OJK 网络安全测试：针对客户使用的移动银行应用。

1. 01

   POJK 11/POJK.03/2022，第 21 条；SEOJK 29/SEOJK.03/2022，IV.2

   了解您的资产、威胁和漏洞

   文本的内容

   银行必须至少通过四个流程保持网络韧性：识别资产、威胁和漏洞；保护资产；检测网络事件；以及对网络事件进行响应和恢复。识别包括 IT 资产（包括软件）的清点和评估、漏洞识别和网络动态监测，以及定期开展网络安全测试。

   来源：POJK 11/POJK.03/2022，第 21 条；SEOJK 29/SEOJK.03/2022，IV.2

   对您的移动应用意味着什么

   您的移动应用、其中的 SDK 以及它调用的 API 都是 IT 资产。只有了解每个版本包含什么，您才能说清其漏洞在哪里。

   Ostorlab 如何提供帮助

   Ostorlab 显示您应用每个版本包含的内容：第三方 SDK 和原生库及其版本和在应用包中的位置，应用及其 SDK 通过网络与后端交换的内容，以及应用收集和共享的个人数据。

   仍由您负责的部分

   其余 IT 资产的清单、其重要性分级以及风险登记册。

2. 02

   POJK 11/POJK.03/2022，第 23 条和第 24 条及其释义；SEOJK 29/SEOJK.03/2022，VII.2

   开展基于漏洞的测试，包括渗透测试

   文本的内容

   银行必须开展基于漏洞分析和基于场景的网络安全测试。基于漏洞的测试（例如渗透测试）必须定期开展，频率由银行根据系统重要性和增加网络风险暴露的变更等因素确定。测试从漏洞识别开始，随后进行渗透测试，运营数字银行服务或其他在线服务的银行必须开展此类测试。

   来源：POJK 11/POJK.03/2022，第 23 条和第 24 条及其释义；SEOJK 29/SEOJK.03/2022，VII.2

   对您的移动应用意味着什么

   移动银行应用属于在线服务，因此在测试范围内。OJK 未设定固定频率，而是由您自己的评估决定；改变应用暴露面的新版本正是通函所指的那类变更。

   Ostorlab 如何提供帮助

   快速扫描通常在 1 到 5 分钟内完成，完整扫描需要 15 到 45 分钟，因此适合每次发布。AI 智能体渗透测试更加深入，通常需要几个小时，AI 智能体的每个发现都附有可重放的有效漏洞利用，适用于关键变更和您的定期深度测试。

   仍由您负责的部分

   确定测试频率，以及对应用及其 API 之外的网络、服务器和其他系统进行测试。

3. 03

   SEOJK 29/SEOJK.03/2022，附录 I.b，控制项 4.1.b 和 4.2.c

   将移动应用纳入渗透测试计划

   文本的内容

   网络安全风险管理的评估标准会审视银行是否制定了充分的计划，定期对 Web 应用、客户端应用、移动应用、无线网络、服务器和网络设备开展漏洞识别或渗透测试。内部审计会审查是否将漏洞识别工具作为渗透测试的起点，以及是否使用专用的非管理员账户进行测试。

   来源：SEOJK 29/SEOJK.03/2022，附录 I.b，控制项 4.1.b 和 4.2.c

   对您的移动应用意味着什么

   移动应用在该计划中被明确列出。自动化识别为渗透测试提供输入，测试账户应专用、受控，并在测试后删除。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用，保持已认证会话，并捕获流量、堆栈跟踪和截图。随后，AI 智能体渗透测试使用您的测试账户，测试登录后的业务逻辑。

   仍由您负责的部分

   计划文件、测试账户及其生命周期，以及计划中的其他资产类型。

4. 04

   SEOJK 29/SEOJK.03/2022，IV.3.i 和附录 I.c，控制项 2.i

   安全编码以及投入生产前的源代码审查

   文本的内容

   银行确保在系统和应用开发中采用安全编码。开发至少应将安全编码实践作为系统开发生命周期的一部分，审查源代码以发现软件漏洞（尤其是在投入生产之前），并定期审查和测试自主开发或由第三方开发的软件的安全性。

   来源：SEOJK 29/SEOJK.03/2022，IV.3.i 和附录 I.c，控制项 2.i

   对您的移动应用意味着什么

   无论应用由您的团队还是供应商构建，每个版本在上架商店之前都应接受漏洞检查，而那些并非由您编写的 SDK 也是该软件的一部分。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描，并在无需手动触发的情况下监控商店版本。Mobile SAST 基于二进制文件工作，因此也能覆盖您没有源代码的第三方代码；SCA 则识别基于清单文件的扫描器可能遗漏的静态编译库的指纹。

   仍由您负责的部分

   您的安全编码标准、服务器端代码的源代码审查以及发布审批环节。

5. 05

   POJK 21/2023，第 5 条和第 9 条；SEOJK 29/SEOJK.03/2022，附录 I.c，控制项 2.g

   双因素认证以及高风险交易的一次性密码

   文本的内容

   银行必须至少采用两种认证因素来验证金融交易，可以逐笔验证，也可以根据银行的风险分析和客户同意设定限额。对于通过电子方式进行的远程开户，两种因素之一必须是生物特征因素。通函的标准包括对高风险交易进行一次性密码验证、对访问敏感数据实施 MFA，以及对密码尝试次数和不活动状态的控制。

   来源：POJK 21/2023，第 5 条和第 9 条；SEOJK 29/SEOJK.03/2022，附录 I.c，控制项 2.g

   对您的移动应用意味着什么

   第二因素必须由服务器强制执行，而不仅仅是在应用中显示。没有它，转账、收款人变更和其他高风险操作都不应被放行。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户完成短信、电子邮件或 TOTP 一次性验证码，测试 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及账户变更背后的 API 调用。

   仍由您负责的部分

   认证因素的选择、交易限额背后的风险分析、客户同意以及客户教育。

6. 06

   POJK 21/2023，第 21 条；SEOJK 29/SEOJK.03/2022，附录 I.c，控制项 2.e

   控制对客户数据和交易的访问

   文本的内容

   银行必须在用于数字服务的每个电子系统中，对客户数据和交易应用安全控制原则，至少涵盖机密性、完整性、可用性、认证、不可否认性、系统、数据库和应用中的授权控制、职责分离、审计跟踪以及数据保留。通函还要求银行保护静态、使用中和传输中的数据。

   来源：POJK 21/2023，第 21 条；SEOJK 29/SEOJK.03/2022，附录 I.c，控制项 2.e

   对您的移动应用意味着什么

   授权是在 API 中检查的，而不是在应用界面上。在请求中修改账号的客户不应看到其他人的数据。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为，并为每项发现提供请求和响应证据。

   仍由您负责的部分

   职责分离、审计跟踪、数据保留以及核心银行系统中的控制措施。

7. 07

   POJK 21/2023，第 13(3) 条和第 13(4) 条及其释义，附录 I

   推出新数字服务前的独立审查

   文本的内容

   对于符合新产品标准的数字服务，许可申请必须包括独立方就产品特性、产品 IT 系统安全的充分性以及合规性所作审查的结果。对于首次提供的数字服务，审查由银行以外的独立方执行，例如 IT 安全顾问。申请还包括所有安全测试结果、所采用的双因素认证以及加密方式。

   来源：POJK 21/2023，第 13(3) 条和第 13(4) 条及其释义，附录 I

   对您的移动应用意味着什么

   推出新的交易类应用或会增加风险暴露的功能，需要在 OJK 授予许可前提供安全证据。您自行测试所发现的问题，最好在独立审查开始前修复。

   Ostorlab 如何提供帮助

   在应用上架商店之前，于发布流水线中运行 Mobile SAST 和 DAST，并由 AI 智能体对新流程进行渗透测试。每项发现都附有风险评级、复现步骤、请求和响应日志以及截图，复测则确认根本问题是否已解决。

   仍由您负责的部分

   许可申请、独立审查方的选择以及由董事签署的声明。

8. 08

   POJK 11/POJK.03/2022，第 24 条和第 25 条；SEOJK 29/SEOJK.03/2022，VII.4；PADK 1/2026，附录 II 和格式 3.2.14

   向 OJK 和董事会报告测试结果

   文本的内容

   测试结果提交给董事会，作为改进的依据。基于漏洞的测试结果作为 IT 实施现状年度报告的一部分向 OJK 报告，须于次年1月21日前提交，内容包括范围（受测资产和环境）、方法（白盒、黑盒或灰盒）、发现及其严重程度、业务影响以及后续跟进状态。基于场景的测试报告须在测试后 10 个工作日内提交。

   来源：POJK 11/POJK.03/2022，第 24 条和第 25 条；SEOJK 29/SEOJK.03/2022，VII.4；PADK 1/2026，附录 II 和格式 3.2.14

   对您的移动应用意味着什么

   到年底时，应用的每项发现都需要有严重程度、影响说明和后续跟进状态。逐个版本保留记录，1月的报告就只需汇总，而不必临时赶工。

   Ostorlab 如何提供帮助

   发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。扫描结果、附有复现步骤的发现以及复测结果，为您逐个版本留下注明日期的记录，说明应用的控制措施如何接受测试和修复。

   仍由您负责的部分

   报告本身、业务影响评估、向董事会报告以及基于场景的测试。

9. 09

   SEOJK 29/SEOJK.03/2022，VII.5 和 VII.7；POJK 11/POJK.03/2022，第 29 条和第 30 条

   使用第三方时仍须承担责任

   文本的内容

   银行可以自行测试，也可以委托第三方。委托第三方时，银行必须确保其具备开展测试的足够能力（例如通过印度尼西亚国内或国外授权机构的认证或认可来证明），并且银行仍须对测试负责。测试结果必须存档并加以保护，以确保其机密性。与 IT 服务提供商签订的合同须涵盖数据保密、独立审计结果以及 OJK 的访问权。

   来源：SEOJK 29/SEOJK.03/2022，VII.5 和 VII.7；POJK 11/POJK.03/2022，第 29 条和第 30 条

   对您的移动应用意味着什么

   接收您应用二进制文件和测试凭据的 SaaS 测试平台属于 IT 服务提供商，需要经过您的供应商审查流程，其结果也属于机密数据。

   Ostorlab 如何提供帮助

   Ostorlab 已通过 SOC 2 Type II 审计。企业版可选择将数据驻留在亚太地区，也可以本地部署运行扫描；借助 BYOK，AI 在您自己的服务商账户上运行，并可设置单次扫描支出上限。SSO/SAML、基于角色的访问控制和审计日志可作为附加功能提供，企业版已包含。

   仍由您负责的部分

   判断服务商是否满足能力要求、您的尽职调查以及合同条款。

本页概述了 POJK 11/POJK.03/2022、SEOJK 29/SEOJK.03/2022、PADK OJK 2026 年第 1 号和 POJK 21/2023，核对日期为2026年9月27日。这些文本为印度尼西亚语，本页的表述由我们自行撰写。本页不构成法律意见。