QCB 针对您的客户所使用的移动银行应用的规则。

1. 01

   QCB 技术风险条例，9.4.2.2

   在整个生命周期内测试 Web 和移动应用

   文本的内容

   银行应在 Web 和移动应用的整个生命周期内开展应用安全测试：实施前、实施后以及任何重大变更后。报告须与相关方共享，并跟踪直至关闭。

   来源：QCB 技术风险条例，9.4.2.2

   对您的移动应用意味着什么

   每个带来重大变更的应用版本都需要在上线前和上线后进行安全测试，每项发现都需要有负责人和关闭日期。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描，并在无需手动触发的情况下监控商店版本。发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   确定何为重大变更，以及与相关方共享报告。

2. 02

   QCB 技术风险条例，9.4.2.3 和 9.4.3.3

   每年两次漏洞评估、代码审查和渗透测试

   文本的内容

   银行应每年针对整个应用基础设施至少开展两次漏洞评估、代码审查和渗透测试，必要时可更频繁，并每年开展两次渗透测试演练，必要时可增加次数。

   来源：QCB 技术风险条例，9.4.2.3 和 9.4.3.3

   对您的移动应用意味着什么

   您的移动应用及其背后的 API 每年至少需要两轮评估和渗透测试。除非您增加测试，两轮之间的发布都未经测试。

   Ostorlab 如何提供帮助

   快速扫描通常在 1 到 5 分钟内完成，完整扫描需要 15 到 45 分钟，因此适合每次发布。AI 智能体渗透测试更加深入，通常需要几个小时，AI 智能体的每个发现都附有可重放的有效漏洞利用，适用于关键变更和您的定期深度测试。

   仍由您负责的部分

   安排每年两次的演练、选择测试人员，以及应用之外的基础设施测试。

3. 03

   QCB 技术风险条例，9.4.3.1 至 9.4.3.4

   结合工具与人工，并与上次结果对比

   文本的内容

   结合使用自动化工具和人工技术开展全面的漏洞评估，遵循 OWASP、OSSTMM 或 SANS 等实践。将结果与以往扫描进行对比，以验证漏洞已得到处理，与高级管理层共享行动计划，并每半年审查一次已接受的风险。

   来源：QCB 技术风险条例，9.4.3.1 至 9.4.3.4

   对您的移动应用意味着什么

   在下一轮中再次出现的发现意味着修复失败。您需要每个应用的扫描历史来证明其中的差异。

   Ostorlab 如何提供帮助

   由您的安全团队或第二道防线团队执行测试并掌握结果。每项发现都附有风险等级、复现步骤、请求和响应日志以及截图，复测会确认底层问题是否已解决。

   仍由您负责的部分

   人工测试、提交给高级管理层的行动计划以及风险接受决策。

4. 04

   QCB 技术风险条例，9.4.2.4、9.7.1.1、9.7.1.4 和 9.7.2.1

   安全开发与源代码审查

   文本的内容

   依据 OWASP、CERT 安全编码标准和 MITRE CWE 制定安全应用开发指南。开展源代码审查，查找由编码问题、不良实践或恶意企图导致的漏洞，并审查应用以确定其是否试图建立任何外部连接。

   来源：QCB 技术风险条例，9.4.2.4、9.7.1.1、9.7.1.4 和 9.7.2.1

   对您的移动应用意味着什么

   代码审查应覆盖应用中实际发布的内容，包括第三方 SDK，您还应了解应用及其 SDK 与哪些后端通信。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Ostorlab 显示应用及其 SDK 通过网络与后端交换的内容，并列出每个版本中的 SDK 和原生库。

   仍由您负责的部分

   编写开发指南、审查应用之外的源代码，以及源代码托管。

5. 05

   QCB 技术风险条例，8.10.2.9、8.10.2.13 和 10.10.3

   保护认证免受重放和劫持攻击

   文本的内容

   使用中的系统认证数据必须受到保护，不易受到重放、中间人和会话劫持等攻击。认证失败不超过三次后必须暂停访问。对于网上银行，银行必须对交易签名实施双因素认证。

   来源：QCB 技术风险条例，8.10.2.9、8.10.2.13 和 10.10.3

   对您的移动应用意味着什么

   应用及其 API 中的令牌、一次性验证码和会话处理必须能够抵御重放和劫持，交易签名必须在服务器端要求第二因素。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户登录，完成短信、电子邮件或 TOTP 一次性验证码，并测试登录和注销、令牌刷新、超时、会话失效以及 MFA 强制执行，包括增强验证流程。

   仍由您负责的部分

   密码策略、锁定参数和员工访问管理。

6. 06

   QCB 技术风险条例，10.10.8

   针对中间人攻击测试网上银行

   文本的内容

   银行应对其网上银行系统开展漏洞评估和渗透测试，以尽量减少遭受中间人、浏览器中间人或应用中间人等网络攻击的风险。

   来源：QCB 技术风险条例，10.10.8

   对您的移动应用意味着什么

   对移动应用而言，应用中间人攻击指设备上的挂钩和篡改，中间人攻击指拦截流量。两者都可以测试。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和已越狱的环境中运行应用，尝试绕过 Root 和越狱检测、防篡改、反插桩以及 TLS 证书固定，并显示应用是会阻止业务流程、拒绝启动，还是继续运行。您将获得加固评分和绕过证据。

   仍由您负责的部分

   选择和配置您的加固或运行时防护产品。

7. 07

   QCB 技术风险条例，10.11.1 至 10.11.3

   保障移动在线服务和支付的安全

   文本的内容

   银行必须为移动在线服务和支付实施安全措施，开展风险评估以识别可能的欺诈场景，并确保对移动在线服务和支付中使用的敏感或机密信息提供充分保护。

   来源：QCB 技术风险条例，10.11.1 至 10.11.3

   对您的移动应用意味着什么

   应用存储和发送的数据，以及支付背后的 API，正是欺诈场景转化为损失的地方。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，并测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为。

   仍由您负责的部分

   欺诈风险评估、实时欺诈监控和客户教育。

8. 08

   QCB 技术风险条例，II 和 7.1

   每年向 QCB 报告合规情况

   文本的内容

   银行必须遵守该通函，至少每年开展一次合规评估，并至少每年向 QCB 提交一次由董事会或董事会授权的委员会签署的合规报告。重大差距需要采取补救措施，QCB 可随时对银行进行审计。

   来源：QCB 技术风险条例，II 和 7.1

   对您的移动应用意味着什么

   您的年度报告需要证据，表明应用和 API 测试已按要求开展，且发现已得到修复。

   Ostorlab 如何提供帮助

   扫描结果、附有复现步骤的发现以及复测结果，为您逐个版本留下注明日期的记录，说明应用的控制措施如何接受测试和修复。

   仍由您负责的部分

   合规评估、报告、董事会签字确认以及与 QCB 的沟通。

9. 09

   数据处理与保护条例，7.6、7.7 和 15.1；云计算条例，21.4

   将客户数据保留在卡塔尔境内，包括在供应商处

   文本的内容

   除非 QCB 另行批准，个人信息、敏感个人信息和敏感金融信息的主要存储和处理环境必须位于卡塔尔境内。未经 QCB 批准，不得在境外存储或向境外传输此类数据；根据云计算条例，个人身份信息（PII）和金融信息只能在卡塔尔境内处理。

   来源：数据处理与保护条例，7.6、7.7 和 15.1；云计算条例，21.4

   对您的移动应用意味着什么

   接收应用二进制文件、测试账户和流量捕获的测试供应商，属于您的数据规则所适用的第三方。

   Ostorlab 如何提供帮助

   企业版可在您控制的基础设施上本地部署运行扫描，也可选择将数据驻留在海湾地区。Ostorlab 已通过 SOC 2 Type II 审计。

   仍由您负责的部分

   决定是否有任何客户数据会到达供应商，以及任何 QCB 审批。

本页概述了 QCB 网站上发布的 QCB 文本，核对日期为2026年9月27日。本页不构成法律意见。