FFIECとNYDFS：公開や変更のたびに、その前にモバイルバンキングアプリをテストしましょう。

1. 01

   FFIEC Information Security booklet、II.C.17

   外部向けアプリを公開前と重要な変更の前にテストする

   条文の内容

   金融機関とその顧客が使うアプリケーションには、ダウンロード型のモバイルアプリケーションなどのインストール型アプリケーションが含まれます。管理策を検証するため、経営陣は、外部向けアプリケーションの公開前や重要な変更の前に、ペネトレーションテスト、脆弱性評価、アプリケーションセキュリティテストなどの適切なテストを実施すべきです。テストで見つかった問題は、公開前または変更が本番環境に移行する前に修正すべきであり、アプリケーションを開発するサードパーティも同じ管理策を満たすべきです。

   出典：FFIEC Information Security booklet、II.C.17

   モバイルアプリにとっての意味

   モバイルアプリの新しいバージョンは、外部向けアプリケーションの変更です。テストはリリースプロセスに組み込むべきであり、ベンダーが開発したアプリを含め、ビルドがストアに公開される前に検出結果を修正すべきです。

   Ostorlabによる支援

   Mobile SASTは、ソースコードなしでAPK、AAB、IPAを直接解析し、組み込まれたSDK全体にわたるテイント解析も行います。Mobile DASTはアプリを実行し、認証済みセッションを維持し、通信、スタックトレース、スクリーンショットを記録します。SCAは、マニフェストベースのスキャナーでは見落とされることがある、静的にコンパイルされたライブラリを識別します。

   お客様が担うこと

   公開の判断、サーバーインフラのテスト、ベンダーに課すセキュリティ要件。

2. 02

   FFIEC Information Security booklet、IV.A.1およびIV.A.2(b)

   リスクに応じてテストの頻度と独立性を定める

   条文の内容

   独立したテストの頻度は、金融機関のITリスク管理プロセスが決めるべきです。システムやアプリケーションの変更・追加や、攻撃者の手法の変化によって頻度が高まる場合があり、テストは開発中、新規または変更されたシステムが本番環境に移行する前、そして本番環境で定期的に行います。ペネトレーションテストには、クライアントサイドのテストやウェブアプリケーションのテストなど多くの種類があり、必要な独立性の程度は経営陣が決めるべきです。

   出典：FFIEC Information Security booklet、IV.A.1およびIV.A.2(b)

   モバイルアプリにとっての意味

   連邦レベルで固定されたサイクルはありません。頻繁なリリースはテストの頻度を上げる理由になり、モバイルバンキングアプリには、クライアントサイドのテストと、アプリが呼び出すAPIに対するウェブアプリケーション型のテストの両方が必要です。

   Ostorlabによる支援

   クイックスキャンは通常1〜5分、フルスキャンは15〜45分で完了するため、すべてのリリースに組み込めます。AIエージェントによるペネトレーションテストはより深く調べ、通常数時間で、AIエージェントによる各検出結果に再実行できる動作するエクスプロイトを付けます。重要な変更や定期的な詳細テストに活用できます。

   お客様が担うこと

   頻度と範囲を定めるリスク評価と、誰を独立した者とみなすかの判断。

3. 03

   Interagency Guidelines Establishing Information Security Standards、III.C

   主要な管理策を定期的にテストする

   条文の内容

   各金融機関は、情報セキュリティプログラムの主要な管理策、システム、手続きを定期的にテストしなければなりません。テストの頻度と性質は金融機関のリスク評価によって決めるべきであり、テストは独立した第三者、またはセキュリティプログラムを開発・維持する者から独立した職員が実施またはレビューすべきです。認証を含む顧客情報システムのアクセス管理は、検討すべき対策の1つです。

   出典：Interagency Guidelines Establishing Information Security Standards、III.C

   モバイルアプリにとっての意味

   アプリとそのAPIにおけるログイン、認可、データ保護は、顧客情報システムの主要な管理策です。そのためテスト計画に含め、結果は開発チーム以外の者がレビューすべきです。

   Ostorlabによる支援

   テストを実行し結果を管理するのは、お客様のセキュリティチームまたは第2線のチームです。各検出結果には、リスク評価、再現手順、リクエストとレスポンスのログ、スクリーンショットが付き、再テストで根本的な問題が解決されたかどうかを確認します。

   お客様が担うこと

   文書化された情報セキュリティプログラム、リスク評価、取締役会への年次報告。

4. 04

   FFIEC Development, Acquisition, and Maintenance booklet、IV.DおよびV.C.2

   開発にセキュリティテストを組み込む

   条文の内容

   ファジングやペネトレーションテストなどの品質保証テスト、セキュアコードレビュー、ソースコードのセキュリティ解析ツールは、修正すべきセキュリティ上の欠陥の特定に役立ちます。開発環境での脆弱性スキャンは利用者が影響を受ける前に脆弱性を見つけ、スキャンは導入後も続けます。DevSecOpsでは、CI/CDパイプラインで静的・動的アプリケーションセキュリティテストやソフトウェアコンポジション解析などのテストツールを使い、ビルドやテストが失敗した場合はパイプラインの以降のタスクを停止します。

   出典：FFIEC Development, Acquisition, and Maintenance booklet、IV.DおよびV.C.2

   モバイルアプリにとっての意味

   パイプラインでの自動セキュリティテストと、深刻な検出結果で失敗するビルドは、検査官が確認するポイントです。これはサーバーのコードと同様に、モバイルアプリにも当てはまります。

   Ostorlabによる支援

   CI/CDパイプラインからビルドごとに自動スキャンを実行し、手動で起動することなくストアのリリースを監視します。パイプラインのスケジュール実行により、リリースの合間にも週次の頻度を維持できます。検出結果は緊急、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。

   お客様が担うこと

   パイプラインの設計、ビルドを失敗させるルール、サーバー側コードのコードレビュー。

5. 05

   FFIEC Development, Acquisition, and Maintenance booklet、IV.I.2、Architecture, Infrastructure, and Operations booklet、V.C.2(c)

   一般的なAPIのリスクを軽減する

   条文の内容

   一般的なAPIのリスクに対する軽減策には、オブジェクトレベルの認可チェック、ユーザー認証の検証とMFAの検討、レスポンスでの過剰なデータ露出の回避、レート制限、デフォルトでアクセスを拒否する機能レベルの認可、マスアサインメントとインジェクションへの対策、最新のAPIインベントリが含まれます。公開APIは、公開の前後にセキュリティ管理策の適切性を検証するためにテストすべきです。

   出典：FFIEC Development, Acquisition, and Maintenance booklet、IV.I.2、Architecture, Infrastructure, and Operations booklet、V.C.2(c)

   モバイルアプリにとっての意味

   アプリの背後にあるAPIは、資金とデータを扱います。リクエスト内の口座IDを変更した顧客には、他人の残高ではなくエラーが返されるべきです。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   APIのインベントリ、ゲートウェイとファイアウォールの設定、APIのアクティビティのログ記録と監視。

6. 06

   FFIEC Authentication and Access guidance（2021年）、第3節～第5節、Information Security booklet、II.C.16、23 NYCRR 500.12

   デジタルバンキングの多層的なセキュリティとMFA

   条文の内容

   多層的なセキュリティを伴う単一要素認証では不十分であるとリスク評価で示された場合、MFAまたは同等の強度の管理策を他の多層的な管理策と組み合わせることで、リスクをより効果的に軽減できます。多層的な管理策には、MFA、ユーザーのタイムアウト、取引上限が含まれ、認証管理策の設計と有効性は当初と定期的に評価すべきです。リモートバンキングの管理策には、再認証を必須とするアプリケーションのタイムアウト、帯域外（アウトオブバンド）での検証、デバイス認証が含まれる場合があります。ニューヨーク州では、第500.12条が、対象事業者のいずれかの情報システムにアクセスするすべての個人にMFAを求めています。

   出典：FFIEC Authentication and Access guidance（2021年）、第3節～第5節、Information Security booklet、II.C.16、23 NYCRR 500.12

   モバイルアプリにとっての意味

   支払いと口座情報の変更は高リスクの取引です。第2要素、ステップアップ認証、タイムアウトはサーバーが強制すべきであり、それを示す証拠が必要です。第500.12条が顧客のログインにどのように適用されるかは、コンプライアンスチームにご確認ください。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでログインし、SMS、メール、TOTPによるワンタイムコードを入力して、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、ステップアップ認証のフローを含むMFAの強制をテストします。

   お客様が担うこと

   認証に関するリスク評価、認証要素の選定、不正モニタリング、顧客への啓発。

7. 07

   23 NYCRR 500.5、FFIEC Architecture, Infrastructure, and Operations booklet、VI.B.3(a)

   年次のペネトレーションテストとリスクに基づくスキャン

   条文の内容

   対象事業者は、最低限、資格のある内部または外部の者による情報システムの境界の内側と外側の両方からのペネトレーションテストを少なくとも年1回、そしてリスク評価で定める頻度で、また重要なシステム変更の後には速やかに、自動スキャン（スキャンの対象外のシステムは手動レビュー）を行うことを確保する、文書化された脆弱性管理手続きを備えなければなりません。脆弱性は、リスクに基づいて優先順位を付け、適時に修正しなければなりません。FFIECは、特定されたすべての脆弱性の修正の進捗を追跡・報告する方法を備えることを期待しています。

   出典：23 NYCRR 500.5、FFIEC Architecture, Infrastructure, and Operations booklet、VI.B.3(a)

   モバイルアプリにとっての意味

   モバイルアプリのリリースは、多くの場合、顧客がアクセスするシステムの重要な変更にあたります。年次のペネトレーションテストがアプリとそのAPIを外部からカバーし、自動スキャンがテストの合間を埋めます。

   Ostorlabによる支援

   スケジュール実行を含め、ビルドごとにCI/CDパイプラインから自動スキャンを実行し、ストアのリリースを監視します。AIエージェントによるペネトレーションテストはアプリとそのAPIをログインの先までテストし、確定した検出結果はチケットとして追跡され、修正後に再テストされます。

   お客様が担うこと

   年次ペネトレーションテストを行う資格のある者の選定、境界の内側での内部テスト、修正期限の設定。

8. 08

   23 NYCRR 500.8

   外部のアプリのセキュアな開発とテスト

   条文の内容

   サイバーセキュリティプログラムには、自社開発のアプリケーションのセキュアな開発手法に関する文書化された手続き、ガイドライン、標準と、対象事業者が使用する外部で開発されたアプリケーションのセキュリティを評価またはテストする手続きを含めなければなりません。CISOまたは資格のある被指名者が、少なくとも年1回それらをレビューし、更新します。

   出典：23 NYCRR 500.8

   モバイルアプリにとっての意味

   自社のアプリと、購入したSDKやホワイトラベルのアプリのいずれにも、定められたセキュリティテストのステップが必要であり、その手続きは毎年レビューする必要があります。

   Ostorlabによる支援

   Mobile SASTはコンパイル済みのアプリを対象に動作するため、ソースコードを保有していないベンダー製のアプリや組み込まれたSDKもカバーします。SCAは各リリースに含まれるサードパーティのコンポーネントを示し、既知の脆弱性と対応付け、リリースをまたいでその解消を追跡します。

   お客様が担うこと

   文書化された手続きと、CISOによる年次レビュー。

9. 09

   Interagency Guidance on Third-Party Relationships（2023年）、FFIEC Information Security booklet、II.C.20、23 NYCRR 500.11

   テストベンダーを含め、サードパーティを監督する

   条文の内容

   サードパーティを利用しても、安全かつ健全な方法で、適用法令を遵守して業務を行う銀行組織の責任が軽減または免除されることはありません。情報セキュリティに関するデューデリジェンスには、サードパーティのアプリケーションセキュリティプログラム、ソフトウェア開発ライフサイクル、脆弱性評価とペネトレーションテストの結果、多要素認証や暗号化などの管理策の評価が含まれる場合があります。ニューヨーク州の対象事業者は、デューデリジェンスと契約上の保護を含む、サードパーティサービスプロバイダーのセキュリティポリシーを備えなければなりません。

   出典：Interagency Guidance on Third-Party Relationships（2023年）、FFIEC Information Security booklet、II.C.20、23 NYCRR 500.11

   モバイルアプリにとっての意味

   アプリを開発するベンダーやその一部を運用するベンダーには、テスト結果を示してもらうべきです。アプリのバイナリとテスト用の認証情報を受け取るSaaSのテストプラットフォーム自体も、そのプロセスでレビューされるベンダーです。

   Ostorlabによる支援

   OstorlabはSOC 2 Type II監査を受けています。Enterpriseプランでは、データの保管地域として米国を選ぶか、オンプレミスでスキャンを実行できます。BYOKを使えば、AIは自社のプロバイダーアカウントで、スキャンごとの支出上限を設けて実行されます。SSO/SAML、ロールベースのアクセス制御、監査ログはアドオンとして利用でき、Enterpriseには含まれています。

   お客様が担うこと

   デューデリジェンス、契約条項、各プロバイダーの継続的なモニタリング。

FFIEC IT Examination Handbook、FFIECの認証ガイダンス、Interagency Guidelines Establishing Information Security Standards、2023年のサードパーティガイダンス、23 NYCRR Part 500の要約です（2026年9月27日時点で確認）。FFIECのブックレットと機関間ガイダンスは監督上のガイダンスであり、Part 500はNYDFSが規制する事業者に適用されます。本ページは法的助言ではありません。