FSA 网络安全指南：在每次发布前后评估您的移动银行应用。

1. 01

   FSA《金融领域网络安全指南》，2.2.4，基本措施

   定期评估移动应用和公开 API

   文本的内容

   根据风险水平和系统重要性，定期开展漏洞评估和渗透测试。确定范围、频率和时机，包括在系统发布之前。对于网上银行网站和公开 API 等可公开访问的网站，同时开展平台评估和 Web 应用评估。对移动应用开展漏洞评估。对发现进行优先级排序，设定响应期限，并及时向高级管理层报告重大发现。

   来源：FSA《金融领域网络安全指南》，2.2.4，基本措施

   对您的移动应用意味着什么

   移动应用评估是一项明确列出的基本措施。应用及其调用的 API 应在发布前并按固定周期接受评估。

   Ostorlab 如何提供帮助

   Mobile SAST 分析二进制文件（包括嵌入的 SDK），Mobile DAST 测试运行中的应用，两者都在 CI/CD 中运行。AI 智能体渗透测试覆盖登录后的应用及其 API，AI 智能体的每个发现都附有可重放的有效漏洞利用。

   仍由您负责的部分

   设定频率、对服务器和 VPN 设备的平台评估，以及向高级管理层报告。

2. 02

   FSA《金融领域网络安全指南》，2.2.4，建议措施 (b) 至 (d)

   考虑开展威胁主导的渗透测试

   文本的内容

   作为建议措施，定期开展威胁主导的渗透测试（TLPT）：由具备必要经验和技能的供应商执行，基于威胁情报设计贴近现实的威胁场景，并在不事先通知蓝队的情况下在生产环境中测试。定期审查渗透测试的方法和结果，并考虑更换测试供应商，以获得全新且独立的视角。

   来源：FSA《金融领域网络安全指南》，2.2.4，建议措施 (b) 至 (d)

   对您的移动应用意味着什么

   TLPT 主要面向大型机构。它测试的是您的整体防御，而不仅仅是应用；在已知的应用和 API 问题已修复的情况下效果最佳。

   Ostorlab 如何提供帮助

   Ostorlab 不执行 TLPT，也不取代 TLPT。它帮助您在开展 TLPT 前修复已知的应用和 API 问题，并在之后复测修复计划中的应用和 API 事项。

   仍由您负责的部分

   确定 TLPT 的范围并执行测试、选择供应商以及评估蓝队。

3. 03

   FSA《金融领域网络安全指南》，2.2.3；FSA 和日本银行关于前沿 AI 的要求，2026年5月22日

   按期限管理漏洞

   文本的内容

   制定硬件和软件漏洞的管理程序：漏洞信息来源、严重性和影响评估、响应方法和期限，以及例外情况。根据系统重要性、风险和严重性设定补丁期限，保留实施记录，并在例外地不应用修复时获得高级管理层的正式批准。2026年5月，FSA 和日本银行要求各机构优先处理支撑关键服务、可从外部访问的系统（例如网上银行），并指出相关风险也延伸至包括开源组件在内的第三方软件。

   来源：FSA《金融领域网络安全指南》，2.2.3；FSA 和日本银行关于前沿 AI 的要求，2026年5月22日

   对您的移动应用意味着什么

   应用中的库和 SDK 是您交付的软件。每一个都需要明确的版本、漏洞出现时的严重性评级，以及可证明的修复期限。

   Ostorlab 如何提供帮助

   SCA 识别静态编译库的指纹，并逐个版本将其与已知漏洞对应。发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   服务器和基础设施的补丁修复、供应商维护合同以及风险接受决策。

4. 04

   FSA《金融领域网络安全指南》，2.3.4.3；《主要银行等综合监督指针》，III-3-7-1-2(6)

   内建安全，并在发布前后进行测试

   文本的内容

   从金融产品和服务的规划和设计阶段起纳入安全要求，实现安全设计。作为建议措施，制定安全编码标准，在发布前后定期对应用软件开展漏洞评估，并使用源代码分析工具等工具尽早发现漏洞。监督指针还要求银行在开发系统时制定测试计划并进行充分测试。

   来源：FSA《金融领域网络安全指南》，2.3.4.3；《主要银行等综合监督指针》，III-3-7-1-2(6)

   对您的移动应用意味着什么

   应用的每次发布都是对面向互联网渠道的一次变更。流水线中的自动化测试覆盖发布前，对商店版本的扫描覆盖发布后。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描，并在无需手动触发的情况下监控商店版本。Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码。

   仍由您负责的部分

   安全要求、安全编码标准、人工审查和发布审批。

5. 05

   FSA《金融领域网络安全指南》，2.2.1.2 和 2.6

   了解每个版本中包含的内容

   文本的内容

   保存硬件和软件台账，包括软件的版本信息。作为建议措施，为自主开发的软件编制软件物料清单（SBOM）。管理整个供应链中的网络安全风险，并根据第三方的角色、其处理的敏感信息及其系统连接情况对第三方进行识别和评估。

   来源：FSA《金融领域网络安全指南》，2.2.1.2 和 2.6

   对您的移动应用意味着什么

   移动银行应用捆绑了与其自身后端通信的第三方 SDK。它们应纳入您的资产清单和第三方风险视图。

   Ostorlab 如何提供帮助

   Ostorlab 列出每个版本中的 SDK 和原生库及其版本和在应用包中的位置，并显示应用及其 SDK 通过网络与后端交换的内容。

   仍由您负责的部分

   资产台账、第三方尽职调查和合同。

6. 06

   FSA《金融领域网络安全指南》，2.3.1 (3)、(5) 和 (7)

   管理认证和凭据

   文本的内容

   妥善管理设备 ID 和认证凭据，包括嵌入 API 中的凭据。根据系统和信息资产的重要性设定认证要求，例如多因素认证或基于风险的认证。在跨系统和跨安全边界的认证和授权中（包括单点登录和外部认证集成），确保机密性、完整性和真实性。

   来源：FSA《金融领域网络安全指南》，2.3.1 (3)、(5) 和 (7)

   对您的移动应用意味着什么

   遗留在应用包中的 API 密钥和令牌是任何人都能提取的凭据。应用、后端和外部身份服务之间的授权必须在每个边界上都有效。

   Ostorlab 如何提供帮助

   Ostorlab 在应用包中查找 API 密钥、令牌和凭据，并验证它们是否可用。即使启用 TLS 证书固定，它也能拦截应用流量，并测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）以及令牌和会话的滥用。

   仍由您负责的部分

   特权账户管理、访问审查和物理访问控制。

7. 07

   《主要银行等综合监督指针》，III-3-8-2(2)，经2026年2月27日修订（日文文本）

   网上银行的抗钓鱼多因素认证和账户锁定

   文本的内容

   银行应针对登录和取款等关键操作实施抗钓鱼的多因素认证（例如通行密钥或基于 PKI 的认证），并默认强制使用。若在过渡期间提供替代的多因素认证方式，应告知客户相关时间表，并加强行为分析和登录通知等检测手段。银行还应发送通知以发现未经授权的登录和交易，并在连续认证失败后自动锁定账户。

   来源：《主要银行等综合监督指针》，III-3-8-2(2)，经2026年2月27日修订（日文文本）

   对您的移动应用意味着什么

   第二因素必须由服务器在每项关键操作中强制执行，包括应用或攻击者跳过某个步骤的情况。账户锁定和通知都是可以测试的行为。

   Ostorlab 如何提供帮助

   认证测试覆盖登录和注销、令牌刷新、超时、会话失效和 MFA 强制执行（包括增强验证流程），以及其背后的 API 调用。

   仍由您负责的部分

   选择和部署通行密钥或 PKI、行为检测，以及跟踪选择退出的客户比例。

8. 08

   《主要银行等综合监督指针》，III-3-7-1-2(5)（日文文本）

   保护用于认证的联系方式

   文本的内容

   为防止网上银行被滥用，银行应制定适当的程序，确保用于通知或认证存款人的电话号码、电子邮件地址及其他信息无法被冒名登记或篡改。对于非面对面交易，银行应按照网上银行章节的规定保障渠道安全。

   来源：《主要银行等综合监督指针》，III-3-7-1-2(5)（日文文本）

   对您的移动应用意味着什么

   在应用中更改电话号码或电子邮件地址是账户接管的典型步骤。此类变更必须要求强认证，并由后端强制执行。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户完成短信、电子邮件或 TOTP 一次性验证码，测试 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及账户变更背后的 API 调用。

   仍由您负责的部分

   变更程序本身以及客户通知渠道。

9. 09

   FSA《金融领域网络安全指南》，2.3.3；《主要银行等综合监督指针》，III-3-7-1-2(4)

   保护客户数据

   文本的内容

   按重要性对数据进行分类，并根据数据管理政策加以保护，例如采用加密、认证、数据脱敏和访问控制，并在加密密钥的整个生命周期内对其进行管理。监督指针要求银行为 PIN、密码和信用卡数据等机密信息制定加密和脱敏规则。

   来源：FSA《金融领域网络安全指南》，2.3.3；《主要银行等综合监督指针》，III-3-7-1-2(4)

   对您的移动应用意味着什么

   密码、令牌和卡数据绝不应以明文形式留在手机上，也不应在未受保护的情况下传输到后端。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，并检查会削弱传输和会话保护的错误配置。

   仍由您负责的部分

   数据分类、密钥管理、备份和数据防泄漏。

本页概述了 FSA 的公开文本，核对日期为2026年9月27日。监督指针的条目依据日文文本概述。FISC 安全对策基准由 FISC 出售，本页不予引用。本页不构成法律意见。