顧客が使うモバイルバンキングアプリのためのNBUの規則

1. 01

   NBU決議第95号、第124項および第125項

   開発時や購入時にセキュリティ要件を定める

   条文の内容

   銀行は、情報システムの開発、構成要素を含むアップグレード、または取得の際に、情報セキュリティ要件を定め、文書化しなければなりません。開発とテストには専用のネットワークセグメント上の独立したテスト基盤を使用しなければならず、テストデータとして使用できるのは匿名化されたデータのみです。

   出典：NBU決議第95号、第124項および第125項

   モバイルアプリにとっての意味

   アプリの各リリースと、追加される各SDKやベンダーのコンポーネントには、実際の顧客データを含まない環境で、ストアに公開される前にセキュリティ要件とテストが必要です。

   Ostorlabによる支援

   Mobile SASTはAPK、AAB、IPAを直接解析し、ソースコードは不要で、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みセッションを維持して、通信、スタックトレース、スクリーンショットを取得します。オンプレミススキャンを使えば、ファイアウォールの内側にあるステージング環境のアプリとAPIをテストできます。

   お客様が担うこと

   要件そのもの、テスト環境、匿名化されたテスト用アカウント。

2. 02

   NBU決議第95号、第127項、決議第178号、第18項

   ソフトウェアの脆弱性を管理する

   条文の内容

   運用中、銀行は情報システムのハードウェアとソフトウェアの脆弱性をどのように管理するかを文書化しなければなりません。サイバー防護の対策には、脆弱性の分析と、脆弱性を解消するソフトウェア更新の入手、テスト、適用を含めなければなりません。

   出典：NBU決議第95号、第127項、決議第178号、第18項

   モバイルアプリにとっての意味

   アプリとその中のサードパーティ製ライブラリはソフトウェアです。それらの既知の脆弱性を見つけ、修正をリリースして確認する必要があります。

   Ostorlabによる支援

   SCAは、マニフェストベースのスキャナーが見逃しがちな、静的にコンパイルされたライブラリを識別し、既知の脆弱性と対応付け、リリースをまたいでその解消を追跡します。検出結果はプラットフォーム内、またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   サーバー、ネットワーク、ワークステーションのパッチ適用と、その他の資産全体の更新プロセス。

3. 03

   NBU決議第95号、第143項

   OWASPを使ってセキュアなウェブアプリケーションを開発する

   条文の内容

   銀行は、セキュアなウェブアプリケーションを開発するため、Open Web Application Security Project（OWASP）の標準、文書、ガイドラインを使用しなければなりません。

   出典：NBU決議第95号、第143項

   モバイルアプリにとっての意味

   モバイルアプリの背後にあるウェブサービスとAPIはウェブアプリケーションです。APIとモバイルアプリに関するOWASPのガイダンスは、それらをテストする際の自然なベースラインです。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   セキュアコーディング標準、開発者のトレーニング、コードレビュー。

4. 04

   NBU決議第95号、第108項、決議第4号、附属書2（決議第24号による改正後）

   定期的にペネトレーションテストを実施する

   条文の内容

   銀行は、定期的なペネトレーションテストを実施して、ネットワーク境界の保護の有効性を確認しなければなりません。年次の自己評価では、期間中にペネトレーションテストを実施したか、どのように誰が実施したか、見つかったクリティカルおよび高の脆弱性を修正したかが問われます。

   出典：NBU決議第95号、第108項、決議第4号、附属書2（決議第24号による改正後）

   モバイルアプリにとっての意味

   モバイルバンキングのバックエンドを含め、顧客がインターネットからアクセスするサービスは、その境界上にあります。ペネトレーションテストの結果と、深刻な検出結果が解決されたことの証明が必要です。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは、アプリとそのAPIをログインの先まで通常数時間でテストし、AIエージェントによる各検出結果に、再実行できる動作するエクスプロイトが付きます。再テストで、各問題が解決されたかを確認できます。

   お客様が担うこと

   ネットワーク境界のテスト、テスト実施者の選定、自己評価報告。

5. 05

   NBU決議第178号、第42項～第46項（決議第24号による改正後）

   ペネトレーションテストを含む外部の情報セキュリティ監査

   条文の内容

   外部の情報セキュリティ監査の頻度は銀行が定めます。監査は、サイバー防護対象の保護と、情報セキュリティマネジメントシステムのISO/IEC 27001への適合性を評価します。監査の手法にはセキュリティ分析とペネトレーションテストが含まれ、銀行は結果と承認済みの改善計画をNBUに送付します。

   出典：NBU決議第178号、第42項～第46項（決議第24号による改正後）

   モバイルアプリにとっての意味

   外部監査は、銀行がウクライナの居住者である法人の中から選ぶ監査法人が実施します。アプリとそのAPIに関する検出結果には、改善計画が必要になります。

   Ostorlabによる支援

   Ostorlabは、既知のアプリとAPIの問題を修正した状態で監査に臨めるよう支援し、その後は改善計画に含まれるアプリとAPIの項目を再テストします。

   お客様が担うこと

   監査法人の選定、監査プログラム、NBUへの報告。

6. 06

   NBU決議第58号、第15項および第17項

   強固な認証、ロックアウト、タイムアウト

   条文の内容

   決済サービスプロバイダーは、規則が認める適用除外を除き、顧客がリモートで口座にアクセスするたび、またはリモートでの支払いを開始するたびに、認証コードを生成します。強固な認証の連続失敗はブロックまで5回を超えてはならず、セッションは保護されなければならず、強固な認証後の無操作時間は10分を超えてはなりません。

   出典：NBU決議第58号、第15項および第17項

   モバイルアプリにとっての意味

   アプリのログイン、ロックアウト、セッションのタイムアウトは、規制された管理策です。アプリだけでなく、サーバーがそれらを強制しなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、ステップアップ認証のフローを含むMFAの強制をテストします。

   お客様が担うこと

   認証要素の選定、ブロック解除の手続き、不正モニタリング。

7. 07

   NBU決議第58号、第22項

   各認証コードを支払いに結び付ける

   条文の内容

   ダイナミックリンキングでは、支払人は受取人と金額を確認でき、認証コードはそれらに結び付けられ、金額や受取人を変更するとコードは無効となり、支払いの開始は取り消されます。

   出典：NBU決議第58号、第22項

   モバイルアプリにとっての意味

   確認から実行までの間に金額や受取人を変更する攻撃者は、失敗しなければなりません。そのロジックはアプリと決済APIにあります。

   Ostorlabによる支援

   AIエージェントによるペネトレーションテストは決済と口座のフローのビジネスロジックをテストし、Ostorlabは攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、その背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証コードの暗号設計と取引モニタリング。

8. 08

   NBU決議第58号、第33項

   顧客のスマートフォン上の認証を保護する

   条文の内容

   認証要素や認証コードを携帯電話などの多目的デバイスで処理する場合、プロバイダーは、分離された安全な実行環境、支払人や第三者によるソフトウェアの変更を防ぐ仕組み、不正な変更の影響を軽減する対策を使用しなければなりません。

   出典：NBU決議第58号、第33項

   モバイルアプリにとっての意味

   アプリは、改ざん、再パッケージ、実行時のフッキングに耐え、デバイスがroot化・脱獄されている場合には対応しなければなりません。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。ハードニングスコアとバイパスの証拠が得られます。

   お客様が担うこと

   シールド製品の選定と、侵害されたデバイスに対するアプリの対応方法。

9. 09

   NBU決議第58号、第59項および第95項

   機密性の高い決済データの秘匿性を保つ

   条文の内容

   機密性の高い決済データは、表示時にマスキングし、入力時に全体を表示してはなりません。暗号鍵とともに、不正な閲覧や改変から保護された形式で保存し、送信時には暗号で保護するか読み取れない状態にしなければなりません。

   出典：NBU決議第58号、第59項および第95項

   モバイルアプリにとっての意味

   パスワード、コード、鍵、カード情報が、アプリのストレージ、ログ、スクリーンショット、通信から漏洩してはなりません。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認し、アプリのパッケージにハードコードされたAPIキー、トークン、認証情報を見つけます。

   お客様が担うこと

   経営陣が承認する鍵管理の方法論と、バックエンドでの保存。

ウクライナ国立銀行が公表したウクライナ語の文書の要約です（2026年9月27日時点で確認）。認証に関する規則は、記載のとおり決済サービスプロバイダーに適用されます。本ページは法的助言ではありません。