HKMA 电子银行规则：在每次发布前后评估您的 移动银行应用。

1. 01

   SPM TM-E-1，3.3.1 至 3.3.3

   独立评估与年度渗透测试

   文本的内容

   作为电子银行风险治理的一部分，高级管理层必须确保在推出任何新的电子交付渠道或对现有服务进行重大增强之前，开展严格的独立评估，验证服务符合适用指引且充分的风险管理控制措施确实到位。如果独立评估制度不包含渗透测试，则必须由具备资质的独立第三方定期测试，至少每年评估一次该 AI 的网上银行以及通过互联网或无线网络提供的金融服务。此外至少每年进行一次正式风险评估。

   来源：SPM TM-E-1，3.3.1 至 3.3.3

   对您的移动应用意味着什么

   移动银行应用就是电子银行渠道。独立评估、年度渗透测试和新兴漏洞的年度审查都应覆盖它，包括它调用的 API。

   Ostorlab 如何提供帮助

   Ostorlab 以登录后状态对应用及其 API 运行 AI 智能体渗透测试，对 APK、AAB 或 IPA 运行 Mobile SAST，并测试运行时防护，且可随时重复，让上线前、每年和每次发布都产出同样的证据。

   仍由您负责的部分

   选择评估方、开展正式风险评估，并在上线前解决重大问题。

2. 02

   SPM TM-E-1，7.1.1 至 7.1.4

   评估移动渠道及其特定风险

   文本的内容

   通过移动设备访问的网上银行存在特定风险：移动平台的安全漏洞；可能窃取客户敏感信息、重定向或隐藏通知及一次性密码、诱骗客户进行未授权交易的恶意软件或应用；设备丢失或被盗；以及客户安全意识较低。AI 应识别并评估这些风险并落实相应安全措施，开展面向移动设备的客户教育，持续查找仿冒银行应用并通知客户。当客户在用于银行的同一设备上接收或生成一次性密码时，需要额外的安全控制措施。

   来源：SPM TM-E-1，7.1.1 至 7.1.4

   对您的移动应用意味着什么

   应用本身也在范围内，而不仅是后端。覆盖层恶意软件、通知拦截、篡改和仿冒应用都是移动特有的威胁，需要您的控制措施加以应对。

   Ostorlab 如何提供帮助

   Mobile SAST 检查二进制文件及其嵌入的 SDK，Mobile Shielding Scan 在运行时测试 Root 和越狱检测、防篡改与证书固定，AI 智能体渗透测试则像欺诈者一样检验应用及其 API。

   仍由您负责的部分

   商店中的仿冒应用监控、客户教育，以及针对同时接收一次性密码的设备所制定的策略。

3. 03

   SPM TM-E-1，4.1.1 至 4.1.8；通函《New Anti-Digital Fraud Measures: E-Banking Security ABC》，2025 年 4 月 14 日，附件

   双因素认证与默认的应用内认证

   文本的内容

   对于网上银行，AI 应在每个登录会话中至少使用一次双因素认证来验证客户身份，之后才能执行高风险交易，包括向未登记的第三方收款人转账、特定账单支付，以及向第三方转让权益或奖励积分。如果高风险交易被判定为可疑，例如设备绑定后不久发生的大额转账，应要求额外确认。自 2025 年起，HKMA 期望拥有移动银行应用的客户，默认通过已绑定设备认证网上银行登录和高风险交易，而不是使用 SMS 一次性密码。新设备绑定和重新绑定应使用人脸识别或同等严格的方法，而不是 SMS 一次性密码；在限定情形下仍允许 SMS 一次性密码时，应适用冷静期并加强欺诈监控。

   来源：SPM TM-E-1，4.1.1 至 4.1.8；通函《New Anti-Digital Fraud Measures: E-Banking Security ABC》，2025 年 4 月 14 日，附件

   对您的移动应用意味着什么

   第二因素必须由服务器在每个关键步骤强制实施，设备绑定认证改变了应用注册和信任设备的方式。两者都是可以测试的行为。

   Ostorlab 如何提供帮助

   认证测试使用您的测试账户覆盖登录与登出、一次性验证码、增强验证和应用内认证流程，以及其背后的 API 调用。

   仍由您负责的部分

   部署设备绑定认证与人脸识别、冷静期规则，以及对客户的说明。

4. 04

   SPM TM-E-1，4.4.1 至 4.4.3 及 5.3.3；通函《Enhancement to security of electronic banking services》，2023 年 10 月 31 日，第 8 项

   会话控制与账户活动工具

   文本的内容

   对于网上银行，AI 应实施有效的会话管理控制，除确有需要外不允许同一电子银行账户并发登录，并记录额外登录尝试的关键数据，如 IP 地址、设备类型和地理位置。客户应能查看和监控账户活动，包括登录日期时间、地理位置和设备信息，并能检索合理较长时间（通常不少于 90 天）内的高风险活动。AI 还应提供便捷的求助渠道，以及及时暂停电子银行账户的机制，重新启用须经过严格认证。

   来源：SPM TM-E-1，4.4.1 至 4.4.3 及 5.3.3；通函《Enhancement to security of electronic banking services》，2023 年 10 月 31 日，第 8 项

   对您的移动应用意味着什么

   并发登录处理、超时、令牌失效、活动查看界面和暂停流程都是可测试的行为，其产生的日志就是证据。

   Ostorlab 如何提供帮助

   Ostorlab 测试登录与登出、令牌刷新、超时和会话失效，包括并发登录尝试，并检查应用及其 API 向存储、缓存和日志写入了什么。

   仍由您负责的部分

   面向客户的活动工具、暂停机制和日志留存。

5. 05

   SPM TM-E-1，5.2.1 及 5.4.1 至 5.4.3；SPM TM-G-1，3.4.1 及 5.3.1

   漏洞评估、威胁监控与补丁管理

   文本的内容

   AI 应建立系统性流程，持续监控针对其互联网基础设施、应用系统和其他组件的安全威胁，并使用自动化工具（必要时辅以人工手段）定期对互联网基础设施和网上银行系统进行漏洞评估，按风险导向处理发现。补丁管理程序应覆盖系统和基础设施组件。TM-G-1 要求明确职责，确保补丁和安全更新被识别、评估、测试并及时应用，并要求保存硬件和设施清单，以控制和跟踪所采购和租赁的硬件与软件。

   来源：SPM TM-E-1，5.2.1 及 5.4.1 至 5.4.3；SPM TM-G-1，3.4.1 及 5.3.1

   对您的移动应用意味着什么

   应用内置的 SDK 和原生库是您交付给客户的软件，存在漏洞的组件清单可能随每次发布而变化。

   Ostorlab 如何提供帮助

   SCA 识别静态编译的库并映射到已知漏洞，逐版本跟踪。发现按严重、高、中、低分级，在平台或 Jira、ServiceNow 中作为工单跟踪，修复发布后重新测试。

   仍由您负责的部分

   基础设施扫描、服务器与设备补丁，以及风险接受决策。

6. 06

   SPM TM-E-1，5.3.1 及 5.3.2；PCICSO 行业实务守则，6.2.22

   安全开发与源代码审查

   文本的内容

   AI 应为其网上银行系统（包括任何应用）保持足够水平的应用系统安全，至少涵盖应用的设计与开发、测试和实现，并参考行业良好实践。在推出网上银行系统或系统变更之前，应进行充分的源代码审查，以识别不符合应用安全标准的内容、可能构成安全威胁或漏洞的代码，以及任何恶意代码。审查应由具备相关专业能力且独立于开发人员的一方进行。PCICSO 行业守则还要求为关键电脑系统建立安全开发流程并保护源代码。

   来源：SPM TM-E-1，5.3.1 及 5.3.2；PCICSO 行业实务守则，6.2.22

   对您的移动应用意味着什么

   审查必须在发布前进行，并覆盖最终进入应用包的第三方组件。

   Ostorlab 如何提供帮助

   Mobile SAST 对 APK、AAB 或 IPA 二进制文件进行分析，并对应用及其嵌入的 SDK 进行污点分析，因此即使只有商店版本也能发现代码问题。

   仍由您负责的部分

   安全编码标准、代码归属，以及对自己源代码的人工审查。

7. 07

   通函《Managing cyber risk associated with third-party service providers》，2023 年 12 月 21 日；通函《Risk Associated with Third-party IT Solutions》，2024 年 9 月 27 日

   管理第三方服务和软件的网络安全风险

   文本的内容

   HKMA 分享了管理第三方服务提供者相关网络安全风险的一整套良好实践，涵盖治理、尽职调查、合同控制和持续监控。在一家安全解决方案供应商的缺陷更新引发全球 IT 事件后，HKMA 提醒 AI 管理第三方依赖：更新部署前先测试、对不经过用户选择的自动更新保持控制，并对第三方 IT 解决方案的故障保持运营韧性，包括依赖其提供关键服务的情形。

   来源：通函《Managing cyber risk associated with third-party service providers》，2023 年 12 月 21 日；通函《Risk Associated with Third-party IT Solutions》，2024 年 9 月 27 日

   对您的移动应用意味着什么

   移动银行应用由第三方 SDK 和服务组装而成。它们的更新周期和故障模式是您风险的一部分，而不只是供应商的。

   Ostorlab 如何提供帮助

   Ostorlab 列出每个版本中的 SDK 和原生库及其版本和在应用包中的位置，并展示应用及其 SDK 通过网络与后端交换的内容。重新测试可证明供应商修复是否真正解决问题。

   仍由您负责的部分

   合同、尽职调查、供应商监控，以及继续使用或更换供应商的决策。

8. 08

   SPM TM-C-1，3.5；通函《Cybersecurity Fortification Initiative 2.0》，2020 年 11 月 3 日；SPM OR-2，4.3 及 7；通函《Strengthening Cyber Resilience amid Artificial Intelligence-Empowered Cyber Threats》，2026 年 6 月 2 日

   C-RAF 2.0、iCAST 与情景测试

   文本的内容

   在 Cybersecurity Fortification Initiative 下，AI 通过 Cyber Resilience Assessment Framework 自我评估：固有风险评估、成熟度评估，以及固有风险被评为中或高的 AI 须进行的情报主导网络攻击模拟测试（iCAST），模拟真实攻击。C-RAF 2.0 为 iCAST 增加了蓝队要求，以衡量检测、响应和恢复能力。TM-C-1 确认 C-RAF 是 HKMA 用于评估网络防御成熟度是否与风险相称的工具。OR-2 另行要求对严重但可信的中断进行情景测试，包括第三方或其供应链的故障。2026 年 6 月，HKMA 要求 AI 检视其控制措施面对前沿 AI 赋能攻击是否仍然适用，并审查第三方服务提供者的网络韧性。

   来源：SPM TM-C-1，3.5；通函《Cybersecurity Fortification Initiative 2.0》，2020 年 11 月 3 日；SPM OR-2，4.3 及 7；通函《Strengthening Cyber Resilience amid Artificial Intelligence-Empowered Cyber Threats》，2026 年 6 月 2 日

   对您的移动应用意味着什么

   iCAST 是由具备资质的一方开展的机构级演练，不是移动应用扫描。把应用和 API 问题先关闭，是让演练不带入已知弱点的前提。

   Ostorlab 如何提供帮助

   Ostorlab 不执行 iCAST 或其他红队演练。它关闭并重新测试您整改计划中的应用和 API 事项，让更大范围的评估从更干净的基础开始。

   仍由您负责的部分

   与具备资质的评估方共同规划和执行 C-RAF 与 iCAST、蓝队演练，以及运营韧性情景测试。

9. 09

   PCICSO 行业实务守则，2026 年 6 月 2 日，6.3.4 至 6.3.7 及 6.4；PCICSO（第 653 章）第 24 及 25 条

   PCICSO：法定风险评估、渗透测试与审计

   文本的内容

   自 2026 年 1 月 1 日起，《保护关键基础设施（电脑系统）条例》对被指定的运营者施加法定义务，金融管理专员也为其指定为关键基础设施运营者的 AI 发布了行业实务守则。电脑系统安全风险评估必须覆盖关键电脑系统的所有应用、主机和网络设备，并包含漏洞评估和渗透测试。渗透测试应从潜在攻击者的角度或基于威胁情报开展，覆盖网络安全、系统软件安全、客户端应用安全和服务端应用安全。首次评估须在被指定后 12 个月内完成，此后至少每 12 个月一次；独立审计至少每 24 个月一次。报告必须列出每个发现的优先级，以及含时间表和责任方的处理计划。

   来源：PCICSO 行业实务守则，2026 年 6 月 2 日，6.3.4 至 6.3.7 及 6.4；PCICSO（第 653 章）第 24 及 25 条

   对您的移动应用意味着什么

   客户端应用安全被明确点名，因此移动应用属于法定测试范围，每个发现都需要证据和可跟踪的处理计划。

   Ostorlab 如何提供帮助

   Ostorlab 测试应用及其 API，并按发现产出证据：可重放的有效漏洞利用、请求与响应日志、组件清单和重新测试结果，可直接附入评估报告。

   仍由您负责的部分

   委任具备资质的评估方和独立审计师、网络与基础设施测试，以及提交报告。

10. 10

    SPM TM-E-1，4.3.1、4.4.5 及 5.1.1；《个人资料（私隐）条例》（第 486 章）第 4 项保护资料原则

    保护设备上和传输中的客户数据

    文本的内容

    AI 应采用安全且国际公认的强加密，保护通过外部网络传输的客户信息，以及存储在本地的高度敏感信息（如登录凭据），并实施可靠的密钥管理。应提醒客户有义务采取合理防范措施保护其设备和认证因素。监管手册提醒 AI 须遵守《个人资料（私隐）条例》，该条例要求资料使用者采取所有切实可行的步骤，保护个人资料免受未获授权或意外的查阅、处理、删除、丧失或使用。

    来源：SPM TM-E-1，4.3.1、4.4.5 及 5.1.1；《个人资料（私隐）条例》（第 486 章）第 4 项保护资料原则

    对您的移动应用意味着什么

    令牌、凭据和个人数据不应以明文留在应用存储、缓存、日志或截图中，传输保护应能经受攻击。

    Ostorlab 如何提供帮助

    Ostorlab 查找本地存储、缓存、日志和截图中的会话令牌和个人数据，检查传输保护和证书固定绕过，并发现应用包中的密钥和凭据。

    仍由您负责的部分

    数据分类、密钥管理、私隐声明、留存和泄露处置。

HKMA 公开文本与 PCICSO 行业守则的摘要，核对日期为 2026 年 9 月 27 日。条款编号和表述遵循英文文件。本页不构成法律意见。