FSCAとPAのジョイントスタンダード：リリースの前後にモバイルバンキングアプリを診断しましょう。

1. 01

   Joint Standard 1 of 2023、7.3(e)および9.3(a)、Joint Standard 2 of 2024、7.1.1(d)、7.1.2および7.7.5(c)

   運用しているものと第三者を台帳で把握する

   条文の内容

   Joint Standard 1 of 2023は、ITリスク管理の枠組みにおいて、IT資産を特定・優先順位付けし、不正なアクセス、誤用、改ざんから保護すること、およびIT資産の最新の台帳を維持することを求めています。Joint Standard 2 of 2024は、すべての情報資産について、所在と所有者を含む台帳を少なくとも2年ごとに見直すこと、およびサードパーティ製・オープンソースのソフトウェアコードの利用と更新に関する方針を定め、統合前にレビューとテストを行うことを求めています。

   出典：Joint Standard 1 of 2023、7.3(e)および9.3(a)、Joint Standard 2 of 2024、7.1.1(d)、7.1.2および7.7.5(c)

   モバイルアプリにとっての意味

   モバイルバンキングアプリは、サードパーティ製SDKとネイティブライブラリを束ねた情報資産です。それぞれに台帳上の位置づけ、バージョン、担当者が必要です。

   Ostorlabによる支援

   Ostorlabは、各リリースに含まれるSDKとネイティブライブラリを、バージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKがネットワーク経由でどのバックエンドとやり取りするかを示します。

   お客様が担うこと

   資産台帳そのもの、サードパーティのデューデリジェンス、契約。

2. 02

   Joint Standard 2 of 2024、7.7.2および7.7.3

   アプリとAPIを定期的に診断・ペネトレーションテストする

   条文の内容

   金融機関は、ITシステムと情報資産の脆弱性診断を、その重要度と直面するセキュリティリスクに見合った頻度で定期的に実施しなければなりません。重要度の高いITシステムと情報資産に対しては、サイバー防御を詳細に評価するためペネトレーションテストを実施し、方式はブラックボックス、グレーボックス、ホワイトボックス、またはその組み合わせを所管当局が指定することがあります。インターネットから直接アクセス可能なITシステムと情報資産については、重大な変更や更新のたびに、変更がない場合は少なくとも年1回、ペネトレーションテストを実施する必要があります。

   出典：Joint Standard 2 of 2024、7.7.2および7.7.3

   モバイルアプリにとっての意味

   モバイルバンキングアプリと、アプリが呼び出すAPIは、インターネットから直接アクセスできます。主要なリリースごとに、そして少なくとも年1回、ログイン後を含むテストを計画しましょう。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストが、出荷するビルドを対象に、ログインの先までアプリとAPIをテストし、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。検出結果は評価され、チケットとして追跡され、修正後に再テストされます。

   お客様が担うこと

   年1回のペネトレーションテストの実施者の選定、ブラックボックスまたはグレーボックスの判断、本番環境でのテスト、経営陣への報告。

3. 03

   Joint Standard 2 of 2024、7.2.4および7.7.5

   セキュリティを組み込み、開発中からアプリをテストする

   条文の内容

   標準は、システムの脆弱性を最小化し攻撃面を減らすため、ソフトウェア開発のあらゆる段階にセキュリティを組み込むセキュリティ・バイ・デザインのアプローチを求めています。アクセス制御、認証、取引承認、データ完全性、ログ、監査証跡、セキュリティイベントの追跡、例外処理に関するセキュリティ要件は、開発または調達の初期段階で明確に定める必要があり、重要アプリケーションの変更はレビューとテストを行わなければなりません。セキュアコーディング、ソースコードレビュー、アプリケーションセキュリティテストの標準を採用し、Webアプリケーションおよび重要アプリケーションのセキュリティ機能を開発・実装中にテストする必要があります。

   出典：Joint Standard 2 of 2024、7.2.4および7.7.5

   モバイルアプリにとっての意味

   アプリの各リリースはインターネットに面したチャネルへの変更であり、組み込むSDKやライブラリも含め、ストアに届く前に自動セキュリティテストを通過すべきです。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAをソースコードなしで直接解析し、組み込まれたSDK全体にテイント解析を行います。Mobile DASTはアプリを実行してテストし、どちらもビルドごとにCI/CDから実行されます。

   お客様が担うこと

   セキュアコーディング標準、開発者トレーニング、手動コードレビュー、リリース承認。

4. 04

   Joint Standard 2 of 2024、7.7.6および8.5

   重要度、優先順位、パッチ期限を定めて修正する

   条文の内容

   修正プロセスには、問題の深刻度評価と分類、リスクに基づく優先順位付け、深刻度ごとの修正期限、必要に応じたリスク評価と緩和策を含める必要があります。サイバーセキュリティテストで見つかったすべての問題、およびソースコードレビューとアプリケーションセキュリティテストで発見されたソフトウェア欠陥を追跡し、既知の重大な問題とセキュリティ上の欠陥は本番展開前に修正しなければなりません。セキュリティパッチは、リスクに見合った期間内に適用し、パッチが存在しない場合は代替の緩和策を講じ、本番適用前にテストし、適用できない場合はタイムライン付きの修正計画を定める必要があります。

   出典：Joint Standard 2 of 2024、7.7.6および8.5

   モバイルアプリにとっての意味

   アプリやAPIで見つかった各結果には、深刻度、修正期限、記録が必要です。サードパーティ製ライブラリは最も忘れられやすい部分です。

   Ostorlabによる支援

   Ostorlabは各検出結果をクリティカル、高、中、低で評価し、プラットフォーム内、またはJiraやServiceNowでチケットとして追跡し、修正後に再テストします。コンポーネントの検出結果には、アップグレードまたは置き換えの推奨事項が付きます。

   お客様が担うこと

   パッチ適用の時間枠、サーバーとインフラのパッチ適用、リスク受容、本番展開の判断。

5. 05

   Joint Standard 2 of 2024、7.2.2、8.2および8.3

   インターネットに接するアカウントのID、アクセス、MFA

   条文の内容

   情報資産へのアクセスは、許可されたユーザー、プロセス、デバイスに限定し、不正アクセスの評価リスクに応じて管理し、ID管理とアクセス制御の仕組み、セキュリティとアクセス制御の方針、安全なデバイスと接続からのみのリモートアクセス、リモートアクセスに対する強固な認証を備える必要があります。すべての管理者アカウントは不正なアクセスと使用から保護し、特権アクセスは必要時付与とし、活動をログに記録する必要があります。多要素認証は、重要なシステム機能にアクセスするユーザー、すべての管理者・特権アカウント、そしてインターネット経由で機密情報を含むアプリケーションにアクセスするすべてのユーザーアカウントに必要です。

   出典：Joint Standard 2 of 2024、7.2.2、8.2および8.3

   モバイルアプリにとっての意味

   モバイルアプリは、まさにMFA規則が想定する種類のアプリケーションです。アプリが何を送ろうと、第2要素はサーバーが強制しなければなりません。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を、ステップアップ認証のフローも含めて、その背後にあるAPI呼び出しとあわせて確認します。

   お客様が担うこと

   認証方式の選定、特権アクセス管理、アクセス権の見直し、デバイス方針。

6. 06

   Joint Standard 2 of 2024、7.2.3、Joint Standard 1 of 2023、10

   デバイス上および通信中のデータを保護する

   条文の内容

   Joint Standard 2 of 2024は、移動中、保存中、使用中の機密情報に対するデータ漏洩防止方針、システムとエンドポイントデバイスにおける不正なアクセス、改ざん、コピー、送信、データ窃取を防止・検知する措置、システムとエンドポイントデバイスに保存された機密情報のリスクに見合った暗号化またはアクセス制御、許可されたシステムとデバイスのみの使用を求めています。Joint Standard 1 of 2023は、顧客の口座データと取引データの保護、異常を監視する論理アクセス制御、エンドポイントデバイスからのデータ窃取、損失、漏洩への対策を求めています。

   出典：Joint Standard 2 of 2024、7.2.3、Joint Standard 1 of 2023、10

   モバイルアプリにとっての意味

   パスワード、トークン、顧客データは、スマートフォン上に平文で残ったり、保護されないままバックエンドに送られたりしてはなりません。root化・脱獄されたデバイスは、これらの管理策をすべて弱めます。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信の保護を確認し、root化・脱獄環境でアプリがどう動作するかをテストします。

   お客様が担うこと

   データの分類、DLPツール、モバイルデバイス管理、鍵管理。

7. 07

   Joint Standard 2 of 2024、7.2.6

   暗号技術を管理し、鍵を保護する

   条文の内容

   暗号技術を使用する場合、方針、標準、手順は、鍵の生成、配布、インストール、更新、失効、復旧、有効期限を網羅する必要があります。暗号アルゴリズムは確立された国際標準に基づくものとし、鍵は安全に生成し、強化された耐タンパーシステムで不正な開示から保護し、期限切れまたは失効した鍵は復元できない方法で破棄し、すべてのアルゴリズムは特定されたセキュリティ目標に対して厳格なテストまたは検証を行う必要があります。

   出典：Joint Standard 2 of 2024、7.2.6

   モバイルアプリにとっての意味

   証明書ピンニング、コード署名、キーストアの使用は、いずれもアプリ内の暗号技術です。アプリパッケージやキーストアの中身は、改変されたデバイスで攻撃され得ます。

   Ostorlabによる支援

   Mobile Shielding Scanは、root・脱獄検知、改ざん防止、TLSピンニングの実行時バイパスを試み、どの保護が機能し、どれが回避されたかを示します。Ostorlabはアプリパッケージ内の鍵やシークレットも検出します。

   お客様が担うこと

   鍵管理システム、HSM、証明書ライフサイクル、アルゴリズムの選択。

8. 08

   Protection of Personal Information Act 4 of 2013、第19条、第21条、第22条、第72条

   POPIAの保護措置と侵害通知義務を満たす

   条文の内容

   POPIAは、責任者に対し、適切かつ合理的な技術的・組織的措置により個人情報の完全性と機密性を保護することを求めています。合理的に予見できる内部・外部のリスクを特定し、それに対する保護措置を確立・維持し、措置が効果的に実施されているかを定期的に検証し、新たなリスクや不備に応じて更新する必要があります。書面による契約でオペレーターに同じセキュリティ措置の維持を義務付け、個人情報が許可されていない者に閲覧されたと信じる合理的な理由がある場合は、オペレーターが直ちに責任者へ通知しなければなりません。個人情報が許可されていない者に閲覧または取得されたと信じる合理的な理由がある場合、責任者はInformation Regulatorと、例外を除き本人に、合理的に可能な限り速やかに通知する必要があります。個人情報の国外移転には、十分な保護水準または第72条のその他の根拠が必要です。

   出典：Protection of Personal Information Act 4 of 2013、第19条、第21条、第22条、第72条

   モバイルアプリにとっての意味

   アプリのテストは、デバイス上とAPIにおける第19条の保護措置を検証する手段の1つです。Information Regulatorは、報告にリスクのしきい値はなく、すべてのセキュリティ侵害を報告する必要があり、確認を待つ必要はないとしています。

   Ostorlabによる支援

   OstorlabはアプリとそのAPIの技術的な管理策をテストし、各結果の証拠を提供します。何がセキュリティ侵害に当たるかの判断と通知は、お客様の情報責任者が担います。

   お客様が担うこと

   情報責任者の職務、侵害の評価、Regulatorと本人への通知、国境を越える移転の判断。

9. 09

   Joint Standard 1 of 2023、15.1、Joint Standard 2 of 2024、9.1、Joint Notice 2 of 2026

   重大インシデントを定められた様式で通知する

   条文の内容

   両ジョイントスタンダードは、金融機関に対し、システム障害、サイバーインシデント、情報セキュリティ侵害を重大インシデントとして分類した後、当局が定める様式と方法で所管当局に通知することを求めています。Joint Communication 5 of 2026とともに公表されたJoint Notice 2 of 2026は、Reporting of Material IT and Cyber Incident Templateを定め、2026年9月1日に発効します。銀行、相互銀行、保険会社とその支配会社はUmojaポータルで、その他の対象金融機関はFSCAのJoint Standards Submission Portalで提出します。

   出典：Joint Standard 1 of 2023、15.1、Joint Standard 2 of 2024、9.1、Joint Notice 2 of 2026

   モバイルアプリにとっての意味

   インシデントの分類と通知の手順には、テンプレート、ポータル、テンプレート表紙に記載された期間が必要です。スキャンの証拠は影響範囲の特定に役立ちます。

   Ostorlabによる支援

   Ostorlabはインシデントの分類や通知を行いません。インシデントの背景にある脆弱性や管理策の不備の証拠を提供し、修正後に再テストします。

   お客様が担うこと

   分類、通知、規制当局と顧客への連絡、フォレンジック。

10. 10

    Joint Communication 2 of 2025、第4節、PA Directive 3 of 2018、Joint Standard 1 of 2023、7.3(i)

    クラウド利用とデータのオフショアリングを統制する

    条文の内容

    2025年7月25日に発出されたJoint Communication 2 of 2025は、銀行向けのPAのDirective 3 of 2018とGuidance Note 5 of 2018を再確認し、クラウドコンピューティングとデータのオフショアリングに関する推奨プラクティスを示しています。リスク選好に沿ったリスクベースのアプローチ、定義された方針と取締役会承認のデータ戦略・データガバナンスの枠組みを含むガバナンス、契約上・法令上の要件への配慮、戦略投資前のデューデリジェンスです。オフショアリングとは、南アフリカの国境の外でデータを保存・処理することです。当局はクラウドとデータのオフショアリングに関するジョイントスタンダードを準備中としています。Joint Standard 1 of 2023も、サービス提供者と契約者の慎重な選定と、機密情報保護の契約上の義務を求めています。

    出典：Joint Communication 2 of 2025、第4節、PA Directive 3 of 2018、Joint Standard 1 of 2023、7.3(i)

    モバイルアプリにとっての意味

    アプリのバックエンドやSDKが個人情報を南アフリカ国外のサービスに送信する場合、POPIA第72条とクラウドに関する期待の両方が適用されます。データのある場所でアプリを診断することもできます。

    Ostorlabによる支援

    オンプレミススキャンは、お客様が管理するインフラ上で、お客様のネットワーク内で実行されます。ファイアウォールやVPNの内側にあるステージングアプリ、API、リポジトリをスキャンします。

    お客様が担うこと

    クラウド戦略、デューデリジェンス、契約、データローカライゼーションの判断、今後のジョイントスタンダード。

公開されているジョイントスタンダード、Prudential Authorityのコミュニケーション、POPIAの条文の要約です（2026年9月27日時点で確認）。ジョイントスタンダードはモバイルアプリを名指ししておらず、ITシステム、情報資産、アプリケーション全般に適用されます。本ページはそれをモバイルチャネルに当てはめています。本ページは法的助言ではありません。