PRA・FCAのオペレーショナルレジリエンス：リリースの前後にモバイルバンキングアプリを診断しましょう。

1. 01

   FCAハンドブックSYSC 15A.2、PRA SS1/21（2022年3月）

   重要ビジネスサービスを特定し、インパクトトレランスを設定する

   条文の内容

   FCA SYSC 15AとPRAのオペレーショナルレジリエンス規定により、金融機関は重要ビジネスサービスを特定し、それぞれにインパクトトレランス（許容できる最大の混乱）を設定する必要があります。深刻だが現実的な混乱が生じても各インパクトトレランス内に維持できることを確保し、少なくとも年1回、または重要な変更の後に評価を見直す必要があります。PRA SS1/21は、規則の背景にある期待を定めています。

   出典：FCAハンドブックSYSC 15A.2、PRA SS1/21（2022年3月）

   モバイルアプリにとっての意味

   モバイルバンキングはほとんどの場合重要ビジネスサービスであり、アプリは顧客がそこに到達する主な手段です。アプリやAPIが停止したり侵害されたりした場合、金融機関は設定したトレランス内に維持できる必要があります。

   Ostorlabによる支援

   OstorlabはリリースごとにアプリとAPIをテストし、サービスを混乱させる弱点を顧客が気づく前に発見します。検出結果は評価され、クローズまで追跡されます。

   お客様が担うこと

   サービスの特定とトレランスの設定、およびそれを支える対応・復旧体制。

2. 02

   FCAハンドブックSYSC 15A.4.1、PRA SS1/21 4.2および4.15

   リソースをマッピングし、脆弱性を期限内に修正する

   条文の内容

   金融機関は、各重要ビジネスサービスの提供に必要な人、プロセス、テクノロジー、施設、情報を、脆弱性を特定して修正できる十分な詳細さで特定・文書化する必要があります。PRAは、修正の速さが混乱の潜在的影響に見合っていること、サービスがインパクトトレランス内に維持できない場合は修正計画を策定・実施することを期待しています。

   出典：FCAハンドブックSYSC 15A.4.1、PRA SS1/21 4.2および4.15

   モバイルアプリにとっての意味

   アプリのバイナリ、SDK、背後のAPIは、そのマップ上のテクノロジーリソースです。そのいずれかの脆弱性は、サービスの脆弱性です。

   Ostorlabによる支援

   モバイルSASTが組み込みSDKを含むバイナリを解析し、SCAがコンポーネントを既知の脆弱性と突き合わせ、AIエージェントのペネトレーションテストが実行中のアプリとAPIをテストします。検出結果はプラットフォームまたはJira・ServiceNowのチケットになり、修正後に再テストされます。

   お客様が担うこと

   修正期限の決定、修正のためのリソース配分、クローズまでの追跡。

3. 03

   FCAハンドブックSYSC 15A.5および15A.6、PRA SS1/21第6章

   シナリオテストを実施し、そこから学ぶ

   条文の内容

   金融機関はテスト計画を策定・最新化し、第三者のサービス停止、テクノロジーの喪失または提供低下、重要データの破損や削除など、深刻だが現実的な混乱のシナリオテストを実施する必要があります。テストはペーパーベース、シミュレーション、本番システムのいずれでも構いませんが、混乱を引き起こす重大なリスクを伴ってはなりません。テストまたは混乱の後には、教訓抽出を行い、特定された改善を実施する必要があります。記録は少なくとも6年間保管します。

   出典：FCAハンドブックSYSC 15A.5および15A.6、PRA SS1/21第6章

   モバイルアプリにとっての意味

   シナリオテストはアプリだけでなくサービス全体を対象にします。そのテストで得たアプリとAPIの検出結果は、根本的な弱点が修正され、修正済みであることを証明できて初めて役に立ちます。

   Ostorlabによる支援

   Ostorlabはシナリオテストや演習を実施しません。シナリオが依存するアプリとAPIの管理策を、演習の前後にテストし、教訓抽出の技術的な項目に証拠を付けます。

   お客様が担うこと

   シナリオの設計と実施、事業継続・復旧計画、教訓抽出。

4. 04

   CBEST Implementation Guide 2024年版、イングランド銀行

   CBESTの脅威インテリジェンス主導評価に備える

   条文の内容

   CBESTは規制当局の脅威インテリジェンス主導の評価フレームワークで、2014年以降、PRA、イングランド銀行、FCAが選定した金融機関と金融市場インフラに用いられています。CBESTは、重要ビジネスサービスを支えるシステムとサービスに対して実際の攻撃者の行動を模倣し、開始から規制当局が監督する修正計画までの4フェーズで実施され、CREST認定の脅威インテリジェンスおよびペネトレーションテスト事業者が担当します。CBEST実施ガイドの2024年版では、修正の文書化と、重要ビジネスサービスに関わる第三者に関する指針が追加されています。

   出典：CBEST Implementation Guide 2024年版、イングランド銀行

   モバイルアプリにとっての意味

   CBESTは規制当局が主導し、重要ビジネスサービスを中心に範囲を定めます。評価の合間にアプリとAPIを定期的にテストすることを置き換えるものではありません。

   Ostorlabによる支援

   OstorlabはCBESTを実施しません。既知のアプリとAPIの問題を修正した状態でCBESTに臨めるよう支援し、その後、修正計画のアプリ・API項目を再テストします。

   お客様が担うこと

   CBESTの範囲設定と実施、認定事業者の選定、規制当局が監督する修正計画。

5. 05

   PRA SS2/21 2024年11月版、第7章および第8章

   外部委託と第三者リスクを管理する

   条文の内容

   PRA SS2/21により、金融機関は外部委託したサービス（重要な外部委託を含む）について引き続き責任を負います。PRAは、転送中・メモリ上・保管中のデータに対する堅牢な管理策を期待しており、暗号化と鍵管理、ID・アクセス管理、アクセスと操作のログ、インシデントの検知と対応などが含まれます。重要な外部委託では、書面契約により、委託先のアプリケーション、データ、システムに対して実施されたセキュリティペネトレーションテストの結果を対象に含むアクセス権と監査権を確保する必要があります。本文書は事業継続と退出計画も扱っています。

   出典：PRA SS2/21 2024年11月版、第7章および第8章

   モバイルアプリにとっての意味

   アプリには独自のバックエンドと通信するサードパーティSDKが組み込まれ、APIはクラウドサービス上で動作することがあります。そのセキュリティは、外部委託と第三者リスクの管理の一部です。

   Ostorlabによる支援

   Ostorlabは、各リリースのSDKとネイティブライブラリをバージョンとともに一覧化し、既知の脆弱性と突き合わせ、アプリとそのSDKがネットワーク上でバックエンドとやり取りする内容を示します。

   お客様が担うこと

   デューデリジェンス、契約、監査権、退出計画、クラウド設定。

6. 06

   FCA「Critical Third Parties: Strengthening UK Financial Services」、PRA PS16/24・FCA PS24/16

   サービスを支えるクリティカルサードパーティを把握する

   条文の内容

   2025年1月1日に発効したクリティカルサードパーティ制度により、英国財務省は、障害や混乱が英国金融システムの安定や信認を脅かし得る第三者を指定でき、規制当局はそれらが提供するサービスを監督できます。世界のクラウド・テクノロジー事業者4社を対象とする最初の指定は、2026年7月13日に発効しました。この制度は金融機関自身の責任を置き換えるものではなく補完するものです。金融機関とその取締役会は、第三者リスクの管理とオペレーショナルレジリエンスの維持に引き続き責任を負います。

   出典：FCA「Critical Third Parties: Strengthening UK Financial Services」、PRA PS16/24・FCA PS24/16

   モバイルアプリにとっての意味

   アプリやバックエンドが指定事業者上で動作していても、リスクは依然として自社のものです。この制度は規制当局に新たな手段を与えるもので、義務を移すものではありません。

   Ostorlabによる支援

   Ostorlabは、アプリとAPIがどこで動作していてもその管理策をテストするため、保有する証拠は事業者の説明だけに依存しません。

   お客様が担うこと

   事業者との契約上の取り決め、および自社の外部委託とレジリエンスに関する義務。

7. 07

   Payment Services Regulations 2017第100条、FCA「Strong Customer Authentication」

   アプリとその決済に強力な顧客認証を適用する

   条文の内容

   Payment Services Regulations 2017の第100条により、決済サービス事業者は、顧客がオンラインで決済口座にアクセスする場合、電子決済取引を開始する場合、または決済詐欺その他の濫用のリスクを伴い得るリモートチャネルでの操作を行う場合に、強力な顧客認証を適用する必要があります。リモート決済では、取引を特定の金額と特定の受取人に動的に結び付ける認証を用いる必要があります。また、個人用セキュリティ資格情報の機密性と完全性を保護するための適切なセキュリティ対策を維持する必要があります。FCAは、携帯電話を使わない顧客を含め、すべての消費者層に機能する認証ソリューションを期待しています。

   出典：Payment Services Regulations 2017第100条、FCA「Strong Customer Authentication」

   モバイルアプリにとっての意味

   アプリでのログイン、決済、重要な口座変更はすべてSCAの対象です。管理策はアプリが提示するだけでなく、バックエンドが適用する必要があります。

   Ostorlabによる支援

   Ostorlabは、テスト用アカウントでSMS・メール・TOTPのワンタイムコードを入力し、SCAの適用、動的リンク、ステップアップフローを、攻撃者による操作の試みも含めてテストし、背後のAPI呼び出しも確認します。

   お客様が担うこと

   認証方式と適用除外の選択、取引監視、提供する方式のアクセシビリティ。

8. 08

   Payment Services Regulations 2017第98条・第99条、FCA PS26/2（2026年3月18日）

   運用・セキュリティリスクを管理し、インシデントを報告する

   条文の内容

   Payment Services Regulations 2017の第98条は、各決済サービス事業者に対し、決済サービスの運用上・セキュリティ上のリスクに対する適切な緩和策と管理策を備えた枠組みを維持すること、重大な運用・セキュリティインシデントの検知と分類を含む効果的なインシデント管理を行うこと、更新された評価を少なくとも年1回FCAに提出することを求めています。第99条は、重大な運用上またはセキュリティ上のインシデントを遅滞なくFCAに通知すること、決済サービス利用者の財務上の利益に影響が及ぶ場合は利用者に知らせることを求めています。2027年3月18日からは、FCAのPS26/2規則により、FCA・PRA・イングランド銀行の単一のオペレーショナルインシデント報告制度が始まり、オペレーショナルインシデントの単一の定義、報告基準、標準報告と拡張報告が定められます。

   出典：Payment Services Regulations 2017第98条・第99条、FCA PS26/2（2026年3月18日）

   モバイルアプリにとっての意味

   アプリやAPIで始まったインシデントは、運用・セキュリティインシデントです。テスト中に保管した証拠があれば、迅速に分類して報告できます。

   Ostorlabによる支援

   Ostorlabは規制当局へのインシデント報告を行いません。検出結果ごとの証拠、重大度、再テスト履歴を保管し、インシデント対応・報告チームが利用できます。

   お客様が担うこと

   インシデント管理、分類、FCAへの通知、顧客への連絡。

9. 09

   UK GDPR第32条、ICO「A guide to data security」

   個人データを保護し、セキュリティ対策をテストする

   条文の内容

   英国GDPR第32条は、管理者と処理者に対し、リスクに応じた適切な技術的・組織的措置を講じることを求めています。これには暗号化や仮名化、機密性・完全性・可用性・レジリエンスを継続的に確保する能力、および措置の有効性を定期的にテスト・評価・検証するプロセスが含まれます。ICOの指針は、このテストが脆弱性スキャンやペネトレーションテストなどの手法で実施できること、結果を文書化して推奨事項に対応するか、対応しない正当な理由を示すことを求めています。

   出典：UK GDPR第32条、ICO「A guide to data security」

   モバイルアプリにとっての意味

   アプリは、銀行が管理しない端末上で顧客データを収集・表示・保存する場所です。それを保護する措置には、定期的で文書化されたテストが必要です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショット内のセッショントークンと個人データを探し、転送の保護を確認し、アプリパッケージ内のAPIキーと資格情報を発見し、何がどこでいつ書き込まれたかのファイルシステム証拠を提供します。

   お客様が担うこと

   リスク評価、対策そのもの、データ保護影響評価、漏えいの通知。

10. 10

    イングランド銀行・FCA・英国財務省のフロンティアAIモデルとサイバーレジリエンスに関する共同声明（2026年5月15日）

    脆弱性をより速く監視・修正する

    条文の内容

    2026年5月15日の共同声明で、イングランド銀行、FCA、英国財務省は、フロンティアAIモデルが金融機関の技術資産全体にわたる多数の脆弱性を迅速に特定し悪用を可能にし得ると述べ、金融機関は脆弱性のトリアージ、優先順位付け、リスク評価、修正を、適切な場合は自動化も用いて、より速く、より頻繁に、大規模に行えるべきだとしました。声明はまた、第三者、サプライチェーン、オープンソースソフトウェアのリスクと、2025年10月にイングランド銀行・PRA・FCAが公表したサイバー対応・復旧の実効プラクティスにも言及しています。

    出典：イングランド銀行・FCA・英国財務省のフロンティアAIモデルとサイバーレジリエンスに関する共同声明（2026年5月15日）

    モバイルアプリにとっての意味

    リリースした翌日に脆弱になることがあります。脆弱性の発見と修正は、リリースパイプラインが追随できるペースで回す必要があります。

    Ostorlabによる支援

    OstorlabはCI/CDパイプラインからビルドごとにスキャンを実行し、ストアのリリースを手動トリガーなしで監視するため、新しい検出結果は影響を受けるリリースで表面化し、修正は出荷と同時に再テストできます。

    お客様が担うこと

    修正の判断、変更管理、大規模な修正に伴う運用リスク。

PRA、FCA、イングランド銀行、ICO、英国法令の公開文書の要約です（2026年9月27日時点で確認）。本ページは法的助言ではありません。