DORAとは？
デジタル・オペレーショナル・レジリエンス法（DORA）は、デジタル時代における金融セクターのオペレーショナル・レジリエンスを強化することを目的とした欧州連合（EU）による立法案である。金融機関が直面する情報通信技術（ICT）リスクとサイバー脅威を管理するための包括的な枠組みを確立するものである。DORAの主な目的は、サイバーインシデントに直面しても重要な金融サービスの継続性を確保し、関連当局によるICTリスク管理の監督と調整を強化し、協力と情報共有を強化し、重要なICT関連インシデントの報告と透明性を向上させることである。
DORAはいつから有効なのか？
DORA（デジタル・オペレーショナル・レジリエンス法）は2023年1月16日から施行されている。2023年6月には、欧州監督当局（ESA）がレベル2規制技術・実施基準（RTS & ITS）に関するコンサルテーション・ペーパーを発表する予定である。これらのペーパーは、具体的な要求事項を概説することを目的としている。金融機関は、2年間の実施期間と欧州監督当局（ESA）による技術的規制基準の策定を経て、2025年1月17日までにこの規制を遵守する必要がある。
DORA規制の対象となる企業は？
DORAの適用範囲は広く、銀行、信用機関、決済機関、投資会社、電子マネー機関、中央カウンターパーティ、暗号資産サービスのプロバイダーなど、さまざまな事業体に影響を与える。さらに、重要なサードパーティのICTプロバイダーも規制の対象となり、それぞれがEBA、ESMA、EIOPAのいずれかの主管庁に指定される。
- DORAは包括的なアプローチを採用しており、幅広い金融機関を包含している。ICTセキュリティやアウトソーシングに関するEBA/EIOPAガイドラインをすでに知っている銀行や保険会社も含まれるが、取引所、職業退職制度を提供する機関、暗号サービスプロバイダー、保険仲介業者、その他様々な金融機関もこの新しい枠組みの対象となる。
- FinTech企業は、DORA規制で指定されたカテゴリーに該当する場合、規模が小さいという理由だけで免除が認められるわけではない。とはいえ、従業員数が10人未満で、年間売上高が限られている企業は、規制の下ではそれほど厳しい要件は課されない。
- ICTプロバイダー（金融機関にサービスを提供するcloud サービスプロバイダーを含む）は、"重要なICTプロバイダー "に分類される場合、監督的枠組みの対象となる可能性がある。この分類の基準は、欧州監督当局（ESAs）によってさらに規定されるが、主に、提供されるサービスが金融市場にとってどの程度重要であるか、また、ICTプロバイダーへの依存度や代替の容易さに基づいている。
なぜDORAのコンプライアンスが重要なのか？
- DORAへの準拠は、脆弱性を特定し、それに対処することによって、オペレーションの回復力を強化する。
- DORAの遵守は、システミックな影響を及ぼす可能性のある混乱を防ぐことで、金融システムの安定を保護する。
- DORAのコンプライアンスは、強固な対策とプロトコルを導入することで、サイバーセキュリティのリスクを軽減するのに役立ちます。
- コンプライアンスは、顧客のデータを保護し、サービスの継続性を確保するというコミットメントを示すことによって、顧客の信頼と信用を高める。
- 組織は、法的および規制上の義務を果たし、罰則や風評被害を避けるために、DORAを遵守しなければならない。
- DORAへの準拠は、リスクに対処し、新技術を採用するための安全な基盤を提供することにより、金融セクターにおける技術革新を促進する。
- コンプライアンスは、市場参加者と監督当局の協力と連携を促進し、効果的なインシデントレスポンス とコミュニケーションを可能にする。
- DORAを遵守することで、組織は進化する脅威の状況を先取りし、新たなリスクやテクノロジーに適応することができる。
- DORAへの準拠は、組織を国際的な基準と期待に合致させ、管轄区域間の調和を促進する。
- DORA コンプライアンスを達成することで、オペレーションの回復力とサイバーセキュリティへの強いコミットメントを示すことができ、市場での競争優位性を得ることができる。
DORA遵守のための10のステップとは？
ステップ1：DORAの範囲を理解する
- DORAの概要：DORAの目的、規定、および信用機関、決済機関、電子マネー機関、セントラル・カウンターパーティー、データ・サービス・プロバイダーなどの適用主体について徹底的に理解する。
- DORA 要件のマッピング：レジリエンス・テスト、ICTリスク管理、インシデント報告、第三者リスク管理、サイバーセキュリティ能力など、DORAが示す具体的な要件と義務を特定する。
ステップ2：ガバナンス体制の確立
- DORAコンプライアンス・オフィサーの任命：組織内のDORAコンプライアンス活動を監督する専任の個人またはチームを指名する。
- DORAコンプライアンスフレームワークの作成DORAの要件を確実に遵守するために必要な方針、手順、統制の概要を示す包括的な枠組みを作成する。
ステップ3：リスク評価の実施
- リスクの特定組織の業務、プロセス、システムに固有の潜在的なリスクと脆弱性を特定するために、詳細なアセスメントを実施する。
- 影響と可能性の評価：特定されたリスクの潜在的な影響と可能性を、内部要因と外部要因の両方を考慮して評価する。
ステップ4：レジリエンス・テスト
- レジリエンス・テスト・シナリオの設計：サイバー攻撃、システム障害、その他の破壊的事象を含む現実的なシナリオをシミュレートする、レジリエンス・テストのための強固なプログラムを策定する。
- テスト結果の評価レジリエンス・テストの結果を分析・解釈し、運用レジリエンスにおける改善点、脆弱性、ギャップを特定する。
ステップ5：ICTリスク管理
- ICT リスク管理フレームワークの確立：サイバーセキュリティリスク、技術的脆弱性、業務の中断を含むICT関連リスクを特定、評価、軽減、監視するための枠組みを策定し、実施する。
- 定期的な見直しと更新：新たな脅威、進化する技術、および業界のベストプラクティスに合わせて、ICTリスク管理の枠組みを継続的に見直し、更新する。
ステップ6：インシデントの報告とコミュニケーション
- インシデント報告手順の確立重要なインシデントを関連監督当局にいつ、どのように報告すべきかを概説した、明確かつ明確なインシデント報告手順を策定する。
- 効果的なコミュニケーションチャネルを育成する：インシデントの迅速かつ正確な報告を確保し、レスポンス の調整を促進するために、組織内の効果的なコミュニケーションチャネルを確立する。
ステップ7：第三者リスク管理
- デューデリジェンスの実施強固なデューデリジェンス・プロセスを実施し、パートナーシップやアウトソーシング契約を締結する前に、サードパーティ・サービス・プロバイダーのサイバーセキュリティおよび業務回復能力を評価する。
- 契約条項：第三者のリスク管理に対応する具体的な契約条項を盛り込み、DORA の遵守を確実にするために必要な責任、期待、基準を概説する。
ステップ8：サイバーセキュリティ能力
- 強力な認証メカニズムの導入：重要なシステムや機密情報へのアクセスのセキュリティを強化するために、多要素認証ソリューションを導入する。
- 暗号化とデータ保護：暗号化プロトコルを導入し、静止時および転送時のデータを保護し、機密情報の機密性と完全性を確保する。
- プロアクティブなモニタリングとAIによる脅威検知：高度な監視ツールとAIによるサイバー脅威検知システムを導入し、検知 、サイバーセキュリティの脅威にリアルタイムで対応する。
ステップ9：インシデントレスポンス と事業継続
- 包括的なインシデントレスポンス 計画の策定：効果的なインシデント管理のために、役割、責任、エスカレーション手順、コミュニケーションチャネルを定義した、詳細かつ構造化されたインシデントレスポンス 計画を作成する。
- インシデント レスポンス 計画のテストと演習：インシデントレスポンス 計画を定期的に試験・演習し、その有効性を確認し、改善点を特定し、要員にその役割と責任を周知させる。
ステップ10：継続的改善とコンプライアンス・モニタリング
- コンプライアンス・モニタリング・メカニズムの確立：DORAの要求事項への継続的な遵守状況を評価し、ギャップを特定し、継続的な改善を推進するために、強固なコンプライアンス・モニタリング・プログラムを導入する。
- 規制の最新情報の入手：DORAに関連する規制の動向、更新、指針を常に注視し、継続的なコンプライアンスを確保する。
デジタル・オペレーショナル・レジリエンス法（DORA）に準拠するには、オペレーショナル・レジリエンスとサイバーセキュリティに対する包括的かつ積極的なアプローチが必要である。本ガイドに概説されているベストプラクティスを実施することで、組織はDORAの複雑性をうまく乗り切り、オペレーショナル・レジリエンスを強化し、金融システム全体の安定に貢献することができる。これらの推奨事項を受け入れ、それぞれの状況に適合させ、自信と弾力性をもってDORA準拠への旅に出よう。
誰がDORAコンプライアンスに関与すべきか？
DORAへの準拠を実現するには、組織内の様々な利害関係者が関与する共同作業が必要である。以下の主要な個人またはチームがプロセスに関与すべきである：
- 上級管理職：最高経営責任者（CEO）、最高財務責任者（CFO）、最高情報責任者（CIO）などの上級幹部は、 DORAコンプライアンスへの取り組みにリーダーシップを発揮し、支援する必要がある。これらの経営幹部は、上層部の方向性を示し、必要なリソースを配分する上で重要な役割を果たす。
- DORA コンプライアンス・オフィサー／チーム：DORAコンプライアンス担当者またはチームを任命し、コンプライアンス活動の監督と調整を担当させる。彼らはDORAの規定と要件を深く理解している必要がある。
- 法務・コンプライアンス部法務・コンプライアンス部は、DORAの法的義務の解釈と理解において重要な役割を果たす。組織の方針、手続き、慣行が法的要件に合致していることを確認する。
- リスク管理チーム：リスク管理チームは、リスク評価を実施し、潜在的な脆弱性を特定し、リスク軽減策を実施する 責任を負う。リスク管理チームは、DORA 固有のリスクに対処するために、コンプライアンス・チームと緊密に連携すべきである。
- ITおよびサイバーセキュリティチーム：ITおよびサイバーセキュリティチームは、DORAの要件を満たすために必要な技術的対策を実施する上で重要な役割を果たす。彼らは、サイバーセキュリティ機能、回復力テスト、インシデントレスポンス 計画の展開において重要な役割を果たす。
- オペレーションとビジネスユニット：業務チームと事業部門は、それぞれの分野でDORAコンプライアンス対策を実施する上で重要な役割を担う。彼らは、コンプライアンス、リスク管理、IT チームと協力して、DORA 要件の整合と実施を確実にする必要がある。
- 内部監査：内部監査チームは、組織のDORA遵守努力の有効性を評価することにより、独立した保証を提供する。内部監査チームは、DORA規定の継続的な遵守を保証するために、監査と評価を実施する。
- 第三者サービスプロバイダー：組織がサードパーティサービスプロバイダに依存している場合は、DORA コンプライアンスの実現に関与する必要がある。これには、プロバイダーのサイバーセキュリティと業務回復力の能力を評価し、契約条項を通じてコンプライアンスを確保することが含まれる。
- コミュニケーションと研修チーム：効果的なコミュニケーションと研修は、組織全体の理解とDORAの遵守を確保するために極めて重要である。コミュニケーションおよびトレーニングチームは、DORA要件に関する認識を高め、ガイダンスを提供する教育プログラムを開発し、実施すべきである。
- 外部のコンサルタントおよびアドバイザー：組織は、DORAコンプライアンスに特化したコンサルタントや法律アドバイ ザーに外部の専門知識を求めることができる。彼らはガイダンスを提供し、リスク評価を支援し、DORAの複雑な状況をナビゲートすることができる。
これらの主要な利害関係者を巻き込み、利害関係者間の協力を促進することで、組織はDORAコンプライアンスを効果的に実現し、業務上の回復力とサイバーセキュリティに対する全体的かつ包括的なアプローチを確保することができる。
Vectra AIはどのようにDORAコンプライアンスを可能にするのか？
Vectra AIは、Digital Operational Resilience Actの要件に完全に合致した高度な脅威検知とレスポンス ソリューションを提供します。Vectra AIがDORAのコンプライアンス達成にどのように役立つかを探ってみましょう：
- Real-time Threat Detection &レスポンス
Vectra AI のプラットフォームは、MITRE Att&ck テクニックと機械学習モデルに基づくAI主導 行動分析を活用し、検知 ネットワーク、SaaS、アイデンティティ、AWS クラウド Microsoft 365 クラウドおよびハイブリッドクラウドの脅威をリアルタイムで分析します。ネットワークトラフィックと挙動を継続的に監視することで、Vectra AIは潜在的な脅威をエスカレートする前に特定し、リスクを迅速に軽減するための迅速な対応を可能にします。 - 強化されたインシデントレスポンス
サイバーインシデントが発生した場合、Vectra AIのプラットフォームは、インシデントレスポンス チームに貴重な洞察と実用的なインテリジェンスを提供する。 MITRE D3FEND.これにより、組織は脅威を封じ込め、調査し、修復するための断固とした措置を講じることができ、DORAのインシデント報告要件を効果的に満たすことができる。 - プロアクティブなリスク管理
Vectra AIのプロアクティブな脅威ハンティング機能により、組織は潜在的なリスクに先手を打つことができる。隠れた脅威や脆弱性を検出することで、金融機関はセキュリティ態勢を強化し、DORAのリスク管理規定に準拠するためのプロアクティブな措置を講じることができます。KPMG &Vectra ソリューションページをご覧ください。 - 自動化されたコンプライアンス・レポーティング
DORAに準拠するためには、セキュリティ・インシデントとリスク管理の実践に関する包括的なレポーティングが必要です。Vectra AIはコンプライアンス報告を自動化することでこのプロセスを簡素化し、金融機関が規制上の義務を果たすための時間と労力を節約します。
ここでは、Vectra AIがDORAの特定の章や条文への準拠を達成するために、組織をどのように支援できるかを探ってみよう：
世界中の専門家や企業から信頼されています
