CBSL 技术风险指令：在每次发布前后评估您的 移动银行应用。

1. 01

   Banking Act Directions No. 16 of 2021，5.8.1；合规期限经 Directions No. 05 of 2023 修订为 2025 年 12 月 31 日

   在上线前及每次变更前进行测试

   文本的内容

   关键信息系统和接触客户数据的信息系统必须在上线前接受信息安全测试，包括初始实施前和实施变更前，除非经董事会批准的排除政策涵盖该项轻微变更。框架列明了测试类型：静态应用安全测试（SAST）或源代码审查、动态应用安全测试（DAST）、计算与网络基础设施的加固检查，以及基础设施漏洞评估。测试必须由独立于系统开发和实施团队的团队执行。

   来源：Banking Act Directions No. 16 of 2021，5.8.1；合规期限经 Directions No. 05 of 2023 修订为 2025 年 12 月 31 日

   对您的移动应用意味着什么

   任何涉及关键系统或客户数据系统的移动版本发布都属于变更。流水线和发布流程需要对客户下载的构建版本进行自动化、独立的 security 测试。

   Ostorlab 如何提供帮助

   Mobile SAST 无需源代码即可分析 APK、AAB 或 IPA，Mobile DAST 在 CI/CD 中测试运行中的应用。AI 智能体渗透测试以登录后的状态测试应用及其 API，AI 智能体的每个发现都附有可重放的有效漏洞利用。

   仍由您负责的部分

   排除政策及其董事会批准、测试团队的独立性、源代码访问权限和发布审批。

2. 02

   Banking Act Directions No. 16 of 2021，5.8.2 和 5.2.4（经 Directions No. 05 of 2023 修订）

   至少每季度开展漏洞评估

   文本的内容

   关键信息系统和接触客户数据的信息系统至少每季度接受一次漏洞评估。评估同时关注基础设施漏洞和应用漏洞，并在生产环境执行。发现的漏洞必须在银行信息安全委员会批准的时间内修复。同一框架还要求：关键系统的访问权限审查至少每季度一次，接触客户数据或机密非客户数据的非关键系统每半年一次。

   来源：Banking Act Directions No. 16 of 2021，5.8.2 和 5.2.4（经 Directions No. 05 of 2023 修订）

   对您的移动应用意味着什么

   生产应用及其 API 每年要进行四轮评估，一次性的手工测试难以支撑。节奏必须自动化和可重复。

   Ostorlab 如何提供帮助

   Ostorlab 从您的 CI/CD 流水线运行定时扫描，无需手动触发即可监控商店版本。发现按严重、高、中、低评级，并以工单形式在平台内或 Jira、ServiceNow 中跟踪。

   仍由您负责的部分

   由 ISC 批准的修复期限、基础设施补丁和生产变更管理。

3. 03

   Banking Act Directions No. 16 of 2021，5.8.3；生产环境期限经 Directions No. 05 of 2023 修订为 2028 年 12 月 31 日

   由独立外部专家实施渗透测试

   文本的内容

   关键信息系统、接触客户数据的信息系统以及客户数据存储库，包括代理商和第三方服务提供商持有的部分，必须由独立外部渗透测试专家测试。关键系统至少每年一次，其他符合条件的系统至少每两年一次。测试以威胁情报为基础，在正常业务条件下的生产系统上进行，不改动通常部署的安全措施，覆盖外部和内部威胁。除黑盒测试外，还要求使用银行提供的登录凭据，针对客户、运营和管理人员等用户类别进行灰盒测试。渗透测试范围说明书界定系统、威胁场景、目标和时间范围，董事会批准实施，并在收到服务商报告后 60 天内向银行监管局局长提交执行摘要。

   来源：Banking Act Directions No. 16 of 2021，5.8.3；生产环境期限经 Directions No. 05 of 2023 修订为 2028 年 12 月 31 日

   对您的移动应用意味着什么

   年度渗透测试是框架中最深入的评估，应用、其 API 和测试账户是专注移动领域的服务商可以覆盖的部分。注意时间：生产系统的渗透测试截止 2028 年 12 月 31 日。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试使用您的测试账户，以登录后的状态测试应用及其 API，包括灰盒流程，并为每个 AI 智能体发现提供可重放的漏洞利用。发现会归入工单，并在修复发布后重新测试。

   仍由您负责的部分

   范围说明书和实施方案的董事会批准、项目领导团队、外部服务商的资质认定、背景调查和推荐人，以及向银行监管局局长提交的 60 天报告。

4. 04

   Banking Act Directions No. 16 of 2021，5.8.4

   为红队演练做好准备

   文本的内容

   红队演练将渗透测试扩展到人员层和物理层。D-SIB 至少每两年一次，其他持牌银行至少每三年一次，依据董事会批准的 Red Teaming Scope Statement 实施，并在同一周期内与渗透测试配套进行。若董事会判断银行的安全成熟度尚不充分，可将演练最多推迟 12 个月。

   来源：Banking Act Directions No. 16 of 2021，5.8.4

   对您的移动应用意味着什么

   红队测试的是整个银行，而不只是应用。它与外部渗透测试性质不同，二者并行推进。

   Ostorlab 如何提供帮助

   Ostorlab 不实施红队演练，也不替代它。Ostorlab 持续测试和复测您的修复计划中应用和 API 相关事项，让技术层在进入红队周期前保持良好状态。

   仍由您负责的部分

   红队演练的范围界定与实施、RTSS、董事会决策，以及人员和物理层的评估。

5. 05

   Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 5、6、8 节

   落实移动支付应用控制：MFA、设备绑定、会话与锁定

   文本的内容

   支付指南要求使用手机号和唯一设备标识在提供商处注册用户账户和设备，账户只能注册设备上使用，不允许同一账户在多台设备上并发使用。除生物识别或芯片方式外，认证必须在后端处理。MFA 组合手机号、设备标识、密码或 PIN 以及应用专属标识。应用必须支持无效登录尝试多次后的可配置账户锁定、随机化的会话 ID、空闲超时后自动注销、清晰可见并在注销时从临时和永久内存中清除应用敏感数据的注销方式、服务器端检测并发登录，以及集中禁用被报丢失或被盗设备上应用的程序。

   来源：Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 5、6、8 节

   对您的移动应用意味着什么

   这些都是可测试的行为，而且必须在后端成立，不能只停留在应用界面。直接调用 API 的攻击者应受到同样的控制。

   Ostorlab 如何提供帮助

   认证测试使用您的测试账户覆盖登录与注销、令牌刷新、超时、会话失效、账户锁定和 MFA 的实际执行，并覆盖其背后的 API 调用。

   仍由您负责的部分

   身份与访问管理、设备注册记录和丢失设备处理流程。

6. 06

   Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 12、13、14、15 节

   加固应用：防篡改、Root、调试与证书固定

   文本的内容

   该指南要求在服务器端校验代码块的哈希值或校验和、部分系统文件的体积和修改时间戳以及包文件签名，校验失败时禁用应用。应用不得在已 Root 或越狱的设备上运行。必须实现调试器和模拟器检测，使用代码压缩和源代码混淆，且任何第三方都不得在运行时调试应用。所有通信都必须启用传输层加密，使用受信任证书颁发机构签发的有效 SSL 证书，正确实现证书固定并处理异常，同时实施缓解固定绕过的控制。在 SSL 证书错误得到正确处理之前，应用必须停止运行，不得忽略证书错误。

   来源：Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 12、13、14、15 节

   对您的移动应用意味着什么

   这些防护是攻击者在支付应用上最先尝试突破的地方。只存在于代码中、却能在运行时被绕过的控制不算数。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在运行时测试 Root 与越狱检测、防篡改、调试器和模拟器检测以及证书固定，并展示哪些防护有效、哪些被绕过。

   仍由您负责的部分

   混淆与代码签名基础设施、应用商店发布以及应用在真实环境中的表现。

7. 07

   Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 11、16 节；Banking Act Directions No. 16 of 2021，5.8.2

   保持组件修补并留存证据

   文本的内容

   移动支付应用不得使用存在漏洞或已弃用的组件、协议、库或脚本，这些组件的实现不得引入漏洞，发现漏洞时必须正确修补。加密算法和迭代次数必须是当前未被认定存在漏洞、经过行业验证并被 FFIEC、ANSI、NIST 等机构接受的。根据技术风险指令，评估中发现的漏洞必须在 ISC 批准的时间内修复。

   来源：Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 11、16 节；Banking Act Directions No. 16 of 2021，5.8.2

   对您的移动应用意味着什么

   银行应用中的 SDK 和原生库是贵方交付的软件。每一个都需要已知版本、出现漏洞时的严重级别，以及可以证明的修复期限。

   Ostorlab 如何提供帮助

   SCA 对静态编译的库进行指纹识别，并逐个版本映射到已知漏洞。修复关闭情况以工单形式在平台内或 Jira、ServiceNow 中跟踪，发现按严重、高、中、低评级。

   仍由您负责的部分

   补丁决策、供应商维护合同、升级规划和风险接受。

8. 08

   Banking Act Directions No. 16 of 2021，5.5.1；Guidelines No. 1 of 2020，9.3、11.2、11.3；Personal Data Protection Act No. 9 of 2022，第 10 条

   保护设备上和传输中的客户数据

   文本的内容

   根据技术风险指令，客户数据通过加密保护：静态数据采用数据库或文件级加密，传输中的数据加密，存储客户数据的终端设备和可移动介质采用全盘加密。当加密不可行或不合适时，例外情况需要董事会批准、补偿性控制和监控，并至少每两年复核一次。支付指南还要求：设备临时存储中的账号、客户凭据等敏感信息必须得到保护；敏感数据在传输和存储时加密；不得在缺少适当安全控制的情况下将加密密钥存储在移动设备上；不得在设备上存储敏感数据。个人数据保护法要求控制者通过适当的技术和组织措施确保个人数据的完整性和保密性，包括加密、假名化、匿名化或访问控制。

   来源：Banking Act Directions No. 16 of 2021，5.5.1；Guidelines No. 1 of 2020，9.3、11.2、11.3；Personal Data Protection Act No. 9 of 2022，第 10 条

   对您的移动应用意味着什么

   令牌、账号和凭据绝不应以明文形式留在应用的存储、缓存、日志或崩溃报告中，也不应在无保护的情况下传输到后端。

   Ostorlab 如何提供帮助

   Ostorlab 检查本地存储、缓存、日志和截屏中的会话令牌与个人数据，并发现削弱传输和会话保护的配置错误。

   仍由您负责的部分

   数据分类、密钥管理、备份，以及与董事会相关的例外流程。

9. 09

   Payment and Settlement Systems Circulars No. 01 of 2024、No. 02 of 2024 和 No. 01 of 2026

   执行 JustPay 一次性验证码阈值和支付应用注册核验

   文本的内容

   对于 10,000 卢比及以上的 JustPay 交易，发起交易的移动支付应用必须向所关联账户的发卡机构（账户机构）请求一次性验证码，并发送至其在册手机号。该要求自 2024 年 4 月 1 日起适用。自 2025 年 3 月 31 日起，提供商必须使用可接受的身份证明文件识别用户，在允许交易或关联账户前核实身份，并且对于 JustPay，通过核对设备手机号与账户登记手机号，确认应用用户与账户持有人为同一人。Circular No. 01 of 2026 自 2026 年 2 月 2 日起将 JustPay 交易上限定为 150,000 卢比，并要求所有移动支付应用提供商在客户注册和账户关联时实施充分的安全控制与程序。

   来源：Payment and Settlement Systems Circulars No. 01 of 2024、No. 02 of 2024 和 No. 01 of 2026

   对您的移动应用意味着什么

   一次性验证码的实际执行和身份核验属于后端行为。可以通过在缺少必要因素或使用错误设备的情况下尝试完成交易或关联账户来测试。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户完成短信、邮件或 TOTP 一次性验证码，并测试 OTP 执行、MFA 和增强验证流程，以及账户关联和支付背后的 API 调用。

   仍由您负责的部分

   身份核验流程、设备注册记录和交易限额配置。

10. 10

    Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 25 节

    上线前审计并每年报告

    文本的内容

    每个支付服务提供商必须在每个移动支付应用商业上线前，向支付与结算局局长提交经其董事会批准的合规报告，并在每年 1 月 31 日前提交上一年度报告，涵盖新版本、补丁和更新。强烈建议由独立第三方审计师对整个生态系统开展信息系统审计和信息安全审计，范围包括静态和动态安全分析、安全控制的源代码审查、后门和硬编码敏感信息、生产与测试环境审查，以及漏洞评估和渗透测试审查。

    来源：Guidelines on Minimum Compliance Standard for Payment Related Mobile Applications No. 1 of 2020，第 25 节

    对您的移动应用意味着什么

    合规档案需要证据，而不只是声明，而且实际上每个新版本都会重新开始这一循环。

    Ostorlab 如何提供帮助

    Ostorlab 为每个版本生成扫描结果、请求与响应证据、可重放的漏洞利用和复测结果，可附入审计档案。Ostorlab 不向 CBSL 提交报告，也不是审计机构。

    仍由您负责的部分

    合规报告的董事会批准、向 CBSL 的提交，以及向持牌审计机构索取的意见。

CBSL 公开文本和个人数据保护法的摘要，核对日期为 2026 年 9 月 27 日。支付指南条目根据英文文本概述。本页不构成法律意见。