「デジタル・オペレーショナル・レジリエンス法（DORA）」による事業継続性の強化
デジタル化は多くのメリットをもたらした一方で、金融セクターの情報通信技術(ICT)への依存度を高め、サイバー攻撃、ICTの障害、データの破損や損失といったデジタルリスクの増加を招いています。 金融セクターにおけるセキュリティ上の脅威に対処し、業務継続性を向上させるため、欧州連合(EU)は”デジタル業務継続性法(DORA)”を批准しました。
本ブログでは、この新しいEU規制が、金融機関がICTリスク管理を改善し、より安全な金融エコシステムを構築するためにどのように役立つかについて解説します。また、NAKIVOが金融機関のDORAコンプライアンス達成をどのように支援できるかについても取り上げます。
“デジタル・オペレーショナル・レジリエンス法(DORA)”とは何か？
DORAの概要と目的
デジタル・オペレーショナル・レジリエンス法(DORA) これは、2022年11月に欧州議会および欧州連合理事会によって正式に批准された欧州規則2022/2554である。DORAの最初の草案は、2020年に”デジタル・ファイナンス・パッケージ(DFP)”の一環として提案された。DFPは、金融セクターにおける暗号資産、ブロックチェーン、およびデジタルレジリエンスに関するEUの戦略、提言、立法案を定めたものである。
この規則は、EUの金融機関およびその第三者ITプロバイダーを対象とした標準化された法的枠組みを確立し、ICTシステムの運用レジリエンスとセキュリティを強化することを目的としています。つまり、DORAの主な目標の一つは、金融セクターにおけるサイバー脅威、ICTインシデント、および業務中断を軽減することにあります。
金融機関およびその第三者ICTプロバイダーは、2025年1月17日までにDORAの枠組みと技術基準を実施する必要があります。
DORAを施行する規制当局
EUは2022年にDORAを正式に採択したものの、EU監督当局(ESA)は現在も同法に基づく規制技術基準(RTS)の策定を進めている。 3つのESA、すなわち欧州銀行監督局(EBA)、欧州保険・職業年金監督局(EIOPA)、欧州証券市場監督局(ESMA)は、2024年1月に最初の草案を公表しており、年末までにRTSを最終決定する見込みである。ESAが最終的なRTSをEU委員会に提出した後、同基準は欧州議会および欧州理事会によって承認されることになる。
RTSの施行およびコンプライアンス監督は、各国の管轄当局が担当することになっていますが、その指定はまだ確定していません。施行は、当局が指定され、2025年1月の期限が過ぎた時点で開始されます。
DORA法の主な要件
DORA規則は、金融機関およびその第三者プロバイダーのネットワークおよびICTシステムに対するセキュリティ要件を定めています。これらの要件は、ICTセキュリティの4つの主要な側面を網羅しています:
- ICTリスク管理(第II章)。 ICT障害に対する経営陣の責任を明確にし、ICT上の脅威を検知、特定、管理、および軽減するための共通の枠組みを確立する。
- ICTインシデントの管理、分類、および報告(第III章)。 ICTインシデントの報告義務を標準化し、当局への報告対象となるインシデントの範囲を拡大する。
- デジタル・オペレーショナル・レジリエンスのテスト(第IV章). 重要なICTシステムに対し、リスクベースの耐障害性テストを義務付け、高度な脅威主導型侵入テスト(TLPT)を少なくとも3年ごとに実施すること。
- ICTにおけるサードパーティ・リスク管理(第5章)。 金融機関に対し、第三者プロバイダーに対するリスク監視ルールを策定すること(契約書にリスク関連の条項を盛り込むことも含む)を義務付け、違反に対しては罰則を科す。
- 情報の共有(第VI章). 金融機関がサイバー脅威に関する情報やインテリジェンスを交換し、新たな脅威に対する認識を高め、脅威の軽減策を共有できる情報共有の枠組みを導入する。
“デジタル・オペレーショナル・レジリエンス法”の遵守義務を負うのは誰か？
DORAの対象となる組織
金融機関および金融セクターのインフラにとって不可欠な活動を行う事業体は、DORAの適用対象となります:
- 信用機関および決済機関
- 電子マネー事業者
- 暗号資産サービス提供業者
- 投資会社およびオルタナティブ投資ファンドの運用会社
- 保険会社、再保険会社および保険仲介業者
- 取引所および取引情報蓄積機関
- 年金基金
- 中央証券保管機関、中央清算機関、および証券化リポジトリ
- サービスプロバイダー(口座情報、データ報告、管理、クラウドファンディングなどのサービスを含む)
- 信用格付け機関
- 重要なベンチマークの管理者
- クラウドサービスプロバイダーを含む、サードパーティのICTサービスプロバイダー
DORAの遵守不履行に伴うリスク
DORAは、加盟国に対し、違反行為に対する行政処分または是正措置を決定する権限を付与しています。また、同法は、各国の刑法の適用対象となる違反行為に対して、加盟国が刑事罰を科すことも認めています。
したがって、DORAは、加盟国がDORAのガイドラインの効果的な実施を確保するために講じることができる最低限の措置を定めており、これには、公開通知の発出や、場合によっては、違反行為の一時的または恒久的な停止を求める要請などが含まれます。
また、DORA規則は、欧州証券市場監督局(ESAs)に対し、金融セクターにとって重要なITC第三者サービスプロバイダーを指定し、各重要プロバイダーに対して主たる監督機関を任命する権限を付与している。 主たる監督当局は、所管当局と同等の権限を有し、準拠していないITCプロバイダーに対して是正措置や制裁を要求することができる。DORAは、主たる監督当局に対し、ITCプロバイダーの前年度の全世界における1日平均売上高の最大1％に相当する罰金を科す権限を付与している。この罰金は、最大6か月間、または準拠が達成されるまで、毎日科されることがある。
DORAが金融機関およびサードパーティプロバイダーに与える影響
実際の基準はまだ確定していませんが、DORAでは、金融セクターがICT管理の実務やセキュリティ対策をどのように標準化すべきかについて、一般的な要件や推奨事項が示されています。
クラウドサービスベンダーなどのサードパーティICTプロバイダーである場合は、まず、第31条(第II節)に基づき、自社が”重要”とみなされるかどうかを判断する必要があります。 重要プロバイダーは、他の金融事業体と同様にDORAの規制の対象となります。
DORAは、金融機関に対し、第三者プロバイダーのリスクを評価し、サービス契約書にインシデント管理に関する規定を盛り込むことを求めています。したがって、金融機関と取引を行う非重要ベンダーであっても、当該金融機関に影響を及ぼす可能性のあるリスクを軽減することが求められます。
DORAにより求められる業務上の調整
DORAは、ICT障害に対する経営陣の責任を強調しており、金融機関に対し、ICTリスクを軽減するための包括的な枠組みを策定・維持することを求めています。この枠組みには、以下の内容が含まれる必要があります:
- 経営陣および関係者の役割と責任の明確化
- ICTシステム、プロセス、資産全般にわたるリスクを特定・監視するための定期的なICTリスク評価
- 潜在的な脅威に対するICTシステムの継続的な監視
- ICTインシデントの予防、管理、対応に関する体系的かつ詳細な手順。これには、インシデント対応計画および事業継続計画が含まれる。
- インシデント分析に基づき、実践や対策を継続的に更新・改善すること
- ICT障害発生時に透明性と信頼を確保するための、顧客および社内外のその他のステークホルダー向けのインシデント対応手順
- インシデントの重大度に応じて、規制当局やその他の関係機関への報告に関する明確な手順
リスク管理体制の強化
DORAでは、ICTリスクの継続的なモニタリングに加え、ICTリスクへの曝露状況について、システムおよび資産に対する定期的なテストの実施を義務付けています。金融機関は、第三者のICTサービスプロバイダーに関連するリスクおよびコンプライアンス違反のあるプロバイダーへの対応について責任を負うことになります。具体的には、DORAは金融機関に対し、提携するプロバイダーとの契約にICTリスク管理に関する条項を盛り込むことを求めています。
同法は、予防戦略の重要性を強調しており、これには、システムやプロトコルの脆弱性を特定するための既存の回復力およびセキュリティ対策の検証、ならびにインシデント発生後の分析および報告が含まれます。また、DORAは、金融機関が経験や知識を共有できる業界全体の学習やイベントの開催も奨励しています。
サイバーセキュリティおよびデータ保護基準の強化
DORAは、サイバーセキュリティとデータ保護を組織の事業継続力に影響を与える主な要因と位置づけ、金融機関に対し以下のことを求めています:
- アクセス制御や暗号化などのセキュリティ対策を実施する
- 事業継続計画および災害復旧計画を策定する
- ICT脅威の継続的な監視およびマルウェアのリアルタイム検出のためのツールを活用する
- 脆弱性を軽減するため、ソフトウェアおよびハードウェアの更新を適時実施する
- 侵入テストやシナリオに基づくテストを含む、定期的な脆弱性評価を実施する
重要な環境や高リスク領域においては、各組織はレッドチームテストなどの高度なテストを定期的に実施することが期待されており、業界全体のテスト演習への参加が義務付けられる場合もあります。
- インシデント発生時の透明性を確保し、他の組織が当該インシデントから教訓を得られるようにするため、関係者と当局に速やかにインシデントを報告する
“デジタル・オペレーショナル・レジリエンス法”に関する専門家の見解
サイバーセキュリティの専門家による知見
“DORAは、金融機関に対し、リスクベースのアプローチに基づき、適切なデータセキュリティポリシーと堅牢なネットワークを構築することを求めています。DORAが規定するこれらの取り組みは、業界にとって新しいものなのでしょうか？いいえ、これらは数十年前から存在しています。しかし、ランサムウェアなどのサイバー攻撃のリスクがますます高まっているにもかかわらず、一部の組織では、最も基本的なセキュリティ対策さえもまだ導入していないか、あるいは部分的にしか導入していないのが現状です。” “”と、同社の副社長であるセルゲイ・セルデュク氏は述べている。 NAKIVO.
DORAの将来に関する予測
“DORAは、金融業界におけるサイバーセキュリティの強化に向けた道筋を築いています。そして、将来的には、この規制が他の分野にも拡大していくことが期待されます。世界的なデジタル化とAIの進歩に伴い、より多くの業界や組織がサイバーセキュリティリスクにさらされるようになっています。多くの場合、これは組織が金銭的あるいは評判上の損失を被ることを意味するのではなく、組織間の相互依存関係により、業界内および業界横断的な混乱が生じるリスクが高まることを意味しています。” —NAKIVO副社長、セルゲイ・セルデュク。
NAKIVO による DORA 準拠を確保するための手順
DORAは、バックアップおよびレプリケーションの手順(第11条～第12条)に特に重点を置いています。これらは、企業のサービスの可用性、継続性、およびデータのセキュリティに直接影響を与えるためです。DORAは、事業体に対し、データ転送のセキュリティを確保するとともに、データの破損や損失のリスク、不適切なデータ管理慣行、および人為的ミスを最小限に抑えることを義務付けています。
NAKIVO Backup & Replication これは、単一のWebベースのインターフェースから、バックアップ、レプリケーション、設定、災害復旧ワークフローの自動化、およびワークロードの監視を可能にする包括的なデータ保護ソリューションです。
このソリューションは、仮想環境、クラウド環境、物理環境、NAS、SaaS、およびハイブリッド環境に対応しており、規模の異なる金融機関が最高水準のデータ保護を実現できるよう支援するのに最適です。このソリューションは、以下の環境とシームレスに連携します。 さまざまなストレージの種類、重複排除アプライアンスやNASデバイス、パブリッククラウド、S3互換のクラウドプラットフォーム、テープなどを含め、さまざまなビジネスニーズやコンプライアンス要件に必要な柔軟性を確保します。
初期コンプライアンス評価の実施
DORA規制に準拠するために改善が必要な分野を特定するため、ギャップ分析を実施してください。前述した4つの重点分野に焦点を当ててください:
- ICTリスク管理
- ICTインシデントの管理、分類、および報告
- デジタル・オペレーショナル・レジリエンスのテスト
- ICTにおけるサードパーティ・リスク管理
DORA準拠戦略の策定
DORA準拠戦略を策定する際には、具体的な手順、目標、優先順位を定めた年次ロードマップを用意すべきである。この戦略は、組織のITインフラの複雑さや、デジタル脅威に対する現在の耐性レベルによって異なる。
DORAでは、金融機関に対し、適切な事業継続計画、ICT対応・復旧計画を策定し、以下の実施を義務付けている。 ビジネス影響評価(BIA) 深刻な業務中断にさらされるリスクを軽減するためです。
また、DORAでは、プライマリサイトがダウンした場合でも重要な業務の継続性を確保できるよう、組織に対し、少なくとも1か所の遠隔セカンダリサイト(災害復旧サイト)を保有することを義務付けています。ダウンタイムを最小限に抑え、業務の中断や損失を制限するためには、組織は以下の対策を策定すべきです。 災害復旧計画 これには以下のものが含まれます:
- ソフトウェアおよびハードウェアの構成要素、ならびに保存されたデータの重要度に基づく、バックアップおよび災害復旧の範囲;
- ITコンポーネント間の依存関係とVMの復旧順序;
- 復旧目標 (復旧時間および復旧時点)は、各機能の重要度および事業運営全体への影響度に応じて設定する必要があります(これは、データの更新頻度や重要度に基づいた復旧時点のローテーション計画を策定する必要があることも意味します);
- 職員の役割と責任の割り当て;
- 円滑な移行を確保するため、セカンダリDRサイトに対するハードウェア要件を策定し、十分なCPU、メモリ、ディスク容量、およびネットワーク帯域幅を確保した。
NAKIVOを活用したDORAコンプライアンスへの対応
NAKIVOソリューションの高度な機能を活用することで、DORAへの準拠に向けた作業負担を最小限に抑え、サイバーセキュリティに関連するプロセスの大部分を自動化することができます。あらゆるユースケースを円滑に把握していただくため、ここではNAKIVOソリューションを活用して、DORAの具体的なセキュリティ要件にどのように対応できるかを解説します:
- データの回復力(第9条)。 NAKIVOのソリューションを利用すれば、”3-2-1″のバックアップルールを容易に満たし、データの耐障害性を高めることができます。このルールによれば、バックアップデータを少なくとも3部作成し、3つの異なる場所に保管する必要があります。そのうち2部はオフサイトに、1部はクラウドに保管する必要があります。
- データの完全性(第12条)。 アプリ対応のバックアップおよびレプリカ機能により、アプリの実行中にバックアップを実行した場合でも、アプリケーションデータの一貫性が保たれるため、安心してご利用いただけます。また、このソリューションでは、Oracle DBや、Active Directory、Exchange ServerなどのMicrosoftアプリケーションに加え、Microsoft 365のアプリおよびサービス(Teams、Exchange Online、SharePoint Online、OneDrive for Business)のバックアップにも対応しています。
- ランサムウェアやその他のサイバー脅威に対する耐性(第9条)。 NAKIVOのソリューションを利用すれば、ローカル、クラウド、またはHYDRAstorデバイス上で不変のバックアップを作成でき、データが改ざんされたり削除されたりすることを確実に防ぐことができます。また、以下の機能も活用できます。 エアギャップ バックアップデータをテープや、サイバー犯罪者がネットワーク経由でアクセスできないその他の取り外し可能なストレージに保存することで実現します。また、このソリューションでは、復元前にバックアップデータをスキャンしてマルウェアの有無を確認できるため、バックアップデータが感染していないことを確実に確認できます。
- エンドツーエンド暗号化(第9条)。 NAKIVOのソリューションを利用すれば、バックアップデータがソースマシンから送信される前に暗号化できるほか、ネットワークやバックアップリポジトリも暗号化できるため、転送中および保存中の両方でデータの安全性を確保できます。
- 不正アクセスの防止および強力な認証メカニズム(第9条)。 ロールベースのアクセス制御と多要素認証により、すべてのバックアップおよびデータ保護ワークフローを保護することができます。
- リアルタイムの脅威監視(第10条)。異常をリアルタイムで確実に検知する最善の方法は、包括的なマルウェア対策ソフトウェアを利用することです。しかし、NAKIVOのソリューションには、脅威の監視を強化するのに役立つ機能が備わっています。例えば、 VMware向けIT監視機能, 問題が深刻化する前に、不具合や不審な動作を検知することができます。この機能により、CPU、RAM、ディスク使用率など、すべてのパフォーマンス指標をリアルタイムで監視できるため、異常なリソース消費をいち早く把握することができます。
- ICTリスクに対する業務の回復力および障害発生時のダウンタイムの最小化(第11条～第12条). NAKIVOの高度なサイト復旧機能により、以下のことが可能になります。 サイトの復旧ワークフローを自動化およびテストする. 自動化されたシーケンスを設定しておけば、災害発生時にワンクリックでそれを実行し、セカンダリサイトにあるレプリカに即座に切り替えることができます。
- DRワークフローおよびプロトコルの定期的な検証(第12条)。 災害発生時に復旧が円滑に進み、目標が確実に達成されるようにするため、本番業務に支障をきたさないテストモードで、フェイルオーバーおよびフェイルバックのワークフローを定期的にテストするようにスケジュールを組むことができます。このテストにより、一連の処理手順を確認し、ネットワーク接続性を検証することができます。
概要
“デジタル・オペレーショナル・レジリエンス法”は、金融セクターのレジリエンス強化と金融業務の安全確保に向けた戦略的な飛躍です。この法律は、サイバーセキュリティのベストプラクティスの導入を義務付け、学習と意識向上を促進することで、金融機関が現在の脅威や将来の課題に立ち向かうことを支援するとともに、他業界にとってのベンチマークとなるものです。
より強靭なICTシステムを実現するための取り組みに、NAKIVOをご活用ください。
