お客様が使うモバイルバンキングアプリに適用されるSAMAの規則。

1. 01

   SAMA Cyber Security Framework、3.2.4

   顧客向け・インターネット公開サービスのペネトレーションテストを毎年行う

   条文の内容

   情報資産のサイバーセキュリティの状態は定期的にレビューしなければなりません。顧客向けおよびインターネットに公開されたサービスは、年次レビューとペネトレーションテストの対象とすべきです。結果、問題点、推奨される対応は記録され、ビジネスオーナーに報告され、特定されたすべての問題が対処されるまでフォローアップされます。

   出典：SAMA Cyber Security Framework、3.2.4

   モバイルアプリにとっての意味

   モバイルバンキングアプリとそれが呼び出すAPIは、顧客向けかつインターネットに公開されたサービスです。少なくとも年1回のレビューとペネトレーションテストが必要であり、見つかったすべての問題が解消されたことの記録も必要です。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは、ログインの先までアプリとそのAPIを通常数時間でテストし、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。検出結果はプラットフォーム内またはJiraやServiceNowのチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   年次レビューそのもの、テスト実施者の選定、ビジネスオーナーへの報告。

2. 02

   SAMA Cyber Security Framework、3.3.7、IT Governance Framework、3.4.4および3.4.5

   本番稼働前にすべての変更のセキュリティテストを行う

   条文の内容

   変更管理にはセキュリティテストを含めなければならず、該当する場合はペネトレーションテストとコードレビューを対象とします。ソースコードを提供できない場合は、コードレビュー報告書、または独立した保証表明などの同等のものを対象とします。ITガバナンスフレームワークはさらに、すべての変更を独立したテスト環境でテストし、最低限のテストの種類にセキュリティテストを含めることを定めています。

   出典：SAMA Cyber Security Framework、3.3.7、IT Governance Framework、3.4.4および3.4.5

   モバイルアプリにとっての意味

   アプリの新しいリリースはそれぞれ変更にあたります。ソースを持たないサードパーティのコードも含め、ストアに公開される前にセキュリティテストを通過すべきです。

   Ostorlabによる支援

   Mobile SASTはソースコードなしでAPK、AAB、IPAを直接解析し、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みのセッションを維持して、通信、スタックトレース、スクリーンショットを取得します。どちらもビルドごとにCI/CDパイプラインから実行できます。

   お客様が担うこと

   変更諮問委員会（CAB）の承認、ユーザー受け入れテスト、同等の保証表明とみなすものの判断。

3. 03

   SAMA Cyber Security Framework、3.3.6

   アプリケーションセキュリティ標準を定め、テストする

   条文の内容

   アプリケーションのサイバーセキュリティ標準を定義、承認、実装し、その遵守を監視して、有効性を定期的に評価します。開発は承認されたセキュアなSDLCに従い、標準はセキュアコーディング、アイデンティティとアクセス管理、不正アクセスや漏えいからの顧客データの保護、脆弱性とパッチの管理を対象とします。

   出典：SAMA Cyber Security Framework、3.3.6

   モバイルアプリにとっての意味

   アプリのセキュアコーディングとデータ保護のルールは、ポリシー上だけでなく、リリースするビルドで守られていることの証拠が必要です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、アプリのパッケージ内のAPIキー、トークン、認証情報を見つけ、各リリースに含まれるSDKとネイティブライブラリをバージョンとともに一覧にします。

   お客様が担うこと

   標準の策定、SDLCの手法、職務の分離。

4. 04

   SAMA Cyber Security Framework、3.3.17、Circular No. 381000091275

   決められた頻度で脆弱性管理を行う

   条文の内容

   アプリケーションとインフラストラクチャの脆弱性について、脆弱性管理プロセスを定義し実装します。対象はすべての情報資産であり、リスクベースのスキャン頻度、脆弱性の分類、分類ごとに定めた緩和の期限、パッチ管理を含みます。SAMAはその後の通達で、2022年第3四半期末までに脆弱性管理の成熟度レベル4に到達するためのロードマップを銀行に求めました。

   出典：SAMA Cyber Security Framework、3.3.17、Circular No. 381000091275

   モバイルアプリにとっての意味

   アプリとそのライブラリの検出結果には、説明できる頻度で、分類、期限、解消の証明が必要です。

   Ostorlabによる支援

   CI/CDパイプラインからビルドごとに自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。検出結果はクリティカル、高、中、低で評価され、修正のリリース後に再テストされます。SCAは、マニフェストベースのスキャナーが見落としがちな静的にコンパイルされたライブラリを識別します。

   お客様が担うこと

   緩和の期限の設定と、その他の資産のスキャン。

5. 05

   SAMA Cyber Security Framework、3.3.13

   オンラインバンキングとモバイルバンキングのチャネルを強化する

   条文の内容

   電子バンキングサービスのセキュリティ標準は、オンラインバンキングとモバイルバンキングについて、公式のアプリストアとWebサイトの利用、悪意のあるアプリやWebサイトの検知と削除、サンドボックス化、キャッシュしない技術、中間者攻撃を防ぐ通信技術を対象としています。新しい電子バンキングサービスの開始前にはSAMAの承認が必要です。

   出典：SAMA Cyber Security Framework、3.3.13

   モバイルアプリにとっての意味

   攻撃者が管理するデバイス上であっても、アプリはキャッシュに機密データを残すべきではなく、その通信は傍受に耐えるべきです。

   Ostorlabによる支援

   Ostorlabは、アプリがストレージ、キャッシュ、ログ、スクリーンショットに何を書き込むかを確認し、通信とセッションの保護を弱める設定ミスを確認します。Mobile Shielding ScanはTLSピンニングの回避を試み、どの保護が機能したかを示します。

   お客様が担うこと

   ブランド保護、悪意のあるアプリやWebサイトの削除、新サービスに対するSAMAの承認。

6. 06

   SAMA Cyber Security Framework、3.3.13

   すべての電子バンキングサービスに多要素認証を適用する

   条文の内容

   顧客登録時と、すべての電子バンキングサービスで多要素認証を使用します。対象には、サインオン、受取人の追加や変更、公共料金や政府への支払いサービスの追加、事前に定めた上限を超える高リスク取引、パスワードのリセットが含まれます。パスワードまたはPINを3回連続で誤入力した場合は、顧客のアクセスを取り消します。

   出典：SAMA Cyber Security Framework、3.3.13

   モバイルアプリにとっての意味

   これらのフローはすべてサーバー側で第2要素を要求しなければならず、3回の試行失敗後のロックアウトは、アプリから何が送られてきても機能しなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、ステップアップ認証のフローを含むMFAの強制をテストします。

   お客様が担うこと

   携帯電話番号の変更を支店またはATMに限定するなどのチャネルのルールと、SMS通知。

7. 07

   SAMA Counter-Fraud Framework、4.4

   SMSだけに頼らず、リスクに応じて認証する

   条文の内容

   認証の基準は、オンラインサービスやモバイルアプリなどのデジタルチャネルを対象としています。多要素認証は、SMSで送信されるOTPのみで構成されるべきではありません。登録、新しいデバイスでのトークンの有効化、不明なデバイスからのログイン、受取人の追加などの高リスクの操作には多要素認証が必要であり、異常なセッションには第3の要素が必要です。

   出典：SAMA Counter-Fraud Framework、4.4

   モバイルアプリにとっての意味

   デバイスバインディング、アプリ内のプッシュ承認、異常なセッションでのステップアップ認証は、不正を行う者がAPI呼び出しのリプレイや改変によって回避しようとする管理策です。

   Ostorlabによる支援

   認証後のテストでは、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証の基準、異常なセッションを検知するリスクエンジン、低額取引の定義。

8. 08

   SAMA Counter-Fraud Framework、4.6.2

   root化されたデバイスを検知し、不正利用を抑える

   条文の内容

   不正防止の基準には、モバイルアプリが脱獄またはroot化されたデバイスでの使用を検知し、アプリをブロックするか、機密データや機能へのアクセスを制限する機能、デバイス登録、同時ログインやデバイス数の制限、そしてリスクベースのアプローチに基づき、支払いが指示される前のボット防止の仕組みが含まれます。

   出典：SAMA Counter-Fraud Framework、4.6.2

   モバイルアプリにとっての意味

   root・脱獄検知は検知するだけでなく対応しなければならず、アプリ単体では防げないスクリプトによる利用や同時利用は、バックエンドで阻止しなければなりません。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。APIのテストでは、列挙、リプレイ、自動化などの不正利用を対象とします。

   お客様が担うこと

   シールド製品の選定、取引上限、ブラックリスト、不正モニタリング。

9. 09

   SAMA Financial Entities Ethical Red-Teaming Framework、1.3および1.6

   少なくとも3年に1回レッドチーミングを行う

   条文の内容

   SAMAの規制を受ける各メンバー組織は、FEERフレームワークに基づき、稼働中の本番環境を対象とする脅威インテリジェンスベースのレッドチーミングテストを、最低でも3年に1回受けるべきです。SAMAがテストの対象組織を選定することもあります。レッドチーミングはペネトレーションテストではなく、組織全体に対する標的型攻撃を再現するものです。

   出典：SAMA Financial Entities Ethical Red-Teaming Framework、1.3および1.6

   モバイルアプリにとっての意味

   モバイルアプリとそのAPIは、レッドチームの侵入口になりやすい部分です。定期的なテストで見つけられたはずの弱点は、レッドチームの時間を消費します。

   Ostorlabによる支援

   Ostorlabはレッドチーミングテストを実施せず、その代わりにもなりません。既知のアプリとAPIの問題を修正した状態でテストに臨めるよう支援し、テスト後にはアプリとAPIの検出結果を再テストします。

   お客様が担うこと

   レッドチーミング演習、プロバイダー、SAMAとの対話。

SAMA Rulebookで公開されているSAMAの文書の要約です（2026年9月27日時点で確認）。一部のフレームワークは、記載のとおり特定のセクターに適用されます。本ページは法的助言ではありません。