Ostorlabロゴ
料金
パートナー
ログインデモを予約
デモを予約

FINMAのオペレーショナル・レジリエンス：リリースごとにモバイルバンキングアプリとそのAPIを診断しましょう。

FINMA回章2023/1は、銀行に対し、インターネットに接続されたすべてのシステムを対象とした脆弱性診断とペネトレーションテストの定期的な実施、重要データの保護、重大なサイバー攻撃の24時間・72時間以内の報告を求めています。FINMAのデジタル詐欺に関する監督通知はフィッシングやアカウント乗っ取りに対する技術的対策を追加し、改正データ保護法はデータセキュリティと侵害通知の義務を定めています。Ostorlabは、アプリとその背後にあるAPIを、ログインの先まで、リリースごとにテストします。

  • 顧客がダウンロードするビルドを対象に、モバイルアプリとアプリが呼び出すAPIを診断します
  • テスト用アカウントで、ログイン、ワンタイムコード、ステップアップ認証、セッション管理をテストします
  • 各リリースに含まれるSDKとネイティブライブラリを一覧化し、既知の脆弱性と対応付けます
  • 各検出結果を、再実行できるエクスプロイトまたはリクエストとレスポンスの証拠で証明します
自社のアプリをスキャンデモを予約する

App StoreまたはGoogle Playのアプリを無料でスキャンできます。ログインは不要です。

対象
FINMAが監督する銀行、銀行法第1b条の対象者、証券会社、金融グループ
主な日付
回章2023/1は2024年1月1日から適用、レジリエンス要件は2026年1月1日までに段階適用。デジタル詐欺に関する監督通知は2026年4月9日
焦点
インターネットに接続された資産の脆弱性診断とペネトレーションテスト、重要データ、サイバー演習、報告
主な参照文書
FINMA回章2023/1「Operational risks and resilience - banks」
主な日程

モバイルチャネルの背景にあるスイスの文書

回章はオペレーショナルリスク、ICTリスク、サイバーリスクに関する監督上の実務を定め、監督通知とデータ保護法がそれを補完します。以下の日付は、本ページで引用している文書のものです。

  1. 2020年5月7日

    サイバー攻撃の報告義務

    FINMA監督通知05/2020は、金融市場監督法（FINMASA）第29条第2項に基づき、重要機能に対する重大なサイバー攻撃をどのように報告するかを定めています。初回報告は24時間以内、完全な報告は72時間以内です。

  2. 2022年12月7日

    回章2023/1

    FINMAがオペレーショナルリスクとレジリエンスに関する全面改訂版の回章を公表します。旧回章08/21（オペレーショナルリスク）を置き換え、ICTリスク、サイバーリスク、重要データ、オペレーショナル・レジリエンスに関する明確な要件を追加します。

  3. 2023年9月1日

    改正データ保護法の施行

    改正連邦データ保護法とその施行令が適用されます。データ保護バイデザインおよびバイデフォルト、リスクに応じたデータセキュリティ、影響評価、侵害の通知が明確な義務となります。

  4. 2024年1月1日

    回章の適用開始

    回章は銀行、証券会社、金融グループに適用されます。オペレーショナル・レジリエンスの要件には1年と2年の経過措置が設けられています。

  5. 2024年6月7日

    サイバー監督の調査結果

    監督通知03/2024は、FINMAのオンサイト・サイバーレビューの調査結果をまとめ、24時間・72時間報告を明確化し、シナリオベースのサイバー演習への期待を示しています。

  6. 2025年6月11日

    取引確認のためのFIDO2

    スイス銀行協会（SBA）とSwiss FS-CSCは、ログインだけでなく取引データの安全な表示と確認にも認証器を利用できるよう、FIDO2の拡張を支持します。

  7. 2026年4月9日

    デジタル詐欺に関する監督通知

    19行の銀行への調査に基づく監督通知02/2026は、デジタル詐欺、オンライン口座開設の悪用、アカウント乗っ取りに対するガバナンス、検知、技術的対策への期待を示しています。

FINMAが求めていること

スイスの規則をモバイルアプリに当てはめる

各規則について、条文の内容、モバイルバンキングアプリにとっての意味、Ostorlabによる支援、お客様のチームが担うことをまとめます。回章2023/1からの引用は、FINMAが公表した英語版に基づいています。

  1. FINMA回章2023/1、第IV.C章（サイバーリスク管理）、マージン番号61～70

    インターネットに接続されたシステムの脆弱性診断とペネトレーションテストを実施する

    条文の内容

    経営執行機関は、脆弱性診断とペネトレーションテストを定期的に実施するよう手配します。これらは、十分なリソースを持つ有資格の担当者が実施しなければなりません。インターネット経由でアクセス可能なすべての棚卸し済みICT資産に加え、インターネット経由ではアクセスできないものの、重要プロセスに必要であるか重要データを含む資産も対象に含めます。サイバーリスク管理は、機関固有の脅威ランドスケープ、保護措置、ログ取得と検知、迅速な封じ込めと是正、復旧も対象としなければなりません。

    出典：FINMA回章2023/1、第IV.C章（サイバーリスク管理）、マージン番号61～70

    モバイルアプリにとっての意味

    モバイルバンキングアプリ、そのバックエンドAPI、ストアで公開されているビルドは、インターネットに接続されたICT資産です。サーバーやネットワーク機器と並んで、定期診断の対象範囲に含まれます。

    Ostorlabによる支援

    Ostorlabは、顧客がダウンロードするビルドを対象に、ログインの先でアプリとそのAPIのペネトレーションテストを実施し、CI/CDのビルドごとにMobile SASTとDASTを実行します。AIエージェントによる各検出結果には、再実行できる動作するエクスプロイトが付きます。

    お客様が担うこと

    範囲と頻度の設定、サーバー・VPN機器などのインフラのテスト、有資格リソースの確保、経営執行機関への結果報告。

  2. FINMA回章2023/1、第IV.C(d)章、FINMA監督通知03/2024、2.1および2.4

    検出結果を迅速に是正し、ソフトウェアのライフサイクルを管理する

    条文の内容

    サイバーリスク管理には、特定された脆弱性やサイバー攻撃に対する迅速な封じ込めと是正のための適切なプロセスを含める必要があります。FINMAのサイバー監督は、フォローアップが金融機関とそのサービス提供者の弱点であると指摘しています。深刻な脆弱性は機関内部では迅速に対処されても、サービス提供者ではそうならないことが多く、対応計画が不完全であったり、その有効性がレビューされていなかった事例もありました。検出結果には、担当者、期限、クローズの証拠が必要です。

    出典：FINMA回章2023/1、第IV.C(d)章、FINMA監督通知03/2024、2.1および2.4

    モバイルアプリにとっての意味

    検出結果は、新しいビルドで修正されて初めてクローズされます。アプリ内のライブラリとSDKには、担当者、修正済みバージョン、アップグレードの道筋が必要です。

    Ostorlabによる支援

    検出結果はクリティカル、高、中、低で評価され、プラットフォーム内、またはJiraやServiceNowでチケットとして整理され、修正のリリース後に再テストされます。SCAはリリースごとに脆弱なコンポーネントの対応付けを続けます。

    お客様が担うこと

    サーバーとインフラのパッチ適用、サービス提供者への働きかけ、リスク受容の判断。

  3. FINMA回章2023/1、第IV.B章（ICTリスク管理）、マージン番号47～60、特にマージン番号53

    ICT資産と各リリースのソフトウェアの台帳を管理する

    条文の内容

    金融機関は、ハードウェアとソフトウェアの資産、および重要データの保管場所を含むICT資産の台帳を1つ以上管理します。機関内部の依存関係と、重要な外部サービス提供者へのインターフェースも含めます。台帳はリアルタイムで利用でき、完全性と正確性について定期的にレビューおよび更新します。変更管理は、ICTの開発または調達のすべての段階における手続き、プロセス、管理策を定めなければなりません。

    出典：FINMA回章2023/1、第IV.B章（ICTリスク管理）、マージン番号47～60、特にマージン番号53

    モバイルアプリにとっての意味

    アプリに組み込まれたサードパーティ製SDKは、それぞれのバックエンドと通信するソフトウェア資産です。そのバージョン、権限、ネットワーク上でやり取りする内容を把握しておく必要があります。

    Ostorlabによる支援

    Ostorlabは、各リリースに含まれるSDKとネイティブライブラリを、バージョンとアプリバンドル内の位置とともに一覧化し、アプリとそのSDKが通信するバックエンドを示します。

    お客様が担うこと

    資産台帳、データベースとストレージの台帳、サードパーティのデューデリジェンス、契約。

  4. FINMA回章2023/1、第IV.D章（重要データのリスク管理）、マージン番号71～82

    端末上、通信中、テスト環境の重要データを保護する

    条文の内容

    金融機関は、重要データを体系的かつ網羅的に特定し、重要度に基づいて分類し、そのライフサイクル全体にわたって管理します。重要データは、運用中およびICTの開発・変更・移行中（テスト環境を含む）に、権限のない者によるアクセスや利用から保護しなければなりません。アクセスは業務上必要な範囲に限定し、権限システムとその登録内容を定期的にレビューします。重要データがスイス国外に保存される場合、または国外からアクセスできる場合には、増大するリスクを適切に軽減・監視し、データを特に保護しなければなりません。

    出典：FINMA回章2023/1、第IV.D章（重要データのリスク管理）、マージン番号71～82

    モバイルアプリにとっての意味

    アプリがストレージ、キャッシュ、ログに書き込むトークン、認証情報、個人データは重要データです。本番に近いデータを使うテスト環境も同じ保護義務を負います。

    Ostorlabによる支援

    Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショット、バックアップにセッショントークン、認証情報、個人データがないかを調べ、通信の保護と、それを弱める設定ミスを確認します。

    お客様が担うこと

    データの分類、鍵管理、アクセス権のレビュー、テストデータの管理、国外からのアクセスの監視。

  5. FINMA回章2023/1、第IV.B(b)章（変更管理）、マージン番号50～52

    あらゆる変更にセキュリティを組み込み、リリースごとにテストする

    条文の内容

    変更管理は、ICTの開発または調達のすべての段階における手続き、プロセス、管理策を定め、変更がICTリスクに与える影響を考慮し、機密性、完全性、可用性に焦点を当てなければなりません。開発環境とテスト環境は本番環境から分離し、責任とアクセスルールを明確にします。セキュリティ要件を含む機能要件と非機能要件は、重要度に応じて明確に定義、承認、テスト、検証しなければなりません。

    出典：FINMA回章2023/1、第IV.B(b)章（変更管理）、マージン番号50～52

    モバイルアプリにとっての意味

    アプリの各リリースは、インターネットに公開されたチャネルへの変更です。自動セキュリティテストは、リリース前はパイプラインに、リリース後はストア版のビルドに組み込みます。

    Ostorlabによる支援

    Ostorlabは、CI/CDパイプラインからビルドごとにMobile SASTとDASTを実行し、手動で起動することなくApp StoreとGoogle Playのリリースを監視します。Mobile SASTはAPK、AAB、IPAを対象に動作し、ソースコードは不要です。

    お客様が担うこと

    セキュリティ要件、セキュアコーディング標準、環境の分離、手動レビュー、リリースの承認。

  6. FINMA監督通知02/2026、3.1.2、3.1.3および3.2

    デジタル詐欺とアカウント乗っ取りに対する技術的対策を導入する

    条文の内容

    FINMA監督通知02/2026は、2025年末に実施した19行の銀行への調査をまとめ、口座への不正アクセスのリスクを含むデジタル詐欺リスクを、オペレーショナルリスク管理の一環として特定、評価、管理、監視しなければならないとしています。調査では、3行が顧客の認証にジオブロッキング、IPリスク評価、デバイスフィンガープリントなどの技術的対策を一切使用しておらず、7行が詐欺の兆候をまったく分析していないか、手作業でしか分析していないことが判明しました。FINMAは、ディープフェイクや改変された動画を検知する技術的手段を推奨し、犯罪者が口座の支配権を得る方法としてフィッシングとアカウント乗っ取りを挙げています。

    出典：FINMA監督通知02/2026、3.1.2、3.1.3および3.2

    モバイルアプリにとっての意味

    ログイン、口座開設、口座情報の変更は、不正対策とアプリが出会う場面です。対策はアプリが表示するだけでなく、サーバー側で強制しなければなりません。

    Ostorlabによる支援

    認証後のテストでは、ログインとログアウト、ワンタイムコード、ステップアップ認証、ロックアウト、セッションの無効化を、その背後にあるAPI呼び出しとあわせて確認します。手順を飛ばしたり再利用したりする試みも含みます。

    お客様が担うこと

    不正監視のルール、KYCと取引モニタリング、ディープフェイク検知、職員研修、不正対応計画。

  7. FINMA監督通知05/2020、FINMA監督通知03/2024、第3章、FINMA回章2023/1、第IV.C章

    重大なサイバー攻撃を24時間以内および72時間以内に報告する

    条文の内容

    金融機関は、監督上重要な成功または部分的成功のサイバー攻撃を、遅滞なくFINMAに報告しなければなりません。監督通知05/2020（監督通知03/2024による明確化を含む）では、発見から24時間以内に担当アカウントマネージャーへの初回評価と予備報告を行い、72時間以内にEHPサーベイ・アプリケーション・プラットフォームを通じて完全な報告を提出し、事案の処理完了後に結論となる根本原因分析を提出することが求められています。期限は銀行営業日で数えますが、重大度「severe」の攻撃は、銀行営業日以外でも24時間以内に報告します。情報セキュリティ法に基づく報告も行う機関は、24時間以内の報告をNCSCの報告フォームで送信し、FINMAへ転送できます。

    出典：FINMA監督通知05/2020、FINMA監督通知03/2024、第3章、FINMA回章2023/1、第IV.C章

    モバイルアプリにとっての意味

    期限の遵守は、迅速な検知と何が起きたかの把握にかかっています。再現手順、ログ、リクエストとレスポンスの証拠は、重大度と範囲の判断に役立ちます。

    Ostorlabによる支援

    OstorlabはFINMAへの報告を行いません。検出結果には再現手順、リクエストとレスポンスの証拠、再テスト結果が付き、根本原因分析や報告を支えます。

    お客様が担うこと

    重大度の評価、24時間・72時間の報告、危機広報、根本原因分析。

  8. FINMA回章2023/1、マージン番号70、FINMA監督通知03/2024、第4章

    シナリオベースのサイバー演習を実施し、必要に応じてレッドチーミングを行う

    条文の内容

    金融機関固有の脅威ランドスケープに基づき、リスクベースで脅威インテリジェンスに関連するシナリオ型のサイバー演習を実施し、結果を文書化して報告しなければなりません。監督通知03/2024はさらに、システム上重要な機関にとってFINMAはレッドチーミングをサイバーリスク演習の不可欠な要素とみなし、それ以外の機関は少なくとも年1回のテーブルトップ演習を実施すべきとしています。監督カテゴリー4および5の機関は、スイス金融部門サイバーセキュリティセンター（Swiss FS-CSC）が実施する演習でこの義務を満たすことができます。

    出典：FINMA回章2023/1、マージン番号70、FINMA監督通知03/2024、第4章

    モバイルアプリにとっての意味

    演習はアプリだけでなく機関全体をテストします。既知のアプリとAPIの問題がすでに修正されているときに最も効果を発揮し、その結果は是正に反映されるべきです。

    Ostorlabによる支援

    OstorlabはレッドチーミングやTLPTを実施せず、その代わりにもなりません。既知のアプリとAPIの問題を修正したうえで演習に臨めるよう支援し、その後これらの項目を再テストします。

    お客様が担うこと

    演習の範囲設定と実施、ベンダーの選定、参加、結果の報告、教訓の活用。

  9. 連邦データ保護法（FADP）第7条、第8条、第22条、第24条、データ保護施行令（DPO）第1条～第4条

    データ保護法の義務を満たす：バイデザイン、データセキュリティ、侵害の通知

    条文の内容

    2023年9月1日に施行された改正連邦データ保護法は、管理者に対し、計画段階から、技術水準、処理の性質と範囲、リスクに応じた技術的・組織的措置を用いて、データ保護の原則が守られるように処理を設計することを求めています。高リスクをもたらす可能性のある処理の前には、データ保護影響評価が必要です。管理者は、高リスクにつながる可能性のあるデータセキュリティ侵害を、できるだけ速やかに連邦データ保護・情報監督官に通知しなければならず、処理受託者はデータセキュリティを保証し、侵害を管理者に通知しなければなりません。データ保護施行令は、データセキュリティの最低要件を定めています。

    出典：連邦データ保護法（FADP）第7条、第8条、第22条、第24条、データ保護施行令（DPO）第1条～第4条

    モバイルアプリにとっての意味

    個人データが収集、保存、表示、記録されるのはアプリです。デフォルト設定、権限、保持、端末から出ていく情報は、セキュリティ方針だけでなくFADPの義務の一部です。

    Ostorlabによる支援

    Ostorlabは、アプリが端末、キャッシュ、ログ、スクリーンショットに残す個人データを示し、APIの過剰な共有やオブジェクトレベルの認可不備をテストして、影響評価の証拠を提供します。

    お客様が担うこと

    影響評価、処理活動の記録、受託者との契約、FDPICへの侵害通知、顧客への説明。

FINMAおよび連邦の公開文書の要約です（2026年9月27日時点で確認）。回章2023/1からの引用はFINMAの英語版に基づいています。ドイツ語、フランス語、イタリア語の正文が原本です。FedlexのFADPおよびDPOの翻訳には法的効力はありません。本ページは法的助言ではありません。

対応表

スイスの規則を管理策ごとに整理

スイスの文書が示す管理策、OstorlabがアプリとそのAPIでそれらをテストする方法、そして保管できる証拠です。

管理策Ostorlabによる支援保管できる証拠
脆弱性診断とペネトレーションテスト回章23/1 IV.C（マージン番号61-70）リリースするビルドを対象に、ログインの先まで、AIエージェントがアプリとそのAPIのペネトレーションテストを行います。 詳細 AIエージェントによる各検出結果の再実行できる動作するエクスプロイトと、カバレッジヒートマップ
モバイルチャネルの背後にあるAPIとバックエンド回章23/1 IV.CTLSピンニングがあっても通信を傍受し、認可、トークンの悪用、列挙やリプレイなどの不正利用をテストします。 詳細 APIの各検出結果に対するリクエストとレスポンスの証拠
変更管理とリリース前後のテスト回章23/1 IV.BビルドごとのCI/CDでのMobile SASTとDAST、およびストアのリリースの監視。 詳細 ビルドごと、ストアのリリースごとのスキャン結果
脆弱性への対応と是正回章23/1 IV.C(d)検出結果をプラットフォーム内、またはJiraやServiceNowのチケットにまとめ、修正のリリース後に再テストします。 詳細 検出結果ごとのチケット履歴と再テスト結果
ソフトウェア資産、バージョン、外部インターフェース回章23/1 IV.B（マージン番号53）各リリースに含まれるSDKとネイティブライブラリをバージョンとともに一覧化し、アプリとそのSDKが通信するバックエンドを示します。 詳細 リリースごとのコンポーネントの識別情報、バージョン、アプリバンドル内の位置
アプリ内の重要データと認証情報へのアクセス回章23/1 IV.D（マージン番号71-82）アプリのパッケージ内のAPIキー、トークン、認証情報を見つけ、それらが有効かどうかを検証します。 詳細 検証済みのシークレットと、それらが露出させる権限やサービス
認証、ワンタイムコード、ステップアップ認証のフロー監督通知02/2026 3.1.3ワンタイムコードでログインし、MFAの強制、ステップアップ認証、ロックアウト、その背後にあるAPI呼び出しをテストします。 詳細 ログインとステップアップ認証のフローに関する検出結果と再現手順
端末とアプリの保護回章23/1 IV.C(b)root・脱獄検知、改ざん防止、ピンニングを実行時にテストします。 詳細 どの保護が機能し、どれが回避されたか、回避の証拠とともに
端末上および通信中のデータ保護回章23/1 IV.D、FADP第8条ストレージ、キャッシュ、ログ、スクリーンショットにトークンや個人データがないかを調べ、通信の保護を確認します。 詳細 何が、どこに、いつ書き込まれたかを示すファイルシステムの証拠
演習とインシデント報告への準備回章23/1 マージン番号70、監督通知05/2020演習や是正計画に含まれるアプリとAPIの項目を再テストし、根本原因分析のための再現証拠を提供します。 アプリまたはAPIの各項目の再テスト結果と証拠

Ostorlabは、アプリとそのAPIにおける管理策をテストします。SOCによる監視、インシデント対応、FINMAおよびFDPICへの報告、サイバー演習、レッドチーミングとTLPT、バックアップと復旧、ガバナンス、物理的セキュリティは、お客様のチームが担います。

行動計画

モバイルアプリでテストすべきFINMAの管理策

FINMA回章2023/1、サイバー関連の監督通知、改正データ保護法に基づく、セキュリティチームとリスク管理チーム向けの実践的なリストです。

  1. アプリとそのAPIの範囲を定める

    モバイルアプリとアプリが呼び出すAPIを、インターネットに接続されたICT資産として、脆弱性診断とペネトレーションテストの手続きの対象に含めます。

  2. リリースごとにテストする

    ビルドごとにCI/CDでMobile SASTとDASTを実行し、顧客がダウンロードするストア版をスキャンします。

  3. ソフトウェア台帳を維持する

    各リリースに含まれるSDKとネイティブライブラリを、バージョンと呼び出すバックエンドとともに一覧化し、最新の状態に保ちます。

  4. 修正と再テスト

    検出結果を、担当者と深刻度に応じた期限を付けたチケットとして追跡し、修正のリリース後に再テストします。

  5. アプリ内のシークレット

    アプリのパッケージにAPIキー、トークン、認証情報がないかを確認し、有効なものはローテーションします。

  6. ログインとセッション

    テスト用アカウントで、ログイン、ワンタイムコード、ステップアップ認証、ロックアウト、セッションの無効化を、手順を飛ばす試みも含めてテストします。

  7. 端末上のデータ

    アプリがストレージ、キャッシュ、ログ、スクリーンショットに書き込む個人データとトークン、およびAPIが返す内容を確認します。

  8. 報告と演習のための証拠

    24時間・72時間報告、根本原因分析、サイバー演習のために、再現証拠と再テスト結果を保管します。

提案としてのリストであり、FINMAのテンプレートではありません。これは法的助言ではありません。

プラットフォーム

このページを支える機能

詳しくは各機能のページをご覧ください。

銀行やフィンテック企業に信頼されています

  • Nubank
  • Bread Financial
  • PNC
Gartner Peer Insightsで4.8/5SOC 2 Type II監査済み

出典

本ページの基となる公式文書です（2026年9月27日時点で確認）。

FAQ

よくある質問

対象範囲、セットアップ、結果がチームに届く仕組みについての率直な回答です。

お探しの回答が見つかりませんか？デモを予約またはお問い合わせください。

FINMAが示すとおりにモバイルバンキングアプリを診断しましょう

まずはストアのアプリを無料でスキャンするか、デモを予約して、当社チームとともにアプリとAPIのログイン後のテストを実施しましょう。

自社のアプリをスキャンデモを予約する