APRA 和 ASIC：按照文本要求测试您的 移动银行应用。

1. 01

   CPS 234 第 27 至 31 段；CPG 234，Testing control effectiveness

   系统性地测试信息安防控制措施

   文本的内容

   APRA 监管实体必须通过系统性测试计划检验其信息安防控制措施的有效性。测试的性质和频率应与漏洞和威胁的变化速度、资产的重要性和敏感性、事件后果、暴露于实体无法强制执行自身策略的环境的风险，以及信息资产变更的重要性和频率相称。测试必须由具备适当技能且职能上独立的专家执行，并且至少每年或在发生重大变更时审查测试计划的充分性。CPG 234 补充指出，频率和范围应至少每年覆盖足够范围的控制措施，而暴露于不可信环境（包括互联网）的控制措施应在全年持续测试。

   来源：CPS 234 第 27 至 31 段；CPG 234，Testing control effectiveness

   对您的移动应用意味着什么

   移动银行应用及其 API 是随每次发布而变化的互联网暴露信息资产。它们应纳入系统性测试计划，测试频率应由发布节奏驱动，而不仅是年度审查。

   Ostorlab 如何提供帮助

   Ostorlab 从您的 CI/CD 流水线在每次构建时运行自动扫描，并无需手动触发即可监控商店发布版本。AI 智能体渗透测试在登录后测试应用及其 API，每个 AI 智能体发现都附有可重放的有效漏洞利用。

   仍由您负责的部分

   测试计划本身、测试人员独立性的判断、无法及时修复的控制缺陷的上报，以及内部审计。

2. 02

   CPS 234 第 21 段；CPG 234，Implementation of controls

   为漏洞管理设定响应期限

   文本的内容

   信息安防控制措施必须与信息资产面临的漏洞和威胁相称。CPG 234 要求漏洞管理控制措施及时识别和处理漏洞，并要求补丁管理控制措施及时管理已知漏洞补丁和更新的评估与应用。这些要求同样覆盖由第三方和关联方管理的信息资产，并支撑董事会获得控制环境方面的保证。

   来源：CPS 234 第 21 段；CPG 234，Implementation of controls

   对您的移动应用意味着什么

   应用中的 SDK 和原生库是您发布的软件。每个组件都需要已知版本、出现漏洞时的严重性评级，以及可以证明的修复期限。应用依赖的后端组件同样如此。

   Ostorlab 如何提供帮助

   SCA 识别静态编译的库并将其映射到已知漏洞，逐版本跟踪。发现结果按严重、高、中、低评级，作为工单在平台内或 Jira、ServiceNow 中跟踪，修复发布后重新测试。

   仍由您负责的部分

   服务器和基础设施的补丁、供应商维护合同、风险接受决策以及向董事会报告。

3. 03

   CPG 234，Attachment D（Software security）以及 Security in change management

   内建安全并测试每次变更

   文本的内容

   APRA 期望在整个软件交付生命周期中考虑信息安全，包括采用敏捷方法的情况：需求、设计、选型与配置、测试和实施。变更管理中的安全包括安全测试和评审，以发现漏洞并确认信息安全要求已满足，测试性质应与变更范围和受影响资产的敏感性相称，并在部署到生产环境前完成变更审批。软件标准应覆盖认证、授权、会话管理、数据验证、密码学、日志记录以及安全的输入输出处理等领域。

   来源：CPG 234，Attachment D（Software security）以及 Security in change management

   对您的移动应用意味着什么

   每次应用发布都是对互联网暴露资产的变更。自动化测试应位于构建到达商店之前的流水线中，应用捆绑的 SDK 也是变更的一部分。

   Ostorlab 如何提供帮助

   Mobile SAST 无需源代码即可直接分析 APK、AAB 或 IPA，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用并捕获流量、堆栈跟踪和截图。两者均可从 CI/CD 流水线在每次构建时运行。

   仍由您负责的部分

   安全编码标准、开发人员培训、人工代码评审以及上线前的审批决策。

4. 04

   CPS 234 第 16、20、22 和 28 段；CPG 234，Information asset identification and classification

   掌握您的信息资产和第三方

   文本的内容

   APRA 监管实体必须按重要性和敏感性对其信息资产进行分类，包括由关联方和第三方管理的资产。当信息资产由关联方或第三方管理时，实体必须评估该方的信息安防能力，评估其信息安防控制措施的设计，并在依赖该方的控制测试时，评估该测试的性质和频率是否与标准中的各项因素相称。

   来源：CPS 234 第 16、20、22 和 28 段；CPG 234，Information asset identification and classification

   对您的移动应用意味着什么

   您的资产清单应包含移动应用、它调用的 API 以及它嵌入的 SDK。白标应用或供应商构建的版本仍由您承担责任。

   Ostorlab 如何提供帮助

   Ostorlab 列出每次发布中的 SDK 和原生库及其版本和在应用包中的位置，并展示应用及其 SDK 通过网络与哪些后端交换数据。Ostorlab 已通过 SOC 2 Type II 审计，报告可应要求提供。

   仍由您负责的部分

   资产台账、第三方尽职调查、合同，以及是否依赖供应商测试的决策。

5. 05

   CPG 235，Data life-cycle management、Retention、Desensitisation 和 Outsourcing/offshoring；CPS 230 第 23 段

   管理数据全生命周期的风险

   文本的内容

   CPG 235 期望在数据生命周期的每个阶段考虑数据风险：采集、处理、保留、发布和处置。它要求保留控制措施和正式的保留策略，在数据转移到信任度较低的环境时采用加密或去标识化等脱敏手段，保证数据及其变更的可审计性，并审慎评估外包和离岸安排，包括持续运营、满足审慎要求以及让 APRA 及时以可用形式获取数据的能力。CPS 230 将数据风险列为实体必须管理的操作风险之一。

   来源：CPG 235，Data life-cycle management、Retention、Desensitisation 和 Outsourcing/offshoring；CPS 230 第 23 段

   对您的移动应用意味着什么

   手机上的账户数据、令牌和个人信息属于数据生命周期的一部分。保留和脱敏决策适用于缓存、日志、截图和本地存储，而不只是数据库。

   Ostorlab 如何提供帮助

   Ostorlab 查找本地存储、缓存、日志和截图中的会话令牌和个人数据，并检查削弱传输和会话保护的配置错误。

   仍由您负责的部分

   数据分类、保留计划、脱敏策略、数据治理以及离岸评估。

6. 06

   CPG 234，Attachment F（Customer security）

   在数字渠道保护客户

   文本的内容

   CPG 234 列出了通过数字渠道提供的产品和服务的控制措施：与威胁相称的认证；针对账户转账、新增收款人、地址变更或来自未识别设备的访问等事件，通过第二渠道通知或确认；转账限额和每日交易限额等限制；交易活动监控；针对欺诈、数据泄露和身份盗用的书面程序；以及尽量减少收集用于认证的敏感客户信息，例如密码和 PIN。

   来源：CPG 234，Attachment F（Customer security）

   对您的移动应用意味着什么

   MFA、增强验证、通知和限额必须由后端在每个关键操作中强制执行，包括应用或攻击者试图跳过某个步骤时。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户登录，完成短信、邮件或 TOTP 一次性验证码，测试 MFA 的强制执行和增强验证流程，包括攻击者试图操纵它们的方式，以及账户变更、收款人和转账背后的 API 调用。

   仍由您负责的部分

   认证方式的选择、交易限额、欺诈监控以及客户教育。

7. 07

   CPS 230 第 29、48 至 50 和 60 段

   将操作风险与服务提供商作为一个整体管理

   文本的内容

   CPS 230 要求实体定期监控、审查和测试控制措施的设计与运行有效性，频率与被控制风险的重要性相称，并将结果报告给高级管理层，及时纠正缺口或缺陷。实体必须识别并维护重要服务提供商登记册，每年向 APRA 提交，在签订或重大变更其关键运营所依赖服务的协议后 20 个工作日内通知 APRA，并在重大离岸安排之前通知 APRA。风险管理、核心技术服务以及内部审计必须被列为重要服务提供商，除非实体能够提出正当理由。

   来源：CPS 230 第 29、48 至 50 和 60 段

   对您的移动应用意味着什么

   应用依赖核心技术服务以及 SDK 和 API 供应商。维持其运行的控制措施属于操作风险画像的一部分，您保留的证据应与登记册和董事会报告一致。

   Ostorlab 如何提供帮助

   每次构建的自动扫描提供按发布日期标注的结果，AI 智能体渗透测试在登录后覆盖应用及其 API。企业版可选择亚太数据驻留或在本地运行扫描，Ostorlab 已通过 SOC 2 Type II 审计。

   仍由您负责的部分

   服务提供商登记册、合同、董事会报告、向 APRA 的通知以及业务连续性。

8. 08

   Scams Prevention Framework Act 2025 第 58BD、58BE、58BJ、58BM、58BN、58BO、58BX、58BZC、58BZD 和 58BZG 条；Designation 2026 第 11、12 和 101 条

   为诈骗预防框架做好准备

   文本的内容

   Scams Prevention Framework Act 2025 将该框架纳入 Competition and Consumer Act 2010。受监管实体必须制定并实施用于预防、检测和阻断诈骗、应对诈骗以及报告诈骗的治理政策和程序，设定绩效指标，并由高级管理人员每年出具书面证明。它们必须采取合理措施防止他人实施诈骗，在诈骗发生过程中和发生后采取合理措施检测诈骗，在 28 天内调查可行动的诈骗情报，识别受影响的消费者，在合理时间内采取合理措施阻断相关活动或防止损失或伤害，提供便捷的诈骗报告机制，运行便捷透明的内部争议解决流程，并加入外部争议解决机制。2026 年的指定将受覆盖的银行服务纳入框架，ASIC 为部门监管机构。大部分义务自 2027 年 3 月 31 日起适用，AFCA 会员资格自 2026 年 9 月 1 日起要求。

   来源：Scams Prevention Framework Act 2025 第 58BD、58BE、58BJ、58BM、58BN、58BO、58BX、58BZC、58BZD 和 58BZG 条；Designation 2026 第 11、12 和 101 条

   对您的移动应用意味着什么

   其中多项义务落在应用上：支付阻断、应用内提示、报告机制和投诉流程。如果控制措施可以通过应用或其 API 绕过，合理措施的主张就会被削弱。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试测试支付和账户流程的业务逻辑，API 测试检查支付和账户变更背后调用的授权和重放，从而判断应用侧的阻力在后端是否成立。

   仍由您负责的部分

   治理政策与指标、年度证明、诈骗监控与向 ASIC 的报告、投诉处理以及 AFCA 会员资格。

9. 09

   Consumer Data Right Rules 2020 第 1.15、4.25 和 4.27 条及 Schedule 2；Consumer Data Standards 1.36.0，Security Profile（Authentication Flows）；Competition and Consumer Act 2010 第 56ES 条

   满足消费者数据权 API 安全配置

   文本的内容

   根据 Competition and Consumer Act 2010 第 IVD 部分的消费者数据权，银行作为数据持有者，必须在消费者本人或经其授权的认证机构请求时，通过 CDR API 披露 CDR 数据，并提供消费者仪表板，让消费者管理和撤回其披露 CDR 数据的授权。Consumer Data Standards 设定技术基线。在安全配置中，数据持有者必须支持 FAPI 1.0 Advanced，并且必须支持 JARM 和 PKCE；数据接收方软件必须使用 PAR 与 PKCE，并使用 S256 挑战方法。规则为认证数据接收方和指定网关规定了安全步骤和最低信息安防控制措施，涉及 CDR 数据的应报告数据泄露按数据泄露通知制度处理。

   来源：Consumer Data Right Rules 2020 第 1.15、4.25 和 4.27 条及 Schedule 2；Consumer Data Standards 1.36.0，Security Profile（Authentication Flows）；Competition and Consumer Act 2010 第 56ES 条

   对您的移动应用意味着什么

   如果您的移动应用就是消费者仪表板，授权页面和撤回流程就是 CDR 界面的一部分。CDR API 端点需要与您其他 API 资产相同的测试，并额外满足 FAPI 要求。

   Ostorlab 如何提供帮助

   Ostorlab 即使启用 TLS 证书固定也能拦截应用流量，并测试 API 的认证与授权，包括 OIDC 流程、令牌处理、授权撤回调用以及访问其他客户数据的情况。

   仍由您负责的部分

   认证与 CDR 政策事务、同意和仪表板设计、CDR 数据治理以及泄露通知。

10. 10

    Privacy Act 1988，Schedule 1，APP 11 和第 IIIC 部分；OAIC APP Guidelines 第 11 章（2025 年 10 月 3 日更新）；Privacy Amendment (Personal Data Protection) Bill 2026（征求意见稿）

    依据隐私法保护个人信息

    文本的内容

    Privacy Act 1988 要求 APP 实体采取合理措施，保护个人信息免遭滥用、干扰和丢失，以及未经授权的访问、修改或披露，并在信息不再需要时予以销毁或去标识化。自 2024 年 12 月 11 日起，APP 11.3 明确规定合理措施包括技术措施和组织措施。根据第 IIIC 部分的数据泄露通知制度，当数据泄露可能造成严重伤害时，实体必须通知 OAIC 和受影响的个人。OAIC 于 2025 年 10 月更新的 APP 11 指南将 ICT 安全、访问安全和第三方提供商列为需要覆盖的领域。第二轮隐私改革于 2026 年 8 月以征求意见稿形式发布，尚未成为法律。

    来源：Privacy Act 1988，Schedule 1，APP 11 和第 IIIC 部分；OAIC APP Guidelines 第 11 章（2025 年 10 月 3 日更新）；Privacy Amendment (Personal Data Protection) Bill 2026（征求意见稿）

    对您的移动应用意味着什么

    密码、令牌、账号和个人数据不应以明文形式留在手机上，也不应在无保护的情况下传输到后端。应用写入日志、缓存和截图的内容同样计入。

    Ostorlab 如何提供帮助

    Ostorlab 查找本地存储、缓存、日志和截图中的会话令牌和个人数据，并检查削弱传输和会话保护的配置错误。

    仍由您负责的部分

    隐私计划、保留与销毁决策、泄露评估与通知，以及您的隐私政策。

本页概述了 APRA、澳大利亚政府和 OAIC 的公开文本，核对日期为2026年9月27日。CPS 234 和 CPS 230 是依据 Banking Act 1959 制定的审慎监管标准；CPG 234 和 CPG 235 是指导文件。本页核对时，银行业的诈骗预防框架代码和规则仍处于征求意见稿阶段。本页不构成法律意见。