BSPのITリスク規則とAFASA：リリースごとにモバイルバンキングアプリを診断しましょう。

1. 01

   BSP通達982、付属文書75b、3.3.3.4 Application Security

   本番投入前にアプリケーションをテストする

   条文の内容

   経営陣は、自社開発か既製品の購入かを問わず、すべてのアプリケーションがその機密性と重要性に見合った管理策を備えることを確保すべきです。開発初期段階からセキュリティ管理要件を組み込むセキュアコーディングの実践を、アプリケーションシステムの開発・調達の方針と手続きに含めるべきです。新しいアプリケーションは、その後の機能追加も含め、本番環境に投入する前に、ペネトレーションテスト、脆弱性診断、アプリケーションセキュリティテストなどの多様なテスト手法で十分にテストすべきです。アプリケーションシステムのレビュー、ペネトレーションテスト、脆弱性診断は定期的に実施すべきです。

   出典：BSP通達982、付属文書75b、3.3.3.4 Application Security

   モバイルアプリにとっての意味

   モバイルバンキングアプリの各リリースは、本番環境に向かう新しいバージョンです。アプリとその背後のバックエンドは、年1回の演習だけでなく、リリースプロセスに組み込むべきです。

   Ostorlabによる支援

   AIエージェントのペネトレーションテストが、ストア版のビルドとその背後のAPIを、ログイン後も含めてテストし、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。Mobile SASTとMobile DASTは、ソースコードなしでAPK、AAB、IPAに対して、CI/CDパイプラインからビルドごとに実行されます。

   お客様が担うこと

   セキュアコーディング基準、変更承認、本番投入の判断、ベンダー開発アプリの監督。

2. 02

   BSP通達982、付属文書75b、3.7.1および3.7.2 (c)から(g)

   年1回以上、外部事業者による脆弱性診断とペネトレーションテストを実施する

   条文の内容

   脆弱性診断は、通常は自動スキャナーを用いて、システムやネットワークのセキュリティ上の脆弱性を、システムのリスクと重要性に応じた頻度で特定します。診断で見つかった高リスクの脆弱性は、合理的な期間内に修正すべきです。ペネトレーションテストは、制御された条件下で脆弱性を悪用する模擬的または現実的な攻撃をシステムやネットワークに加えます。デジタル・電子金融サービスを提供するBSFIでは、脆弱性診断とペネトレーションテストを、外部事業者により少なくとも年1回実施すべきです。テストは極端だが起こり得るシナリオも対象とし、ガイドラインは侵害評価やレッドチーミング演習もテストの種類として挙げています。

   出典：BSP通達982、付属文書75b、3.7.1および3.7.2 (c)から(g)

   モバイルアプリにとっての意味

   モバイルアプリはデジタル金融サービスの一部です。外部事業者による脆弱性診断とペネトレーションテストを少なくとも年1回計画し、アプリはリリースごとに変わるため、その間もテストを続けましょう。

   Ostorlabによる支援

   Ostorlabは外部事業者として、年次のテストの合間に、リリースごとにアプリとAPIをテストできます。結果はクリティカル、高、中、低で評価され、プラットフォーム内またはJira・ServiceNowのチケットとして追跡され、修正後に再テストされます。

   お客様が担うこと

   外部事業者の選定と契約、本番環境でのテストの進め方、範囲と頻度の決定。

3. 03

   BSP通達982、付属文書75b、3.3.3.8.3 Patch Managementおよび3.7.2(c)

   パッチ管理と修正期限を維持する

   条文の内容

   経営陣は、技術資産とソフトウェア資産に利用可能なセキュリティパッチを速やかに特定し、パッチの重要性とリスクを評価し、適切な期間内にテストして適用するパッチ管理プロセスを採用すべきです。脆弱性診断で見つかった高リスクの脆弱性は、合理的な期間内に修正すべきです。

   出典：BSP通達982、付属文書75b、3.3.3.8.3 Patch Managementおよび3.7.2(c)

   モバイルアプリにとっての意味

   アプリに組み込まれたライブラリとSDKは、お客様が提供するソフトウェア資産です。それぞれに既知のバージョン、脆弱性が現れたときの評価、合理的で記録に残る期間内の修正が必要です。

   Ostorlabによる支援

   SCAは静的にコンパイルされたライブラリを識別し、既知の脆弱性にマッピングして、リリースごとに追跡します。各検出結果には重大度が付き、チケットとして追跡できるため、解消状況がリリースをまたいで見えます。

   お客様が担うこと

   システムとインフラへのパッチ適用、メンテナンス時間帯、リスク受容の判断。

4. 04

   BSP通達982、付属文書75b、3.3.3.8.4 Vendor Management and Outsourcing、BSP通達1213、第1条（MORB第148条）、共有責任の枠組み(c)

   ベンダーと第三者を管理する

   条文の内容

   経営陣は、第三者サービスプロバイダーの選定にあたり適切なデューデリジェンスを行い、情報セキュリティを考慮し、その活動を監視する効果的な監督プロセスを整備し、特に顧客情報を保存、送信、処理、廃棄するプロバイダーについては、契約に情報セキュリティ要件を十分に記載すべきです。第三者からのサイバーリスクへのエクスポージャーを評価し、機関のサイバーリスク管理プログラムの見直しに活用すべきです。通達1213はまた、金融取引に関与する第三者やサービスプロバイダーが、可用性、情報セキュリティ、サイバーセキュリティに関する契約上の義務を厳守することを、BSFIが徹底し定期的に評価することを定めています。

   出典：BSP通達982、付属文書75b、3.3.3.8.4 Vendor Management and Outsourcing、BSP通達1213、第1条（MORB第148条）、共有責任の枠組み(c)

   モバイルアプリにとっての意味

   モバイルバンキングアプリには、自社のバックエンドと通信する第三者のSDKが組み込まれ、その背後のAPIはベンダーが運営している場合があります。これらは第三者が関与するリスクとして管理すべき対象です。

   Ostorlabによる支援

   Ostorlabは、各リリースに含まれるSDKとネイティブライブラリを、バージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがどのバックエンドとデータをやり取りするかを示します。どの第三者が何をビルドに持ち込むかが見えます。

   お客様が担うこと

   デューデリジェンス、契約、ベンダー監視、契約終了時の移行計画。

5. 05

   BSP通達982、付属文書75b、3.3.3.5 Data Security（3.3.3.5.1および3.3.3.5.2を含む）

   端末上と通信中のデータを保護する

   条文の内容

   BSFIは、情報分類の戦略を定め、分類体系に応じた情報保護の管理策を整備し、取り扱い、保存または保存時データ、送信または転送時データから廃棄まで、情報をライフサイクル全体で保護すべきです。ノートPC、スマートフォン、タブレットなどの携帯端末に保存される情報の管理策は、紛失や盗難のリスクを考慮し、データ暗号化、端末側のアクセス制御、リモートワイプなどの対策を含めるべきです。方針、基準、手続きにより、データを転送中および第三者と共有する際も安全に保つべきです。

   出典：BSP通達982、付属文書75b、3.3.3.5 Data Security（3.3.3.5.1および3.3.3.5.2を含む）

   モバイルアプリにとっての意味

   スマートフォンは携帯端末です。パスワード、トークン、個人データが端末上やキャッシュ、ログ、スクリーンショットに平文で残ったり、保護されずにバックエンドへ送られたりしてはなりません。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、アプリがディスクに書き込む内容を確認し、TLSピンニングなどの転送保護が回避できるかをテストします。

   お客様が担うこと

   データ分類、鍵管理、リモートワイプ、端末管理の方針。

6. 06

   BSP通達1213、第1条（MORB第148条）、(e)(ii)

   root化・脱獄・エミュレーター環境でアプリを制限する

   条文の内容

   金融口座は、サイバー攻撃、不正アクセス、不正取引などのリスクを軽減するセキュリティ対策で保護されなければなりません。こうした対策には、古いシステムの端末、root化または脱獄された端末、エミュレーターなど、安全でない端末へのモバイルアプリのインストールを制限することが含まれます。

   出典：BSP通達1213、第1条（MORB第148条）、(e)(ii)

   モバイルアプリにとっての意味

   検知だけでは不十分です。端末が侵害されている場合、アプリはセッション、登録、取引を停止しなければならず、そのチェックは簡単に無効化できてはなりません。

   Ostorlabによる支援

   Mobile Shielding Scanは、root化・脱獄・エミュレーター環境でアプリを実行し、検知の回避を試み、アプリが処理をブロックするか、起動を拒否するか、動作を続けるかを示します。ハードニングスコアと回避の証拠が得られます。

   お客様が担うこと

   侵害端末・旧式端末の扱いに関する方針、検知・保護技術の選定、ブロックされた顧客へのサポート。

7. 07

   BSP通達1213、第1条（MORB第148条）、(e)(vi)および(k)

   傍受可能なワンタイムPINを制限し、メッセージ内のリンクをなくす

   条文の内容

   BSFIは、SMSやメールで送られるワンタイムPINなど、取引と無関係な第三者に共有または傍受され得る認証手段の利用を制限すべきです。複雑な電子商品・サービスを提供し、オンライン取引の総額が大きい機関は、生体認証、行動生体認証、FIDOを含むパスワードレス認証、適応型認証などの強い認証手段を採用しなければなりません。多要素認証の導入に関するガイドラインは付属文書79にあります。また、BSFIは、顧客の事前の操作に応じたもので、情報提供のみを目的とし、機密情報やログイン情報の入力を求めるウェブサイトやウェブアプリに転送しない場合を除き、メール、インスタントメッセージ、SMSでクリック可能なリンクやQRコードを送ってはなりません。

   出典：BSP通達1213、第1条（MORB第148条）、(e)(vi)および(k)

   モバイルアプリにとっての意味

   SMSとメールのコードは、アカウント乗っ取りの最も弱い部分であり、銀行メッセージ内のリンクはフィッシングに見えます。ログインと高リスク取引はアプリに紐づく方法やフィッシング耐性のある方法へ移行し、メッセージにリンクを含めないようにすべきです。

   Ostorlabによる支援

   認証後のテストは、テスト用アカウントでログインし、SMS、メール、TOTPのワンタイムコードを入力し、MFAの適用とステップアップ認証のフローを、コードの再実行、再利用、回避の可能性も含めて、その背後のAPI呼び出しとともにテストします。

   お客様が担うこと

   代替する認証手段の選定、移行計画、顧客への周知。

8. 08

   BSP通達1213、第1条（MORB第148条）、(e)(i)

   重要なアカウント変更後の24時間の取引一時停止を適用する

   条文の内容

   BSFIは、重要なアカウント変更の適用後、24時間の取引一時停止期間を設け、その間、顧客の金融取引を制限しなければなりません。重要なアカウント変更とは、顧客の口座へのアクセスを保護するために不可欠とされる情報の変更で、携帯電話番号、メールアドレス、口座へのアクセスに使用する登録・認証済み端末の更新などが含まれます。強い認証手段が整備され、機関が関連するリスクに完全に責任を負うことを条件に、一時停止期間を短縮したり、代わりに取引の制限や上限を設けたりすることもできます。

   出典：BSP通達1213、第1条（MORB第148条）、(e)(i)

   モバイルアプリにとっての意味

   一時停止はビジネスロジックです。アプリやAPIが、顧客またはセッションを保持する攻撃者にこれを飛ばさせるなら、管理策は機能していません。端末登録はなりすましに対してもテストすべきです。

   Ostorlabによる支援

   AIエージェントのペネトレーションテストはアカウント変更と端末登録のフローをテストし、APIテストは一時停止、上限、ステップアップ認証がサーバー側で維持されるかを、リクエストとレスポンスの証拠とともに確認します。

   お客様が担うこと

   短縮された一時停止と上限に関する方針、顧客への通知、一時停止期間中のサポート体制。

9. 09

   BSP通達1213、第1条（MORB第148条）、(e)(iii)、(iv)および(v)

   不正な自動化を遮断し、端末の識別を確認する

   条文の内容

   BSFIは、スクリーンスクレイピングやブラウザ自動化などの不正なスクリプトや自動化ツールによる金融口座へのアクセスと取引の実行を、行動分析、レート制限、セッション管理、ボット検知などの措置により禁止しなければなりません。また、強力なデバイスフィンガープリンティングと、端末識別のなりすましを防ぐ効果的な仕組みを採用すべきです。適切な認証と完全性のチェックにより、顧客が利用するフロントエンドアプリから開始された取引が、送信前またはバックエンドシステムでの実行中に改変されないことを確保すべきです。

   出典：BSP通達1213、第1条（MORB第148条）、(e)(iii)、(iv)および(v)

   モバイルアプリにとっての意味

   これらの管理策はAPIとバックエンドにあります。レート制限、セッション管理、完全性チェック、端末の紐づけはテスト可能で、それぞれが少なくとも1つのエンドポイントで欠けている可能性があります。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、APIの認可の欠陥（BOLA、BFLA、IDOR）、トークンとセッションの不正利用、列挙、再実行、自動化などの悪用を、各検出結果のリクエストとレスポンスの証拠とともにテストします。

   お客様が担うこと

   ボット管理とWAFの運用、不正監視、端末識別データのガバナンス。

10. 10

    Republic Act No. 10173、Data Privacy Act of 2012、第20条

    個人データを保護し、漏えいを通知する

    条文の内容

    Data Privacy Act of 2012に基づき、個人情報管理者は、個人情報を偶発的または違法な破壊、改変、開示から、またその他の違法な処理から保護するため、合理的かつ適切な組織的、物理的、技術的措置を実施しなければなりません。措置には、コンピュータネットワークの保護、セキュリティ方針、ネットワーク上の合理的に予見可能な脆弱性を特定して対応するプロセス、セキュリティ侵害の定期的な監視を含める必要があります。機密個人情報、または身元詐称に利用され得る情報が、権限のない者に取得されたと合理的に信じられ、重大な害の現実的なリスクを生じさせる可能性がある場合、管理者は国家プライバシー委員会（NPC）と影響を受ける本人に速やかに通知しなければなりません。

    出典：Republic Act No. 10173、Data Privacy Act of 2012、第20条

    モバイルアプリにとっての意味

    アプリ内とAPI通信上の顧客データは個人データであり、モバイルマルウェア、root化端末、安全でない保存が漏えいの経路です。

    Ostorlabによる支援

    Ostorlabは、アプリとそのAPIにおける技術的措置をテストします。保存とログ、転送、認証と認可、およびアクセス制御の欠陥による他顧客のデータへのアクセスを、各検出結果の証拠とともに確認します。

    お客様が担うこと

    プライバシーガバナンス、処理の記録、漏えいの評価、NPCと本人への通知。

BSPの公開文書とData Privacy Actの要約です（2026年9月27日時点で確認）。引用は、Bangko Sentral ng Pilipinasが公表した通達によります。これは法的助言ではありません。