お客様が使うモバイルバンキングアプリのためのQCB規則。

1. 01

   QCB Technology Risks規則、9.4.2.2

   Webアプリとモバイルアプリをライフサイクル全体でテストする

   条文の内容

   銀行は、Webアプリケーションとモバイルアプリケーションのアプリケーションセキュリティテストを、そのライフサイクル全体、すなわち導入前、導入後、および大きな変更の後に実施するものとします。報告書は関係者と共有され、解消まで追跡されます。

   出典：QCB Technology Risks規則、9.4.2.2

   モバイルアプリにとっての意味

   重要な変更を含むアプリのリリースには、本番稼働の前後にセキュリティテストが必要であり、すべての検出結果に担当者と解消日が必要です。

   Ostorlabによる支援

   CI/CDパイプラインからビルドごとに自動スキャンを実行し、手動での起動なしにストアのリリースを監視します。検出結果はクリティカル、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowのチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   何を大きな変更とみなすかの定義と、関係者への報告書の共有。

2. 02

   QCB Technology Risks規則、9.4.2.3および9.4.3.3

   脆弱性評価、コードレビュー、ペネトレーションテストを年2回

   条文の内容

   銀行は、アプリケーション基盤全体を対象に、脆弱性評価、コードレビュー、ペネトレーションテストを年間で最低2回、または必要に応じてそれ以上の頻度で実施し、ペネトレーションテストの演習を年2回、または必要に応じてそれ以上実施するものとします。

   出典：QCB Technology Risks規則、9.4.2.3および9.4.3.3

   モバイルアプリにとっての意味

   モバイルアプリとその背後にあるAPIには、毎年少なくとも2回の評価とペネトレーションテストが必要です。テストを追加しない限り、その合間のリリースはテストされないままになります。

   Ostorlabによる支援

   クイックスキャンは通常1〜5分、フルスキャンは15〜45分で完了するため、すべてのリリースに組み込めます。AIエージェントによるペネトレーションテストはより深く調べ、通常数時間で、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。重要な変更や定期的な詳細テストに活用できます。

   お客様が担うこと

   年2回の演習の日程調整、テスターの選定、アプリ以外のインフラのテスト。

3. 03

   QCB Technology Risks規則、9.4.3.1～9.4.3.4

   ツールと手動作業を組み合わせ、前回と比較する

   条文の内容

   OWASP、OSSTMM、SANSなどのプラクティスに従い、自動ツールと手動の手法を組み合わせて包括的な脆弱性評価を行います。以前のスキャン結果と比較して脆弱性が対処されたことを確認し、行動計画を上級経営陣と共有し、受容したリスクを半年ごとにレビューします。

   出典：QCB Technology Risks規則、9.4.3.1～9.4.3.4

   モバイルアプリにとっての意味

   次のテストで再び現れる検出結果は、修正の失敗を意味します。その違いを証明するには、アプリごとのスキャン履歴が必要です。

   Ostorlabによる支援

   テストを実行し結果を管理するのは、お客様のセキュリティチームまたは第2線のチームです。各検出結果には、リスク評価、再現手順、リクエストとレスポンスのログ、スクリーンショットが付き、再テストで根本的な問題が解決されたかどうかを確認します。

   お客様が担うこと

   手動テスト、上級経営陣向けの行動計画、リスク受容の判断。

4. 04

   QCB Technology Risks規則、9.4.2.4、9.7.1.1、9.7.1.4、9.7.2.1

   セキュアな開発とソースコードレビュー

   条文の内容

   OWASP、CERTのセキュアコーディング標準、MITRE CWEに沿って、セキュアなアプリケーション開発のガイドラインを策定します。コーディング上の問題、不適切なプラクティス、悪意ある試みに起因する脆弱性を見つけるためにソースコードレビューを実施し、アプリケーションが外部への接続を確立しようとしていないかをレビューします。

   出典：QCB Technology Risks規則、9.4.2.4、9.7.1.1、9.7.1.4、9.7.2.1

   モバイルアプリにとっての意味

   コードレビューは、サードパーティのSDKを含め、アプリに含まれて出荷されるものを対象とすべきです。また、アプリとそのSDKがどのバックエンドと通信するかを把握しておくべきです。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAを直接解析し、ソースコードは不要で、組み込まれたSDK全体にわたるテイント解析も行います。Ostorlabは、アプリとそのSDKがネットワーク経由でバックエンドとやり取りする内容を示し、各リリースに含まれるSDKとネイティブライブラリを一覧化します。

   お客様が担うこと

   開発ガイドラインの作成、アプリ以外のソースコードのレビュー、ソースコードのエスクロー。

5. 05

   QCB Technology Risks規則、8.10.2.9、8.10.2.13、10.10.3

   認証をリプレイやハイジャックから保護する

   条文の内容

   使用中のシステム認証データは保護され、リプレイ、中間者攻撃、セッションハイジャックなどの攻撃を受けないものでなければなりません。認証の試行に最大3回失敗した時点でアクセスを停止しなければなりません。オンラインバンキングでは、銀行は取引署名に二要素認証を実装しなければなりません。

   出典：QCB Technology Risks規則、8.10.2.9、8.10.2.13、10.10.3

   モバイルアプリにとっての意味

   アプリとそのAPIにおけるトークン、ワンタイムコード、セッション管理は、リプレイやハイジャックに耐えなければならず、取引署名にはサーバー側で第2の要素が必要でなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、ステップアップ認証のフローを含むMFAの強制をテストします。

   お客様が担うこと

   パスワードポリシー、ロックアウトの値、従業員のアクセス管理。

6. 06

   QCB Technology Risks規則、10.10.8

   オンラインバンキングを中間者攻撃に対してテストする

   条文の内容

   銀行は、中間者（man-in-the-middle）、マン・イン・ザ・ブラウザー、マン・イン・ザ・アプリケーションなどのサイバー攻撃にさらされるリスクを最小限に抑えるため、オンラインバンキングシステムの脆弱性評価とペネトレーションテストを実施するものとします。

   出典：QCB Technology Risks規則、10.10.8

   モバイルアプリにとっての意味

   モバイルアプリにとって、マン・イン・ザ・アプリケーションとはデバイス上でのフッキングや改ざんを指し、中間者攻撃とは通信の傍受を指します。いずれもテストできます。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。ハードニングスコアとバイパスの証拠が得られます。

   お客様が担うこと

   シールドや実行時保護の製品の選定と設定。

7. 07

   QCB Technology Risks規則、10.11.1～10.11.3

   モバイルのオンラインサービスと決済を保護する

   条文の内容

   銀行は、モバイルのオンラインサービスと決済にセキュリティ対策を実装し、起こりうる不正のシナリオを特定するためにリスク評価を実施し、モバイルのオンラインサービスと決済で使用される機密情報を適切に保護しなければなりません。

   出典：QCB Technology Risks規則、10.11.1～10.11.3

   モバイルアプリにとっての意味

   アプリが保存・送信するデータと決済の背後にあるAPIは、不正のシナリオが損失に変わる場所です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストします。

   お客様が担うこと

   不正リスクの評価、リアルタイムの不正モニタリング、顧客への啓発。

8. 08

   QCB Technology Risks規則、IIおよび7.1

   毎年QCBにコンプライアンスを報告する

   条文の内容

   銀行は通達を遵守し、少なくとも年1回コンプライアンスの評価を行い、取締役会または取締役会が権限を与えた委員会が署名したコンプライアンス報告書を、少なくとも年1回QCBに提出しなければなりません。重大な不備には是正措置が必要であり、QCBはいつでも銀行を監査できます。

   出典：QCB Technology Risks規則、IIおよび7.1

   モバイルアプリにとっての意味

   年次報告書には、アプリとAPIのテストが求められたとおりに行われ、検出結果が修正されたことを示す証拠が必要です。

   Ostorlabによる支援

   スキャン結果、再現手順付きの検出結果、再テストの結果により、アプリの管理策がリリースごとにどのようにテストされ修正されたかを、日付入りの記録として残せます。

   お客様が担うこと

   コンプライアンス評価、報告書、取締役会の承認、QCBとのやり取り。

9. 09

   Data Handling and Protection Regulation、7.6、7.7、15.1、Cloud Computing Regulation、21.4

   ベンダーを含め、顧客データをカタール国内にとどめる

   条文の内容

   個人情報、機微な個人情報、機微な金融情報の主要な保存・処理環境は、QCBが別途承認しない限り、カタール国内に置かなければなりません。こうしたデータは、QCBの承認なしに国外で保存または国外へ移転してはならず、Cloud Computing Regulationのもとでは、PIIと金融情報はカタール国内でのみ処理されます。

   出典：Data Handling and Protection Regulation、7.6、7.7、15.1、Cloud Computing Regulation、21.4

   モバイルアプリにとっての意味

   アプリのバイナリ、テスト用アカウント、通信のキャプチャを受け取るテストベンダーは、お客様のデータ規則が適用される第三者です。

   Ostorlabによる支援

   Enterpriseプランでは、自社管理のインフラでオンプレミスのスキャンを実行するか、GCCのデータレジデンシーを選択できます。OstorlabはSOC 2 Type II監査済みです。

   お客様が担うこと

   顧客データがベンダーに渡るかどうかの判断と、必要なQCBの承認。

QCBのWebサイトで公開されているQCBの文書の要約です（2026年9月27日時点で確認）。本ページは法的助言ではありません。