NBU 规则：针对客户使用的移动银行应用。

1. 01

   NBU 第 95 号决议，第 124 点和第 125 点

   在自研或采购时定义安全要求

   文本的内容

   在开发、升级（包括其组件）或采购信息系统时，银行必须定义并记录其信息安全要求。开发和测试必须使用位于专用网段上的独立测试平台，并且只能使用匿名化数据作为测试数据。

   来源：NBU 第 95 号决议，第 124 点和第 125 点

   对您的移动应用意味着什么

   应用的每个版本，以及它新增的每个 SDK 或供应商组件，在上架商店之前都需要有安全要求并经过测试，且测试环境中不含真实客户数据。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用，保持已认证会话，并捕获流量、堆栈跟踪和截图。本地部署扫描让您能够测试防火墙后的预发布应用和 API。

   仍由您负责的部分

   安全要求本身、测试环境以及匿名化的测试账户。

2. 02

   NBU 第 95 号决议，第 127 点；第 178 号决议，第 18 点

   控制软件中的漏洞

   文本的内容

   在运行期间，银行必须记录其如何控制信息系统硬件和软件中的漏洞。其网络防护措施必须包括漏洞分析，以及接收、测试和部署消除漏洞的软件更新。

   来源：NBU 第 95 号决议，第 127 点；第 178 号决议，第 18 点

   对您的移动应用意味着什么

   应用及其中的第三方库都是软件。需要发现其中的已知漏洞，并交付和检验修复。

   Ostorlab 如何提供帮助

   SCA 识别基于清单文件的扫描器可能遗漏的静态编译库的指纹，将其与已知漏洞对应，并逐个版本跟踪其关闭情况。发现以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   服务器、网络和工作站的补丁修复，以及其余资产的更新流程。

3. 03

   NBU 第 95 号决议，第 143 点

   使用 OWASP 构建安全的 Web 应用

   文本的内容

   银行必须使用开放 Web 应用安全项目（OWASP）的标准、文件和指南来开发安全的 Web 应用。

   来源：NBU 第 95 号决议，第 143 点

   对您的移动应用意味着什么

   移动应用背后的 Web 服务和 API 都是 Web 应用。OWASP 针对 API 和移动应用的指南是测试它们的自然基线。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为，并为每项发现提供请求和响应证据。

   仍由您负责的部分

   安全编码标准、开发人员培训和代码审查。

4. 04

   NBU 第 95 号决议，第 108 点；第 4 号决议附件 2，经第 24 号决议修订

   定期开展渗透测试

   文本的内容

   银行必须通过定期开展渗透测试来检验其网络边界防护的有效性。年度自我评估会询问该期间是否开展了渗透测试、如何开展以及由谁开展，以及测试发现的严重和高风险漏洞是否已修复。

   来源：NBU 第 95 号决议，第 108 点；第 4 号决议附件 2，经第 24 号决议修订

   对您的移动应用意味着什么

   客户从互联网访问的服务（包括移动银行后端）都位于该边界上。您需要渗透测试结果，以及严重发现已关闭的证明。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试通常在几小时内完成对登录后应用及其 API 的测试，AI 智能体的每个发现都附有可重放的有效漏洞利用。复测则确认每个问题是否已解决。

   仍由您负责的部分

   网络边界测试、测试方的选择以及自我评估报告。

5. 05

   NBU 第 178 号决议，第 42 至 46 点，经第 24 号决议修订

   外部信息安全审计，包括渗透测试

   文本的内容

   银行自行确定外部信息安全审计的频率。审计评估网络防护对象的保护情况，以及信息安全管理体系与 ISO/IEC 27001 的符合性。审计方法包括安全分析和渗透测试，银行须将审计结果及其经批准的整改计划提交 NBU。

   来源：NBU 第 178 号决议，第 42 至 46 点，经第 24 号决议修订

   对您的移动应用意味着什么

   外部审计由银行从乌克兰居民法人中选定的审计机构执行。关于应用及其 API 的发现将需要整改计划。

   Ostorlab 如何提供帮助

   Ostorlab 帮助您在审计前修复已知的应用和 API 问题，并在之后复测整改计划中的应用和 API 事项。

   仍由您负责的部分

   选择审计机构、审计方案，以及向 NBU 报告。

6. 06

   NBU 第 58 号决议，第 15 点和第 17 点

   强认证、账户锁定和超时

   文本的内容

   每当客户远程访问账户或发起远程支付时，支付服务提供商都会生成认证码，但条例允许的豁免情形除外。连续强认证失败不得超过五次，之后即须锁定；会话必须受到保护，强认证后的不活动时间不得超过十分钟。

   来源：NBU 第 58 号决议，第 15 点和第 17 点

   对您的移动应用意味着什么

   应用中的登录、账户锁定和会话超时都是受监管的控制措施。它们必须由服务器强制执行，而不仅仅是由应用执行。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户登录，完成短信、电子邮件或 TOTP 一次性验证码，并测试登录和注销、令牌刷新、超时、会话失效以及 MFA 强制执行，包括增强验证流程。

   仍由您负责的部分

   认证因素的选择、解锁程序以及欺诈监控。

7. 07

   NBU 第 58 号决议，第 22 点

   将每个认证码与支付关联

   文本的内容

   采用动态关联时，付款人可以看到收款人和金额，认证码与二者关联，对金额或收款人的任何更改都会使认证码失效并取消该支付的发起。

   来源：NBU 第 58 号决议，第 22 点

   对您的移动应用意味着什么

   在确认和执行之间篡改金额或收款人的攻击者应当失败。这一逻辑位于应用和支付 API 中。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试检验支付和账户流程的业务逻辑，Ostorlab 还测试 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及其背后的 API 调用。

   仍由您负责的部分

   认证码的密码学设计以及交易监控。

8. 08

   NBU 第 58 号决议，第 33 点

   保护客户手机上的认证

   文本的内容

   当在手机等多用途设备上处理认证要素或认证码时，提供商必须使用独立的安全执行环境、防止付款人或第三方更改软件的机制，以及降低未经授权更改影响的措施。

   来源：NBU 第 58 号决议，第 33 点

   对您的移动应用意味着什么

   应用必须能够抵御篡改、重新打包和运行时挂钩，并在设备已 Root 或已越狱时做出响应。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和已越狱的环境中运行应用，尝试绕过 Root 和越狱检测、防篡改、反插桩以及 TLS 证书固定，并显示应用是会阻止业务流程、拒绝启动，还是继续运行。您将获得加固评分和绕过证据。

   仍由您负责的部分

   加固产品的选择，以及应用如何响应已被入侵的设备。

9. 09

   NBU 第 58 号决议，第 59 点和第 95 点

   对敏感支付数据保密

   文本的内容

   敏感支付数据在显示时必须脱敏，在输入时不得完整显示。这些数据及其加密密钥必须以防止未经授权查看和修改的形式存储，并在传输时通过密码学手段加以保护或使其不可读。

   来源：NBU 第 58 号决议，第 59 点和第 95 点

   对您的移动应用意味着什么

   密码、认证码、密钥和卡数据不得从应用的存储、日志、截图或流量中泄露。

   Ostorlab 如何提供帮助

   Ostorlab 在本地存储、缓存、日志和截图中查找会话令牌和个人数据，检查会削弱传输和会话保护的错误配置，并在应用包中查找硬编码的 API 密钥、令牌和凭据。

   仍由您负责的部分

   经您的管理层批准的密钥管理方法，以及后端存储。

本页概述了乌克兰国家银行发布的乌克兰语文本，核对日期为2026年9月27日。认证规则适用于支付服务提供商，已在文中注明。本页不构成法律意见。