PBOC 与 NFRA 规则：每次发布前评估您的 移动银行应用。

1. 01

   PBOC 通知 银发〔2019〕237号；JR/T 0092-2019 第 4 至第 6 章（中文文本）

   满足移动应用安全基线

   文本的内容

   该规范适用于移动金融客户端应用软件，覆盖设计、开发、维护和发布各环节的安全要求与管理要求。规范将 App 分为资金交易类、信息采集类和资讯查询类：资金交易类应符合全部技术和管理安全要求，信息采集类应重点符合信息保护要求。每项要求分为基本要求和增强要求，基本要求是最低保护，增强要求为推荐。237 号通知要求对资金交易类 App 从资金安全、信息保护等方面开展外部评估，对信息采集类 App 重点从信息保护方面开展外部评估，每年至少一次，报告存档备查。

   来源：PBOC 通知 银发〔2019〕237号；JR/T 0092-2019 第 4 至第 6 章（中文文本）

   对您的移动应用意味着什么

   条款清单读起来就像您客户所下载版本的测试计划，从签名和完整性校验到输入保护、存储和退出时数据清理。

   Ostorlab 如何提供帮助

   Mobile SAST 无需源代码即可直接分析 APK、AAB 或 IPA。AI 智能体渗透测试在登录后测试应用及其 API，AI 智能体的每个发现都附有可重放的有效漏洞利用；Mobile Shielding Scan 则测试运行时的各项防护。

   仍由您负责的部分

   由具备资质的认证检测机构开展外部评估，以及年度评估排期。

2. 02

   PBOC 通知 银发〔2019〕237号；NIFA 移动金融客户端应用软件备案管理办法及备案通知（中文文本）

   向 NIFA 备案并保持评估有效

   文本的内容

   237 号通知要求金融机构参与移动金融 App 的实名备案，备案由 NIFA（中国互联网金融协会）负责，备案系统为 finapp.nifa.org.cn。资金交易类和信息采集类 App 的备案需要外部评估报告，备案有效期为一年；发生重大变更，或备案一年内未更新，都应重新开展一次外部评估。NIFA 会核查年度评估情况，可暂停或取消备案，并建议 App 分发平台审慎上架未备案的金融 App。NIFA 通报显示，截至 2025 年底，844 家机构共备案 2,773 款移动金融 App。

   来源：PBOC 通知 银发〔2019〕237号；NIFA 移动金融客户端应用软件备案管理办法及备案通知（中文文本）

   对您的移动应用意味着什么

   备案与年度评估是每年重复的运营义务，评估是第三方审阅形成的证据，而不是自我声明。

   Ostorlab 如何提供帮助

   Ostorlab 的扫描按版本生成带日期的证据，您的团队可将其附入外部评估和备案更新材料；新版本需要重新评估时，扫描可重复执行。

   仍由您负责的部分

   备案本身、与认证检测机构的沟通，以及重大变更的判定。

3. 03

   工信部通知 工信部信管〔2023〕105号；2025 年 10 月 28 日修订的网络安全法（中文文本）

   上线前完成工信部 App 备案

   文本的内容

   工业和信息化部要求在中国大陆从事互联网信息服务的 App 主办者，通过其网络接入服务提供者或应用分发平台履行备案手续。新 App 须先备案再开展业务；存量 App 须在 2023 年 9 月至 2024 年 3 月 31 日期间完成备案。各省通信管理局持续开展备案检查，未履行备案手续的，不得从事 App 互联网信息服务。2025 年网络安全法修订也对应用软件下载服务提供者设定安全管理义务，处罚可包括暂停相关业务或关闭应用程序。

   来源：工信部通知 工信部信管〔2023〕105号；2025 年 10 月 28 日修订的网络安全法（中文文本）

   对您的移动应用意味着什么

   银行 App 既是 PBOC 和 NIFA 意义上的金融 App，也是工信部意义上的互联网信息服务 App，两条备案线相互独立。

   Ostorlab 如何提供帮助

   Ostorlab 不代办备案。它按版本提供带日期的安全证据，支撑您的备案材料及其背后的安全说明。

   仍由您负责的部分

   备案本身、应用商店的展示信息，以及对通信管理局的答复。

4. 04

   JR/T 0068-2020 6.2.1；JR/T 0092-2019 5.3.3 和 5.3.4（中文文本）

   保护客户端程序自身

   文本的内容

   客户端程序应规避系统组件、第三方组件和 SDK 存在的安全风险，必要时开展选型安全测试。程序应具有明确的应用标识符和版本序号，由应用所有方签名以标识来源和发布者，并在启动和更新时进行真实性、完整性校验，防范被篡改、替换或劫持。程序应采用代码混淆、加壳等机制，防范代码注入、非法提权、进程访问等漏洞，保护支付敏感信息的输入和内存，不得以任何形式在本地存储支付敏感信息，密码框应禁止明文显示，无操作一段时间后应自动登出，应按最小权限原则申请系统权限，退出时清除非业务必需的数据。应用还应检测运行环境，包括未经授权的管理员权限、模拟器或虚拟机等，并向后台反馈，在环境存在风险时警示用户或拒绝交易。

   来源：JR/T 0068-2020 6.2.1；JR/T 0092-2019 5.3.3 和 5.3.4（中文文本）

   对您的移动应用意味着什么

   这些行为都可以在对外发布的版本上测试，而不只是在源代码中审阅。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和被插桩的环境中运行应用，尝试绕过 Root、模拟器、防篡改检测以及 TLS 证书固定，并报告某项防护被突破后应用的行为；代码和 SDK 侧由 Mobile SAST 覆盖。

   仍由您负责的部分

   加固产品的选型和配置、发布签名流程，以及针对受控设备的处置策略。

5. 05

   JR/T 0171-2020 6.1 和 7.4.2（中文文本）

   按类别保护个人金融信息

   文本的内容

   规范根据未经授权查看或变更后造成的危害程度，将个人金融信息分为 C3、C2、C1 三类。C3 主要为用户鉴别信息，包括银行卡磁道数据、卡片验证码、银行卡密码、网络支付交易密码，以及用于用户鉴别的个人生物识别信息。C3 信息应加密存储；C2、C3 信息通过公共网络传输时应使用加密通道或数据加密。客户端应用软件和个人终端不应存储支付敏感信息以及生物识别信息的样本数据和模板，只能保存完成当前交易必需的基本要素，并在交易完成后及时清除。展示个人金融信息时应采取屏蔽措施；开发测试环境应与生产环境隔离，且不应使用真实的个人金融信息。收集、存储、传输、使用个人金融信息的系统，每年至少开展一次安全检查或评估，包括信息安全评估、漏洞扫描和渗透测试；发生重大变更或出现新的高风险威胁时，应重新评估。

   来源：JR/T 0171-2020 6.1 和 7.4.2（中文文本）

   对您的移动应用意味着什么

   应用安装包、缓存、日志、截图以及测试过程都属于范围，年度评估期待的是真实测试，而不是勾选清单。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找支付数据、令牌和个人数据，检查传输保护，并对每个发现进行评级和跟踪。每次扫描都带有日期，年度评估证据随版本发布逐次累积。

   仍由您负责的部分

   数据分类分级、加密设计，以及规范要求的共享、转让、委托处理影响评估。

6. 06

   JR/T 0068-2020 6.2.3 和 6.4.2；JR/T 0092-2019 5.1.1 和 5.5.6.3（中文文本）

   验证高风险交易并正确结束会话

   文本的内容

   对高风险交易，网上银行标准要求组合使用三类要素中的至少两类：客户知悉的要素，客户本人持有且不可复制的要素（如经过安全认证的数字证书、电子签名、一次性密码），以及生物特征要素。各要素应相互独立，部分要素的损坏或泄露不应导致其他要素损坏或泄露。一次性密码的有效期应严格限制在最短必要时间内。身份认证连续失败不超过 10 次即应在短时间内锁定登录或交易权限，并明确解锁方式。用于交易提示和动态验证码的预留手机号码变更，应到柜台办理，或通过原号码完成双因素认证确认。客户端与服务器之间应通过密钥、证书进行双向认证，客户端应验证服务器证书。客户端程序无操作一段时间后应自动登出，正常退出登录时应向服务器发送会话结束请求。

   来源：JR/T 0068-2020 6.2.3 和 6.4.2；JR/T 0092-2019 5.1.1 和 5.5.6.3（中文文本）

   对您的移动应用意味着什么

   要素独立性、验证码有效期、锁定阈值和服务器侧会话失效，都可以用您自己的测试账户验证。

   Ostorlab 如何提供帮助

   认证测试使用您的测试账户完成短信、邮件或 TOTP 一次性验证码，测试 MFA 强制、增强验证流程和锁定行为，并通过背后的 API 调用检查令牌刷新、超时和会话失效。

   仍由您负责的部分

   要素选择和通道设计、解锁流程，以及客户通知渠道。

7. 07

   PBOC 令〔2025〕第3号第 35、36 条；NFRA 金规〔2024〕24号第 48、53 条（中文文本）

   变更上线前测试 API

   文本的内容

   PBOC 要求动态维护本机构提供业务数据的前置网关和应用程序接口清单，并在网关和 API 变更投产前开展安全测试，发现风险隐患立即采取补救措施。高敏感性数据项原则上应加密传输至其他数据处理者、其他数据中心或互联网，优先采用专用线路、VPN 等方式。NFRA 要求与外部机构的数据交互通过集中管理的外联平台或 API 实施，按照“业务必需、最小权限”原则，对接口设计、开发、服务、运行等进行集中安全保护管理。系统投产上线前应当开展安全测试，测试环境应当与生产系统隔离，敏感级及以上数据原则上未经脱敏不得进入测试环境。

   来源：PBOC 令〔2025〕第3号第 35、36 条；NFRA 金规〔2024〕24号第 48、53 条（中文文本）

   对您的移动应用意味着什么

   每次触及 API 的发布都是需要在上线前测试的变更，API 清单是证据的一部分。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，并测试 API 的越权访问（BOLA、BFLA、IDOR）、令牌和会话滥用，以及枚举、重放、自动化等滥用行为，每个发现都有请求和响应证据。

   仍由您负责的部分

   API 清单、网关架构、网络加密方案和生产监控。

8. 08

   PBOC 令〔2025〕第3号第 16、17、20、33 条；NFRA 金规〔2024〕24号第 43、45、46 条（中文文本）

   让敏感数据远离设备和平文

   文本的内容

   高敏感性数据项原则上不在终端设备和移动介质中存储，确需存储的场景应统一规范管理。用于身份鉴别的数据项原则上仅采取核验方式而不是导出，高敏感性数据项展示时原则上须脱敏。高敏感性数据项原则上不使用邮件、即时通讯、在线文件存储或移动介质传输。NFRA 对鉴别数据的要求更明确：个人身份鉴别数据不得明文存储、传输和展示；敏感级及以上数据达到使用或保存期限后，应采取技术措施及时删除或销毁，确保不可恢复，终端和移动存储介质内也不例外。核心数据操作日志及其备份保存不低于三年，重要数据、敏感数据不低于一年，并至少每六个月对数据操作行为进行一次审计。

   来源：PBOC 令〔2025〕第3号第 16、17、20、33 条；NFRA 金规〔2024〕24号第 43、45、46 条（中文文本）

   对您的移动应用意味着什么

   明文身份数据是明确的违规项，而不是加固偏好，也是移动测试最容易证明的问题之一。

   Ostorlab 如何提供帮助

   Ostorlab 在存储、缓存、日志、截图和应用安装包中查找身份数据与凭据，验证哪些密钥真实有效，并展示应用及其 SDK 如何在网络上与后端交换数据。

   仍由您负责的部分

   数据分类分级、设备管理策略，以及删除或销毁流程。

9. 09

   GB/T 22239-2019；PBOC 令〔2025〕第3号第 32 条；NFRA 金规〔2024〕24号第 41 条（中文文本）

   履行等级保护（等保 2.0）义务

   文本的内容

   网络安全等级保护是中国信息系统的基线制度。GB/T 22239-2019 规定了第一级到第四级的安全通用要求，以及云计算、移动互联、物联网和工业控制系统的安全扩展要求。PBOC 要求存储重要数据的系统满足三级等级保护要求，存储核心数据的系统满足四级等级保护或关键信息基础设施保护要求。NFRA 要求将数据纳入网络安全等级保护，根据数据安全级别划分网络逻辑安全域，并对存放或传输敏感级及以上数据的机房、网络实施重点防护。JR/T 0068 要求网上银行系统参照金融行业等级保护实施指引 JR/T 0071，包括移动互联安全扩展要求。

   来源：GB/T 22239-2019；PBOC 令〔2025〕第3号第 32 条；NFRA 金规〔2024〕24号第 41 条（中文文本）

   对您的移动应用意味着什么

   应用背后系统的等级决定了保护基线，移动应用是该系统边界的一部分。

   Ostorlab 如何提供帮助

   Ostorlab 测试应用及其 API 中的控制措施，为等级保护测评的技术项提供带日期的发现和复测结果，让应用侧的已知问题不会在正式测评中意外出现。

   仍由您负责的部分

   系统定级备案、由有资质测评机构开展的正式等保测评，以及物理和网络层面的控制措施。

10. 10

    NFRA 信息科技外包风险监管办法 银保监办发〔2021〕141号第 5、11、17、21、32、34 至 36、38 条；NFRA 操作风险管理办法（2023 年第 5 号令）第 29 至 31 条（中文文本）

    管理外包与操作风险

    文本的内容

    NFRA 信息科技外包办法规定，不得将信息科技管理责任和网络安全主体责任外包；涉及信息科技战略管理、信息科技风险管理、信息科技内部审计及其他有关信息科技核心竞争力的职能不得外包。重要外包应在签订合同前开展尽职调查，合同中应明确合规、服务持续性、审计权利、安全保密和事件报告等条款，并对开发交付物（含源代码）进行安全扫描和检查。网络和信息安全措施包括对服务提供商人员按“必需知道”和“最小授权”原则授权、严格管控远程维护、持续监测敏感信息泄露风险，以及定期对外包活动进行安全评估。对重要的非驻场外包，原则上每三年覆盖一次实地检查；每年至少开展一次全面的外包风险管理评估；至少每三年审计所有重要外包。客户个人信息泄露等重大事件应按规定报告，其他要求未规定时限的，应在 24 小时内报告。操作风险办法要求建立网络安全、数据安全和业务外包风险管理制度，并与业务连续性相衔接。

    来源：NFRA 信息科技外包风险监管办法 银保监办发〔2021〕141号第 5、11、17、21、32、34 至 36、38 条；NFRA 操作风险管理办法（2023 年第 5 号令）第 29 至 31 条（中文文本）

    对您的移动应用意味着什么

    您的应用依赖的每个 SDK、测试供应商和云服务都在这个框架内，测试证据是监控安全义务的方式。

    Ostorlab 如何提供帮助

    Ostorlab 测试应用及其内部组件，按版本列出 SDK 和原生库及其版本号，映射到已知漏洞并逐版本跟踪关闭情况，让第三方组件也有自己的证据。

    仍由您负责的部分

    尽职调查、合同、服务商人员的访问控制、实地检查、年度评估和事件报告。

本页概述了 PBOC、NFRA、工信部、NIFA 和全国人大的公开文本，核对日期为2026年9月27日。仅以中文发布的文本以概要呈现并标注（中文文本）。本页不构成法律意见。