.3および付属文書III、4、5.3.4、8

   オープンバンキングAPIを保護し、テストする

   条文の内容

   オープンバンキングの参加者は、セキュリティ基準に沿った情報セキュリティ管理策を実装する必要があります。リスクに対する取締役会レベルの責任、定期的な脅威評価、多要素認証を用いた強力なパスワードとアクセス管理、新しいアプリケーション、プロセス、サービスの実装前のセキュリティ評価、データへのアクセスの四半期ごとのレビューが含まれます。技術的なセキュリティでは、APIシステムへのアクセスにおけるMFA、ロールベースアクセス制御、少なくともOAuth 2.0とOpenID Connectによる認証プロトコル、TLS上の相互認証、第三者を許可された権限の範囲内に保つデジタルトークン、顧客による取り消しの権利が必要です。参加者は、システムセキュリティの定期的な脆弱性スキャンとペネトレーションテストを実施し、特定した脆弱性をオープンバンキング資産の重大度に応じて修正しなければなりません。アプリケーションセキュリティの管理策は、すべてのオープンバンキングAPIのSDLCとCI/CDパイプラインに組み込み、OWASP API SecurityプロジェクトとOWASP Top Tenに沿って実装します。

   出典：CBN Operational Guidelines for Open Banking in Nigeria、2023年3月、9.3および付属文書III、4、5.3.4、8

   モバイルアプリにとっての意味

   オープンバンキングは、アプリのエコシステムをAPI共有の面に変えます。同意、トークン、当事者間の認可がテストすべき管理策であり、APIプラットフォームの定期的なスキャンも必要です。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、APIの認可の不備（BOLA、BFLA、IDOR）やトークン、同意スコープ、セッションの不正利用を、各検出結果のリクエストとレスポンスの証拠とともにテストし、修正後に再テストします。

   お客様が担うこと

   オープンバンキングレジストリの義務、同意管理プラットフォーム、パートナーのオンボーディング、ゲートウェイの構成、規制当局への報告。

10. 10

    Nigeria Data Protection Act 2023、第39条および第40条、NDPC General Application and Implementation Directive 2025、第29条、第31条、第33条

    NDPAのセキュリティと通知の義務を、アプリも含めて満たす

    条文の内容

    Nigeria Data Protection Act 2023は、データ管理者とデータ処理者が、個人データの安全性、完全性、機密性を確保するための適切な技術的・組織的措置を講じることを求め、データの量と機微性、危害の可能性を考慮に入れるとしています。措置には、仮名化その他の非識別化、暗号化、処理システムの安全性、完全性、機密性、可用性、レジリエンスを確保するプロセス、物理的または技術的なインシデント後の可用性の回復、処理システムのリスクの定期的な評価、措置の有効性の定期的なテスト・評価・検証、措置の定期的な更新が含まれます。個人の権利と自由へのリスクをもたらす可能性がある個人データ漏えいは、72時間以内に委員会へ通知しなければなりません。NDPCのGeneral Application and Implementation Directive 2025は、データベースの脆弱性テスト、認証チェック、暗号化レビューを含むデータセキュリティシステムの監視・評価・保守の日程を求め、モバイルアプリケーションを含むデータ処理ソフトウェアについて、展開前のDPIA、プライバシー・バイ・デザインと既定での保護、アプリストアのデータセキュリティガイドラインへの対応を義務付けています。

    出典：Nigeria Data Protection Act 2023、第39条および第40条、NDPC General Application and Implementation Directive 2025、第29条、第31条、第33条

    モバイルアプリにとっての意味

    法律はセキュリティ措置とその有効性の定期的なテストを求め、GAIDはモバイルアプリケーションとアプリストアのセキュリティガイドラインを同じ条文に置いています。ストア公開版はプライバシー対応の対象になります。

    Ostorlabによる支援

    Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショット内の個人データを探し、通信の保護を確認し、テストした管理策の証拠を提供します。漏えいの該当判断、72時間の評価、通知はお客様のDPOが担います。

    お客様が担うこと

    DPIA、漏えいの評価と通知、DPO、暗号化と鍵管理、保存期間。

公開されているCBNとNDPCの文書の要約です（2026年9月27日時点で確認）。即時決済の管理策は、CBN Reforms and Initiativesページに記載された2026年3月12日付のCBN回状に基づいて要約しています。本ページは法的助言ではありません。