SAMA 针对您的客户所使用的移动银行应用的规则。

1. 01

   SAMA 网络安全框架，3.2.4

   每年对面向客户和面向互联网的服务进行渗透测试

   文本的内容

   必须定期审查信息资产的网络安全状况。面向客户和面向互联网的服务应接受年度审查和渗透测试。结果、问题和建议措施须予以记录，报告给业务负责人，并持续跟进，直至所有已识别的问题都得到处理。

   来源：SAMA 网络安全框架，3.2.4

   对您的移动应用意味着什么

   移动银行应用及其调用的 API 属于面向客户和面向互联网的服务。它们至少需要每年进行一次审查和渗透测试，并需要记录每个已发现问题都已关闭。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试在登录后测试应用及其 API，通常需要几个小时，AI 智能体的每个发现都附有可重放的有效漏洞利用。发现以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   年度审查本身、测试人员的选择以及提交给业务负责人的报告。

2. 02

   SAMA 网络安全框架，3.3.7；IT 治理框架，3.4.4 和 3.4.5

   每项变更上线前都进行安全测试

   文本的内容

   变更管理必须包括安全测试，在适用的情况下涵盖渗透测试和代码审查；在无法提供源代码时，则提供代码审查报告或同等材料，例如独立的鉴证声明。IT 治理框架还规定，所有变更都须在独立的测试环境中进行测试，安全测试属于最低限度的测试类型之一。

   来源：SAMA 网络安全框架，3.3.7；IT 治理框架，3.4.4 和 3.4.5

   对您的移动应用意味着什么

   应用的每个新版本都是一项变更。它在上架商店之前应通过安全测试，包括您没有源代码的第三方代码。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用，保持登录会话，并捕获流量、堆栈跟踪和截图。两者都从您的 CI/CD 流水线对每个构建运行。

   仍由您负责的部分

   变更咨询委员会的审批、用户验收测试，以及确定何种材料可视为同等的鉴证声明。

3. 03

   SAMA 网络安全框架，3.3.6

   制定并测试应用安全标准

   文本的内容

   定义、批准并实施应用的网络安全标准，监控合规情况并定期评估其有效性。开发遵循经批准的安全 SDLC，该标准涵盖安全编码、身份和访问管理、保护客户数据免遭未经授权的访问和泄露，以及漏洞与补丁管理。

   来源：SAMA 网络安全框架，3.3.6

   对您的移动应用意味着什么

   您针对应用的安全编码和数据保护规则，需要有证据表明它们在您发布的版本中有效，而不只是写在政策里。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，在应用包中查找 API 密钥、令牌和凭据，并列出每个版本中的 SDK 和原生库及其版本。

   仍由您负责的部分

   编写标准、SDLC 方法论以及职责分离。

4. 04

   SAMA 网络安全框架，3.3.17；第 381000091275 号通函

   按设定的频率开展漏洞管理

   文本的内容

   定义并实施针对应用和基础设施漏洞的漏洞管理流程。该流程涵盖所有信息资产、基于风险的扫描频率、漏洞分类、按分类设定的缓解时限，以及补丁管理。SAMA 随后发布的一份通函要求银行制定路线图，在2022年第三季度末前使漏洞管理达到成熟度第 4 级。

   来源：SAMA 网络安全框架，3.3.17；第 381000091275 号通函

   对您的移动应用意味着什么

   应用及其库中的发现需要有分类、期限和关闭证明，并按照您能够论证其合理性的频率执行。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描，并在无需手动触发的情况下监控商店版本。发现会被评为严重、高、中或低风险，并在修复发布后进行复测。SCA 通过指纹识别基于清单文件的扫描器可能遗漏的静态编译库。

   仍由您负责的部分

   设定缓解时限，以及对其余资产的扫描。

5. 05

   SAMA 网络安全框架，3.3.13

   加固网上银行和移动银行渠道

   文本的内容

   电子银行服务安全标准针对网上银行和移动银行，涵盖使用官方应用商店和网站、检测并下架恶意应用和网站、沙箱、防缓存技术，以及防范中间人攻击的通信技术。推出新的电子银行服务前须获得 SAMA 批准。

   来源：SAMA 网络安全框架，3.3.13

   对您的移动应用意味着什么

   应用不应在缓存中留下敏感数据，其流量应能抵御拦截，即使在攻击者控制的设备上也是如此。

   Ostorlab 如何提供帮助

   Ostorlab 检查应用写入存储、缓存、日志和截图的内容，并检查会削弱传输和会话保护的错误配置。Mobile Shielding Scan 尝试绕过 TLS 证书固定，并显示哪些防护有效。

   仍由您负责的部分

   品牌保护、下架恶意应用和网站，以及新服务的 SAMA 审批。

6. 06

   SAMA 网络安全框架，3.3.13

   对每项电子银行服务采用多因素认证

   文本的内容

   在客户注册时以及所有电子银行服务中使用多因素认证，包括登录、添加或修改收款人、添加公用事业和政府缴费服务、超过预设限额的高风险交易以及密码重置。连续 3 次输入错误密码或无效 PIN 后，撤销客户的访问权限。

   来源：SAMA 网络安全框架，3.3.13

   对您的移动应用意味着什么

   上述每个流程都必须在服务器端要求第二因素，并且无论应用发送什么内容，3 次失败尝试后的锁定都必须有效。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户登录，完成短信、电子邮件或 TOTP 一次性验证码，并测试登录和注销、令牌刷新、超时、会话失效以及 MFA 强制执行，包括增强验证流程。

   仍由您负责的部分

   渠道规则，例如只能在分行或 ATM 更改手机号码，以及短信通知。

7. 07

   SAMA 反欺诈框架，4.4

   基于风险进行认证，而不只依赖短信

   文本的内容

   认证标准涵盖在线服务和移动应用等数字渠道。多因素认证不应仅由通过短信发送的 OTP 构成。注册、在新设备上激活令牌、从未知设备登录以及添加收款人等高风险活动需要多因素认证，异常会话还需要第三个因素。

   来源：SAMA 反欺诈框架，4.4

   对您的移动应用意味着什么

   设备绑定、应用内推送确认以及异常会话的增强验证，都是欺诈者试图通过重放或改造 API 调用来跳过的控制措施。

   Ostorlab 如何提供帮助

   认证测试覆盖 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及账户变更背后的 API 调用。

   仍由您负责的部分

   认证标准、标记异常会话的风险引擎，以及低级别交易的定义。

8. 08

   SAMA 反欺诈框架，4.6.2

   检测已 Root 的设备并限制滥用

   文本的内容

   欺诈预防标准包括：移动应用能够检测在已越狱或已 Root 的设备上的使用，进而阻止应用运行或限制对敏感数据或功能的访问；设备注册；限制并发登录或设备数量；以及基于风险的方法，在发出支付指令前采用防机器人机制。

   来源：SAMA 反欺诈框架，4.6.2

   对您的移动应用意味着什么

   Root 和越狱检测必须做出响应，而不仅仅是检测；后端必须阻止仅靠应用本身无法防止的脚本化和并发使用。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和已越狱的环境中运行应用，尝试绕过 Root 和越狱检测、防篡改、反插桩以及 TLS 证书固定，并显示应用是会阻止业务流程、拒绝启动，还是继续运行。API 测试覆盖枚举、重放和自动化等滥用行为。

   仍由您负责的部分

   选择加固产品、交易限额、黑名单和欺诈监控。

9. 09

   SAMA 金融实体道德红队演练框架，1.3 和 1.6

   至少每 3 年开展一次红队演练

   文本的内容

   每个受 SAMA 监管的成员机构应至少每三年接受一次测试，即依据 FEER 框架对其实时生产环境开展基于威胁情报的红队演练。SAMA 也可以选定某个机构接受测试。红队演练不是渗透测试：它模拟针对整个组织的定向攻击。

   来源：SAMA 金融实体道德红队演练框架，1.3 和 1.6

   对您的移动应用意味着什么

   移动应用及其 API 很可能是红队的切入点。常规测试本可发现的薄弱环节会占用红队的时间。

   Ostorlab 如何提供帮助

   Ostorlab 不执行红队演练，也不取代红队演练。它帮助您在开展测试前修复已知的应用和 API 问题，并在之后复测应用和 API 相关发现。

   仍由您负责的部分

   红队演练本身、服务提供方以及与 SAMA 的沟通。

本页概述了 SAMA 规则手册中发布的 SAMA 文本，核对日期为2026年9月27日。部分框架仅适用于特定行业，已在文中注明。本页不构成法律意见。