FFIEC 与 NYDFS：在每次上线和变更前测试您的移动银行应用。

1. 01

   FFIEC《信息安全》分册，II.C.17

   在上线前和重大变更前测试面向外部的应用

   文本的内容

   机构及其客户使用的应用包括可安装的应用，例如可下载的移动应用。为验证控制措施，管理层应在上线面向外部的应用或对其进行重大变更之前，开展适当的测试，例如渗透测试、漏洞评估和应用安全测试。测试发现的问题应在上线前或变更进入生产环境前得到修复，开发应用的第三方也应满足相同的控制要求。

   来源：FFIEC《信息安全》分册，II.C.17

   对您的移动应用意味着什么

   移动应用的新版本就是对面向外部应用的一次变更。测试应纳入发布流程，发现的问题应在版本上架商店之前修复，包括由供应商开发的应用。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用，保持登录会话，并捕获流量、堆栈跟踪和截图。SCA 通过指纹识别基于清单文件的扫描器可能遗漏的静态编译库。

   仍由您负责的部分

   上线决策、服务器基础设施的测试，以及您为供应商设定的安全要求。

2. 02

   FFIEC《信息安全》分册，IV.A.1 和 IV.A.2(b)

   根据风险确定测试频率和独立性

   文本的内容

   机构的 IT 风险管理流程应确定独立测试的频率。系统和应用的变更或新增以及攻击者技术的变化可能会提高测试频率，测试应在开发期间、新系统或修改后的系统投入生产之前以及在生产环境中定期进行。渗透测试有多种类型，包括客户端测试和 Web 应用测试，管理层应确定所需的独立性程度。

   来源：FFIEC《信息安全》分册，IV.A.1 和 IV.A.2(b)

   对您的移动应用意味着什么

   联邦层面没有固定的测试频率。频繁发布是更频繁测试的理由，移动银行应用既需要客户端测试，也需要对其调用的 API 进行 Web 应用式测试。

   Ostorlab 如何提供帮助

   快速扫描通常在 1 到 5 分钟内完成，完整扫描需要 15 到 45 分钟，因此适合每次发布。AI 智能体渗透测试更加深入，通常需要几个小时，AI 智能体的每个发现都附有可重放的有效漏洞利用，适用于关键变更和您的定期深度测试。

   仍由您负责的部分

   确定频率和范围的风险评估，以及由谁担任独立方的决定。

3. 03

   《制定信息安全标准的跨机构指南》，III.C

   定期测试关键控制措施

   文本的内容

   每家机构应定期测试其信息安全计划的关键控制措施、系统和程序。测试的频率和性质应由机构的风险评估确定，测试应由独立第三方或独立于安全计划开发或维护人员的员工执行或审查。客户信息系统的访问控制（包括认证）属于需要考虑的措施。

   来源：《制定信息安全标准的跨机构指南》，III.C

   对您的移动应用意味着什么

   应用及其 API 中的登录、授权和数据保护是客户信息系统的关键控制措施，因此应纳入测试计划，并由开发团队之外的人员审查结果。

   Ostorlab 如何提供帮助

   由您的安全团队或第二道防线团队执行测试并掌握结果。每项发现都附有风险等级、复现步骤、请求和响应日志以及截图，复测会确认底层问题是否已解决。

   仍由您负责的部分

   书面信息安全计划、风险评估以及向董事会提交的年度报告。

4. 04

   FFIEC《开发、采购与维护》分册，IV.D 和 V.C.2

   将安全测试融入开发

   文本的内容

   模糊测试和渗透测试等质量保证测试、安全代码审查以及源代码安全分析工具，有助于发现需要修复的安全缺陷。在开发环境中进行漏洞扫描，可在用户暴露于风险之前发现漏洞，部署后仍应继续扫描。在 DevSecOps 中，CI/CD 流水线使用静态和动态应用安全测试以及软件成分分析等测试工具，并在构建或测试失败时停止后续流水线任务。

   来源：FFIEC《开发、采购与维护》分册，IV.D 和 V.C.2

   对您的移动应用意味着什么

   检查人员会关注流水线中的自动化安全测试，以及在出现严重发现时构建失败的机制，这同样适用于移动应用和服务器代码。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描，并在无需手动触发的情况下监控商店版本。通过定时运行流水线，可在两次发布之间保持每周的扫描频率。发现会被评为严重、高、中或低风险，以工单形式在平台中或 Jira 和 ServiceNow 中跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   流水线设计、构建失败规则，以及服务器端代码的代码审查。

5. 05

   FFIEC《开发、采购与维护》分册，IV.I.2；《架构、基础设施与运营》分册，V.C.2(c)

   缓解常见的 API 风险

   文本的内容

   针对常见 API 风险的缓解策略包括：对象级授权检查、验证用户认证并考虑使用 MFA、避免在响应中过度暴露数据、速率限制、默认拒绝访问的功能级授权、防范批量赋值和注入，以及维护最新的 API 清单。公开 API 应在公开之前和之后接受测试，以验证安全控制措施是否充分。

   来源：FFIEC《开发、采购与维护》分册，IV.I.2；《架构、基础设施与运营》分册，V.C.2(c)

   对您的移动应用意味着什么

   应用背后的 API 承载着资金和数据。客户在请求中修改账户 ID 时，应收到错误提示，而不是看到他人的余额。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为，并为每项发现提供请求和响应证据。

   仍由您负责的部分

   API 清单、网关和防火墙配置，以及 API 活动的日志记录和监控。

6. 06

   FFIEC《认证与访问指南》（2021 年），第 3 至 5 节；《信息安全》分册，II.C.16；23 NYCRR 500.12

   数字银行的分层安全和 MFA

   文本的内容

   当风险评估表明结合分层安全的单因素认证不足时，MFA 或同等强度的控制措施，配合其他分层控制，可以更有效地缓解风险。分层控制包括 MFA、用户超时和交易限额，认证控制的设计和有效性应在初始阶段和定期进行评估。对于远程银行，控制措施可包括强制重新认证的应用超时、带外验证和设备认证。在纽约州，第 500.12 条要求任何访问受监管实体任一信息系统的个人均须使用 MFA。

   来源：FFIEC《认证与访问指南》（2021 年），第 3 至 5 节；《信息安全》分册，II.C.16；23 NYCRR 500.12

   对您的移动应用意味着什么

   支付和账户变更属于高风险交易。服务器应强制执行第二因素、增强验证和超时，您需要证据证明它确实如此。第 500.12 条如何适用于客户登录，需要由您的合规团队判断。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户登录，完成短信、电子邮件或 TOTP 一次性验证码，并测试登录和注销、令牌刷新、超时、会话失效以及 MFA 强制执行，包括增强验证流程。

   仍由您负责的部分

   认证风险评估、认证因素的选择、欺诈监控和客户安全意识。

7. 07

   23 NYCRR 500.5；FFIEC《架构、基础设施与运营》分册，VI.B.3(a)

   每年开展渗透测试并按风险进行扫描

   文本的内容

   受监管实体必须制定书面漏洞管理程序，至少确保：由合格的内部或外部人员至少每年从边界内外对其信息系统开展渗透测试；按风险评估确定的频率并在任何重大系统变更后及时进行自动扫描，并对扫描未覆盖的系统进行人工审查。漏洞必须按风险确定优先级并及时修复。FFIEC 期望机构具备跟踪和报告所有已识别漏洞修复进度的方法。

   来源：23 NYCRR 500.5；FFIEC《架构、基础设施与运营》分册，VI.B.3(a)

   对您的移动应用意味着什么

   移动应用的发布通常是对客户所访问系统的一次重大变更。年度渗透测试从外部覆盖应用及其 API，自动扫描则填补两次测试之间的空白。

   Ostorlab 如何提供帮助

   从您的 CI/CD 流水线对每个构建运行自动扫描（包括定时运行），并监控商店版本。AI 智能体渗透测试在登录后测试应用及其 API，经确认的发现以工单形式跟踪，并在修复后复测。

   仍由您负责的部分

   为年度渗透测试选择合格的执行方、在边界内开展内部测试，以及设定您的修复期限。

8. 08

   23 NYCRR 500.8

   安全开发以及外部应用的测试

   文本的内容

   网络安全计划应包括针对内部开发应用的安全开发实践的书面程序、指南和标准，以及用于评价、评估或测试受监管实体所使用的外部开发应用安全性的程序。CISO 或合格的指定人员至少每年对其进行审查和更新。

   来源：23 NYCRR 500.8

   对您的移动应用意味着什么

   您自己的应用以及您采购的 SDK 或白标应用都需要明确的安全测试环节，且该程序需要每年审查。

   Ostorlab 如何提供帮助

   Mobile SAST 基于编译后的应用进行分析，因此可以覆盖您没有源代码的供应商开发应用和嵌入式 SDK。SCA 显示每个版本包含哪些第三方组件，将其与已知漏洞对应，并逐个版本跟踪其关闭情况。

   仍由您负责的部分

   书面程序以及 CISO 的年度审查。

9. 09

   《第三方关系跨机构指南》（2023 年）；FFIEC《信息安全》分册，II.C.20；23 NYCRR 500.11

   监督第三方，包括测试供应商

   文本的内容

   使用第三方并不会减轻或免除银行机构以安全稳健的方式并依照适用法律开展业务的责任。针对信息安全的尽职调查可以包括评估第三方的应用安全计划、其软件开发生命周期、其漏洞测试和渗透测试的结果，以及多因素认证和加密等控制措施。纽约州的受监管实体必须制定第三方服务提供商安全政策，包括尽职调查和合同保护。

   来源：《第三方关系跨机构指南》（2023 年）；FFIEC《信息安全》分册，II.C.20；23 NYCRR 500.11

   对您的移动应用意味着什么

   为您开发应用或运营其部分功能的供应商应向您展示其测试结果。接收您的应用二进制文件和测试凭据的 SaaS 测试平台，本身也是您的流程需要审查的供应商。

   Ostorlab 如何提供帮助

   Ostorlab 已通过 SOC 2 Type II 审计。企业版可选择将数据驻留在美国，也可以本地部署运行扫描；借助 BYOK，AI 在您自己的服务商账户上运行，并设置单次扫描支出上限。SSO/SAML、基于角色的访问控制和审计日志可作为附加功能提供，企业版已包含。

   仍由您负责的部分

   您的尽职调查、合同条款以及对每家服务提供商的持续监控。

本页概述了 FFIEC《IT 检查手册》、FFIEC 认证指南、《制定信息安全标准的跨机构指南》、2023年第三方指南以及 23 NYCRR Part 500，核对日期为2026年9月27日。FFIEC 各分册和跨机构指南属于监管指导；Part 500 适用于 NYDFS 受监管实体。本页不构成法律意见。