透過《數位營運韌性法案》（DORA）強化業務連續性
雖然數位化帶來了許多好處,但也增加了金融業對資訊與通訊技術(ICT)的依賴,進而導致更多數位風險,例如網路攻擊、ICT 中斷、資料損毀及遺失。 為應對安全威脅並提升金融業的營運韌性,歐盟已通過《數位營運韌性法案》(DORA)。
本文將探討這項新的歐盟法規如何協助金融機構改善 ICT 風險管理,以建構更安全的金融生態系統。此外,本文亦說明 NAKIVO 如何協助金融機構達成 DORA 合規要求。
何謂《數位營運韌性法案》(DORA)？
DORA 的概述與目的
《數位營運韌性法案》(DORA) 即歐洲法規 2022/2554,該法規已於 2022 年 11 月由歐洲議會及歐盟理事會正式批准。首份《數位韌性法》(DORA)草案於 2020 年提出,作為”數位金融方案”(DFP)的一部分,該方案闡述了歐盟針對金融部門在加密資產、區塊鏈及數位韌性方面的策略、建議與立法提案。
該法規旨在為歐盟金融機構及其第三方資訊科技供應商建立標準化的法律框架,以強化資訊與通訊科技(ICT)系統的營運韌性與安全性。換言之,DORA 的主要目標之一是減輕金融業面臨的網路威脅、ICT 安全漏洞及營運中斷。
金融機構及其第三方 ICT 供應商應於 2025 年 1 月 17 日前落實 DORA 框架及技術標準。
負責執行《DORA》的監管機構
儘管歐盟已於 2022 年正式通過《數位權利與責任法案》(DORA),但歐盟監管機構(ESAs)仍在依據該法案制定監管技術標準(RTS)。 三大歐盟監管機構——歐洲銀行業管理局(EBA)、歐洲保險與職業養老金管理局(EIOPA)以及歐洲證券與市場管理局(ESMA)——已於2024年1月發布首份草案,並預計將於年底前完成RTS的制定。待歐盟監管機構向歐盟委員會提交最終版RTS後,該標準將由歐洲議會及歐盟理事會予以批准。
RTS 的執法及合規監督權責歸屬於各成員國主管機關,目前相關機關尚未最終確定。待主管機關指定完成且 2025 年 1 月的截止期限過後,執法程序即正式展開。
《DORA 法案》的主要需求
《DORA 法規》針對金融機構及其第三方供應商的網路與資訊與通訊科技(ICT)系統,訂定了安全需求。這些需求涵蓋資訊與通訊科技安全的四大方面:
- 資訊與通訊科技風險管理(第二章)。 強調管理層對資訊與通訊科技中斷事件的責任,並建立一套用於偵測、識別、管理及減輕資訊與通訊科技威脅的共同框架。
- 資訊及通訊科技事件管理、分類與通報(第三章)。 規範資訊與通訊科技(ICT)事件通報義務,並擴大須向主管機關通報之事件範圍。
- 數位營運韌性測試(第四章). 規定必須對關鍵資訊與通訊科技(ICT)系統進行基於風險的韌性測試,並至少每三年進行一次以先進威脅為導向的滲透測試(TLPT)。
- 資訊與通訊科技(ICT)第三方風險管理(第五章)。 要求金融機構針對其第三方供應商制定風險監控規則,包括在合約中納入與風險相關的條款,並對未遵守規定者處以罰則。
- 資訊共享(第六章). 建立資訊共享機制,讓金融機構能夠交換網路威脅資訊與情資,以提升對新威脅的認知,並分享威脅緩解策略。
哪些主體必須遵守《數位營運韌性法》？
《DORA》所涵蓋的組織
其活動對金融業基礎設施至關重要的金融機構及實體,均屬《DORA》的適用範圍:
- 信貸及支付機構
- 電子貨幣機構
- 加密資產服務提供者
- 投資公司及另類投資基金管理人
- 保險及再保險公司與中介機構
- 交易場所與交易儲存庫
- 退休基金
- 中央證券存管機構、中央對手方及證券化儲存庫
- 服務供應商,包括帳戶資訊、數據報告、管理及群眾募資等服務
- 信用評等機構
- 關鍵基準的負責人
- 第三方資訊與通訊科技(ICT)服務供應商,包括雲端供應商
未遵守《DORA》的風險
《DORA》授權成員國針對不合規行為決定行政處罰或補救措施。該法案亦允許成員國針對符合國家刑法規定的違規行為適用刑事處罰。
因此,《DORA》訂定了成員國可用以確保有效落實《DORA》指引的最低限度措施,包括發布公開聲明,以及在某些情況下,要求暫時或永久停止任何不合規活動。
《DORA》法規亦賦予歐洲證券及市場管理局(ESAs)權力,可指定對金融部門至關重要的 ITC 第三方服務供應商,並為每家關鍵供應商指派一名主導監管機構。 主要監管機構享有與主管機關同等的權限,可要求不符合規定的 ITC 服務提供者採取補救措施並處以罰款。《DORA》授權主要監管機構可處以最高不超過該 ITC 服務提供者前一年全球日均營業額 1% 的罰款。此項罰款可每日處以,為期最長 6 個月,或直至符合規定為止。
《DORA》對金融機構及第三方服務供應商的影響
儘管實際標準尚未最終定案,但《數位營運韌性法案》(DORA)已針對金融業應如何標準化其資訊與通訊科技(ICT)管理實務及安全措施,概述了相關的一般性需求與建議。
若您是第三方 ICT 供應商(例如雲端供應商),您的第一步應是確認根據第 31 條(第二節)的規定,您是否被視為”關鍵”供應商。 關鍵供應商與其他金融實體一樣,均受《DORA》規範。
《DORA》要求金融機構評估第三方供應商的風險,並在服務協議中明定事件處理規範。因此,身為與金融機構合作的非關鍵供應商,您將被要求減緩可能對金融機構造成影響的風險。
《DORA》對營運調整的需求
《DORA》強調管理層對資訊與通訊科技(ICT)中斷所應承擔的責任,並要求金融機構制定並維護一套全面的框架,以減輕資訊與通訊科技風險。該框架應包含以下內容:
- 明確界定管理層及相關人員的角色與職責
- 定期進行資訊與通訊科技(ICT)風險評估,以識別及監控跨資訊與通訊科技系統、流程及資產的風險
- 持續監控資訊與通訊科技(ICT)系統,以防範潛在威脅
- 針對資訊與通訊科技(ICT)事件的預防、管理及應對所制定的系統化且詳盡的程序,包括事件應變計畫與業務連續性計畫
- 根據事件分析,持續更新及優化相關做法與措施
- 針對客戶及其他內部與外部利害關係人的事件通報流程,以確保在資訊與通訊科技(ICT)中斷期間維持透明度與信任
- 根據事件的嚴重程度,制定向監管機構及其他相關單位通報事件的明確程序
強化風險管理措施
除了持續監控資訊與通訊科技(ICT)風險外,《DORA》還要求定期對系統及資產進行測試,以評估其面臨的 ICT 風險。金融機構須對第三方 ICT 服務供應商所衍生的風險負責,並處理不符合規範的供應商。具體而言,《DORA》要求金融機構在其與合作供應商簽訂的合約中,納入管理 ICT 風險的條款。
該法案強調預防策略的重要性,其中包括測試現有的韌性與安全措施以識別系統及通訊協定中的漏洞,以及事故發生後的分析與通報。DORA 亦鼓勵全行業的經驗交流與活動安排,讓金融機構得以分享其經驗與知識。
強化網路安全與資料保護標準
DORA 將網路安全與資料保護視為影響組織營運韌性的主要因素,並要求金融機構:
- 實施諸如存取控制和加密等安全措施
- 制定業務連續性與災難還原計畫
- 運用工具進行持續性的資訊與通訊科技(ICT)威脅監控及即時惡意軟體偵測
- 確保及時更新軟體和硬體,以減輕安全漏洞的風險
- 定期進行漏洞評估,內容應包含滲透測試及情境模擬測試
對於關鍵環境和高風險區域,各單位應定期進行進階測試(例如紅隊測試),甚至可能被要求參與全產業範圍的測試演習。
- 為確保事件處理過程的透明度,並讓其他組織能從事件中汲取教訓,應迅速向利害關係人及主管機關通報事件
專家對《數位營運韌性法》的看法
資安專業人士的見解
“《DORA》要求金融機構依據風險導向的方法,制定適當的資料安全政策並建置穩健的網路架構。DORA 所規定的做法對業界來說是嶄新的嗎？不,這些做法早已存在數十年之久。然而,儘管像勒索軟體這類網路攻擊的風險日益增加,有些組織卻尚未實施,或僅部分實施了最基本的安全措施,” 該公司副總裁謝爾蓋·瑟迪烏克表示: NAKIVO.
對 DORA 未來的展望
“《DORA》正為金融業建立更強大的網路安全奠定基礎。希望隨著時間推移,這項法規也能延伸至其他產業。隨著全球數位化與人工智慧的進步,越來越多的產業和組織面臨網路安全風險。在許多情況下,這不僅意味著組織自身可能遭受財務或聲譽上的損失,更意味著由於組織間的相互依賴關係,導致產業內及跨產業中斷的風險日益增加。” —Sergei Serdyuk,NAKIVO 副總裁。
確保 DORA 符合 NAKIVO 規範的步驟
《DORA》特別重視備份與複製程序(第 11 至 12 條),因為這些程序直接影響公司的服務可用性、連續性及資料安全性。《DORA》要求各實體必須確保資料傳輸的安全性,並將資料損毀與遺失的風險,以及不當的資料管理做法與人為錯誤所造成的風險降至最低。
NAKIVO Backup & Replication 這是一套全面性的資料保護解決方案,讓您能夠透過單一的網頁式介面,執行備份、複製、設定及自動化災難還原工作流程,並監控工作負載。
該解決方案支援虛擬、雲、實體、NAS、SaaS 及混合環境,因此非常適合協助各規模的金融機構確保頂級的資料保護。該解決方案可與以下系統無縫整合: 各種儲存類型,包括去重裝置和 NAS設備、公有雲、相容於 S3 的雲端平台,以及磁帶,以確保能滿足不同業務與合規需求所需的靈活性。
進行初步合規評估
進行差距分析,以找出為符合 DORA 法規而可能需要改進的領域。請著重於我們上述提到的 4 個關鍵領域:
- 資訊與通訊科技風險管理
- 資訊與通訊科技(ICT)事件管理、分類與通報
- 數位營運韌性測試
- 資訊與通訊科技(ICT)第三方風險管理
制定 DORA 合規策略
在制定 DORA 合規策略時,應擬定一份包含明確步驟、目標及優先順序的年度路線圖。該策略將視組織的 IT 基礎架構複雜程度及其目前面對數位威脅的韌性水平而有所不同。
DORA 要求金融機構制定適當的業務連續性計畫、資訊與通訊科技(ICT)應變及還原計畫,並進行 業務影響評估(BIA) 其面臨嚴重中斷的風險。
DORA 亦要求組織至少設有一個遠端備援站點(即災難還原站點),以確保主站點停機時關鍵業務運作的連續性。為將停機時間降至最低並限制中斷或損失,組織應制定一套 災難還原計畫 其中包括以下內容:
- 備份與災難還原的範圍,係依據軟體與硬體元件及儲存資料的重要性而定;
- IT 元件之間的依賴關係與虛擬機器還原順序;
- 還原目標 (還原時間與還原點) 應針對每項功能,根據其重要性及對業務營運的整體影響來決定(這也意味著您需要根據資料更新的頻率及其重要性,制定還原點輪替方案);
- 人員的職責與分工;
- 已制定次要災難復原站點的硬體需求,以確保具備充足的 CPU、記憶體、磁碟容量及網路頻寬,從而實現順暢的過渡。
透過 NAKIVO 應對 DORA 合規要求
NAKIVO 解決方案的進階功能性可協助您將 DORA 合規工作量降至最低,並自動化多數與網路安全相關的流程。為協助您更妥善地處理各種使用情境,我們在此說明如何透過 NAKIVO 解決方案來滿足特定的 DORA 安全需求:
- 資料韌性(第 9 條)。 NAKIVO 解決方案可協助您輕鬆符合”3-2-1″備份原則,以提升資料韌性。根據此原則,您需將備份資料儲存至少 3 份副本於 3 個不同位置;其中 2 份應存放於異地,1 份則存放於雲端。
- 資料完整性(第 12 條)。 透過”應用程式感知”備份與複本功能,即使在應用程式執行期間進行備份,您也能確信應用程式資料仍保持一致。此解決方案亦支援 Oracle 資料庫、Microsoft 應用程式(如 Active Directory 和 Exchange Server)以及 Microsoft 365 應用程式與服務(Teams、Exchange Online、SharePoint Online、OneDrive for Business)的備份。
- 對抗勒索軟體及其他網路威脅的韌性(第 9 條)。 NAKIVO 的解決方案讓您能夠在本地端、雲端或 HYDRAstor 裝置上建立不可變備份,以確保無人能竄改或刪除您的資料。您還可善用 空氣間隙 透過將備份複製儲存至磁帶或任何其他可拆卸儲存裝置,使網路犯罪分子無法透過網路存取這些資料。此解決方案還讓您能在還原前對備份進行惡意軟體掃描,確保備份資料未受感染。
- 端對端加密(第 9 條)。 透過 NAKIVO 的解決方案,您可以在備份資料離開來源機器之前對其進行加密,並對網路及備份儲存庫進行加密,以確保您的資料無論在傳輸中或靜止狀態下都能獲得妥善保護。
- 防止未經授權的存取及強認證機制(第 9 條)。 您可以透過基於角色的存取控制和多因素驗證,來保護所有備份及資料保護工作流程。
- 即時威脅監控(第 10 條). 確保能即時偵測異常情況的最佳方法,是使用功能全面的防惡意軟體。然而,NAKIVO 的解決方案具備若干特點,可協助您強化威脅監控。例如,透過 VMware 的 IT 監控特點, 您可以在問題演變成更嚴重的狀況之前,及早偵測到問題與可疑活動。此特點可即時監控所有效能指標,包括 CPU、RAM 及磁碟使用率,讓您能迅速察覺任何異常的資源消耗。
- 針對資訊與通訊科技(ICT)風險的營運韌性,以及發生中斷時將停機時間降至最低(第 11 至 12 條). NAKIVO 先進的”站點還原”功能性可讓您 自動化並測試站點還原工作流程. 您可以設定自動化流程,並在發生災難時透過一次點擊觸發,立即切換至備援站點的複本位置。
- 定期測試 DR 工作流程及作業規範(第 12 條)。 為了確保在災難發生期間能順利進行還原作業並達成目標,您可以安排在不會干擾生產運作的測試模式下,定期測試故障移轉與故障恢復的工作流程。透過這些測試,您可以檢查操作順序並驗證網路連線狀況。
摘要
《數位營運韌性法案》是邁向更具韌性的金融產業與更安全的金融營運的重要戰略飛躍。透過強制執行最佳網路安全實踐,並鼓勵學習與提升意識,該法案不僅協助金融機構應對當前威脅與未來挑戰,同時也為其他產業樹立了標竿。
讓 NAKIVO 成為您邁向更具韌性 ICT 系統旅程中的一環。
