CBO 网络安全与韧性框架：在每次发布前后评估您的移动银行应用。

1. 01

   网络安全与韧性框架（CS&RF），3.3.11，控制措施 1 至 5

   对关键系统开展漏洞评估和渗透测试

   文本的内容

   各持牌机构应按信息资产的重要性确定频率，定期开展漏洞评估，以发现信息资产中的安全漏洞。也应根据系统的重要性和机构面临的网络风险敞口开展渗透测试。对于可从外部访问的系统，至少每年一次或在系统发生重大变更或更新时开展渗透测试。机构应建立已发现漏洞的修复流程，并验证修复情况以确保缺口完全消除，同时将发现的漏洞报告给 IT 与风险管理委员会。还应定期开展网络模拟演练。

   来源：网络安全与韧性框架（CS&RF），3.3.11，控制措施 1 至 5

   对您的移动应用意味着什么

   移动银行应用及其背后的 API 属于可从外部访问的系统。框架期望的是固定频率、经过验证的修复流程和向委员会报告，而不是一次性的测试。

   Ostorlab 如何提供帮助

   Ostorlab 针对您发布的版本，在登录后由 AI 智能体对应用及其 API 进行渗透测试，并在 CI/CD 中运行 Mobile SAST 和 DAST。AI 智能体的每个发现都附有可重放的有效漏洞利用，修复后通过复测确认。

   仍由您负责的部分

   设定频率、测试服务器、VPN 设备及其他平台、开展模拟演练，以及向 IT 与风险管理委员会报告。

2. 02

   数字银行监管框架，第 25/2025 号决定，6.1(o)、6.1(s)、11.1 和 11.3

   满足数字银行框架的安全期望

   文本的内容

   申请人及持牌数字银行必须证明其遵守《银行法》和《国家支付系统法》、网络安全与韧性框架、数字开户与电子 KYC 指引、反洗钱框架、反欺诈框架，以及外包和云服务规则。其业务计划必须展示事前技术准备，例如零信任架构、PCI-DSS 等行业级认证，以及识别、保护、检测、响应和恢复网络威胁的措施。中央银行可要求申请人自费聘请合格的第三方评估机构，在其运营的不同阶段开展漏洞评估和渗透测试。

   来源：数字银行监管框架，第 25/2025 号决定，6.1(o)、6.1(s)、11.1 和 11.3

   对您的移动应用意味着什么

   如果您正在建设或运营数字银行，应用和 API 层正是框架的网络安全、e-KYC 和反欺诈要求交汇之处。

   Ostorlab 如何提供帮助

   Ostorlab 提供应用和 API 侧的技术测试：AI 智能体渗透测试、认证测试和 API 测试，并为每项结果提供证据。Ostorlab 不是牌照评估机构，也不做 PCI-DSS 认证。

   仍由您负责的部分

   牌照申请和业务计划、评估机构的选择，以及零信任、反欺诈和云治理等更广泛的计划。

3. 03

   CS&RF，3.3.2，控制措施 1 至 4

   保护应用层及其所用组件

   文本的内容

   应用配置应符合适用的信息安全政策和程序，关键应用的审计轨迹必须保留，并在发生事件时进行审查。每个需要网络访问的应用都必须记录风险分析。机构应制定关于第三方代码和开源代码使用的政策和程序，并对自研和定制开发的应用开展源代码审查和测试，以发现由编码问题、不良编码实践或恶意尝试引发的漏洞。

   来源：CS&RF，3.3.2，控制措施 1 至 4

   对您的移动应用意味着什么

   移动银行应用是自研代码与第三方 SDK 的组合。框架期望两者都受到治理和测试，而不仅是后端。

   Ostorlab 如何提供帮助

   Mobile SAST 无需源代码即可分析 APK、AAB 或 IPA，并对应用及其嵌入的 SDK 进行污点分析。SCA 与 SBOM 列出每个版本中的第三方和原生组件，并将其与已知漏洞对应。

   仍由您负责的部分

   安全编码标准、人工代码审查、配置基线，以及开源使用政策。

4. 04

   CS&RF，3.5.2，控制措施 1 和 2；BM 1153，附录 6(xxi) 和 6(xxii)

   对电子银行强制实施 MFA 和会话控制

   文本的内容

   机构应设计相对强固可靠的多因素认证方式，并考虑对注册、登录、密码重置、新增或变更收款人、超过预设限额的高额交易，以及新增政府和公共事业缴费服务实施 MFA。在线会话应在固定时间后自动终止，除非重新认证；超过预设金额的交易、第三方收款人登记、账户信息变更和转账限额调整应使用短信或电子邮件等第二渠道确认程序。

   来源：CS&RF，3.5.2，控制措施 1 和 2；BM 1153，附录 6(xxi) 和 6(xxii)

   对您的移动应用意味着什么

   服务器必须在上述每一项操作中强制实施 MFA，包括应用或攻击者跳过某个步骤的情况；会话到期和第二渠道确认都是可以测试的行为。

   Ostorlab 如何提供帮助

   认证测试覆盖登录和注销、一次性验证码、增强验证流程、令牌刷新、超时和会话失效，以及注册和收款人变更背后的 API 调用。

   仍由您负责的部分

   MFA 方式和第二渠道的选择与部署，以及客户沟通。

5. 05

   CS&RF，3.5.2，控制措施 8 和 12；BM 1153，附录 6(xxv) 和 6(xxxi)(f)

   将移动银行限定在官方渠道，扣款必须双因素

   文本的内容

   机构应仅通过官方应用商店或其他安全交付渠道提供网上和移动银行服务，并为其在线服务（包括社交媒体）建立品牌保护，实施检测措施以移除恶意网站和应用。移动银行服务应确保适当的风险缓释措施，例如交易限额、交易速度限制以及反欺诈和反洗钱检查。所有涉及账户扣款的移动银行交易仅应通过双因素认证进行，并应在移动银行交易处理的各个阶段确保安全。当第三方参与电子银行业务时，机构应以责任条款约束第三方，应对其系统带来的安全威胁。

   来源：CS&RF，3.5.2，控制措施 8 和 12；BM 1153，附录 6(xxv) 和 6(xxxi)(f)

   对您的移动应用意味着什么

   商店版本是您面向客户的渠道。仿冒应用和被篡改的版本、绕过第二因素的扣款、只存在于界面上的限额，都是框架期望您管控的事项。

   Ostorlab 如何提供帮助

   Ostorlab 在每次发布时扫描商店版本，并在运行时测试 Root 和越狱检测、防篡改和 TLS 证书固定，让您了解哪些防护有效、哪些被绕过。同时测试双因素校验和交易限额是否在服务器端生效。

   仍由您负责的部分

   商店监控和仿冒应用的移除流程、交易与速度限额本身，以及供应商责任条款。

6. 06

   CS&RF，3.3.8，补丁管理措施；BM 1153，附录 6(xx)

   按时修复补丁并掌握组件情况

   文本的内容

   机构应在风险评估之后，按照补丁管理政策对操作系统、网络和基础设施设备、安全软件以及远程访问计算机进行更新和补丁修复。应持续监控供应商发布的补丁，确保关键补丁在生产环境之前先在测试环境中验证；如果补丁导致关键应用故障，应制定其他阻断漏洞利用的缓释措施。对于从供应商采购的应用，机构应取得书面应用完整性声明，确认应用不含恶意软件、缺陷和隐蔽通道；并应至少每年一次对应用和网络开展风险管理分析与安全漏洞评估。

   来源：CS&RF，3.3.8，补丁管理措施；BM 1153，附录 6(xx)

   对您的移动应用意味着什么

   应用中的每个库、SDK 和原生组件都是您交付的软件。每一个都需要明确的版本、问题出现时的严重性评级，以及可证明的修复期限。

   Ostorlab 如何提供帮助

   SCA 识别静态编译库的指纹，并逐个版本将其与已知漏洞对应。发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   服务器和基础设施的补丁修复、供应商维护合同、缓释措施以及风险接受决策。

7. 07

   CS&RF，3.3.5 和 3.5.1(7)；《个人数据保护法》（第 6/2022 号苏丹令）第 13、14、15、19 条，经第 68/2026 号苏丹令修订

   保护设备上和传输中的个人数据

   文本的内容

   机构应实施终端、外设和网络的数据防泄漏（DLP）解决方案，并对登录凭据和卡数据等敏感信息实施静态和传输中的端到端加密。根据《个人数据保护法》，控制者和处理者必须建立健全处理的控制措施和程序，包括数据主体面临的风险以及保障法律实施的技术措施；使用自动化处理时必须保护隐私和机密性；处理目的结束时必须删除个人数据；发生个人数据泄露时必须通知主管部门和数据主体。向阿曼境外传输个人数据须遵守实施条例中的控制要求。

   来源：CS&RF，3.3.5 和 3.5.1(7)；《个人数据保护法》（第 6/2022 号苏丹令）第 13、14、15、19 条，经第 68/2026 号苏丹令修订

   对您的移动应用意味着什么

   密码、令牌和卡数据绝不应以明文形式留在手机上，也不应在未受保护的情况下传输到后端；应用收集的个人数据受数据保护法约束。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，并检查会削弱传输和会话保护的错误配置。

   仍由您负责的部分

   数据分类、同意告知、数据保护官的职责、向主管部门和数据主体通报泄露，以及传输评估。

8. 08

   CS&RF，3.3.10，控制措施 1 至 4

   严格管控访问和凭据

   文本的内容

   机构应制定、批准并监督访问管理政策，在向员工、承包商和第三方供应商授予访问权限时应用职责分离、按需知情和最小权限原则。用户访问活动的记录应唯一记录并可识别，以供审计和调查；对于远程访问和支持关键功能的系统的特权访问，应基于风险评估使用多因素认证等额外认证机制。

   来源：CS&RF，3.3.10，控制措施 1 至 4

   对您的移动应用意味着什么

   遗留在应用包中的 API 密钥、令牌和其他凭据，是任何下载应用的人都能提取的访问权限；应用、后端和外部服务之间的授权必须在每个边界上都有效。

   Ostorlab 如何提供帮助

   Ostorlab 在应用包中查找 API 密钥、令牌和凭据，并验证它们是否可用，同时测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）以及令牌和会话的滥用。

   仍由您负责的部分

   特权账户管理、访问审查、入职与离职流程，以及第三方访问控制。

9. 09

   CS&RF，3.5.2，控制措施 14(a) 至 (e)

   测试 e-KYC 和开户流程的安全性

   文本的内容

   e-KYC 使机构能够以电子方式数字化接纳新客户并更新了解你的客户信息。机构应在 e-KYC 方案上线前开展网络安全评估，并定期评估该技术在缓解网络威胁风险和欺诈风险方面的有效性。身份识别与验证流程应采用适当组合的多因素认证，应用必须使用实时安全的端到端加密，并且应保留识别和验证过程中收集的数字足迹和日志，包括 IP 地址等补充数据。视频记录应安全存储，并保留日期和时间戳。

   来源：CS&RF，3.5.2，控制措施 14(a) 至 (e)

   对您的移动应用意味着什么

   开户流程在账户开立之前就通过移动应用进行。加密、MFA 组合和证据链条都是您可以测试的应用与 API 流程。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户和身份证件完成开户和 e-KYC 流程，并测试其背后的 API 调用，包括 MFA 强制执行、会话处理和传输保护。

   仍由您负责的部分

   身份验证产品、活体检测和证件核验、视频存储，以及开户数据的保留政策。

本页概述 CBO 的公开文本和《个人数据保护法》，核对日期为2026年9月27日。网络安全与韧性框架作为 BM 1194 号通函的附件发布，条款摘要依据框架文本。本页不构成法律意见。