金融サービスにおけるEUデジタル・オペレーショナル・レジリエンス法（DORA）への準拠を理解する

Chad Davis業界マーケティング担当プリンシパルマネージャー | F5

デジタル・オペレーショナル・レジリエンス法（DORA）は、欧州連合（EU）域内の金融サービス業界にとって極めて重要な法規制となりつつあります。DORAは、規制分野に新たな略語を加えるだけのものではなく、デジタル領域におけるサイバーセキュリティとオペレーショナル・レジリエンスの強化に向けた根本的な転換をもたらすものです。各組織がコンプライアンス対応を進める中、DORAの本質を理解することが不可欠です。

DORA（デジタル・オペレーショナル・レジリエンス法）は、金融サービスにおけるサイバーセキュリティとオペレーショナル・レジリエンスの強化を目的とするEUの法律です。DORAにより、金融機関およびその重要な第三者ICTサービスプロバイダーは、2025年1月17日までに、情報通信技術（ICT）システムに関する所定の技術基準に準拠することが義務付けられています。

DORAに準拠しない場合、望ましくない結果を招く可能性があるため、その代償は大きなものとなります。執行当局には、DORAに準拠しない組織に対して行政上の制裁を科す権限が付与され、場合によっては刑事罰が科されることもあります。法的な影響にとどまらず、準拠していない組織はブランドの評判にも深刻な損害を被る可能性があります。

期限が迫る中、金融サービス分野で事業を展開する組織にとって、DORAがもたらす影響とその要件を常に把握しておくことが極めて重要です。本ブログでは、DORAの詳細を掘り下げ、運用効率を最大限に高めながらコンプライアンスの確保に役立つ戦略と実現可能なソリューションを検討します。

DORAに関する主な考慮事項

組織がデジタル・オペレーショナル・レジリエンス法（DORA）への準拠を進めるにあたり、慎重に検討すべき重要なポイントがいくつかあります。

• サイバーセキュリティインシデントの迅速な報告

DORAでは、サイバーセキュリティインシデントの迅速な報告が義務付けられています。組織は、サイバーセキュリティインシデントを速やかに特定、評価、報告するための堅牢なインシデント対応体制を確立する必要があります。インシデントを適時に報告しなかった場合、DORAに基づく重大な結果を招く可能性があります。

• 組織の第三者機関への依存に関する透明性

DORAでは、重要なサービスを第三者機関に依存している状況の透明性が重視されます。組織は、第三者のテクノロジーサービスプロバイダーへの依存関係を詳細に評価し、開示する必要があります。これには、当該プロバイダーが必要な技術基準を満たし、組織のオペレーショナルレジリエンス目標を支援できることの確認も含まれます。

• 規制当局または顧客からの監査に関する照会への対応能力

DORAにおけるもう1つの重要な考慮事項は、規制当局や顧客からの監査に関する照会に組織が効果的に対応できることです。そのためには、包括的な文書を維持し、定期的な評価を実施するとともに、DORAの要件への準拠を証明するための堅牢な統制を導入する必要があります。組織は、義務付けられた技術基準およびオペレーショナルレジリエンス対策を遵守していることを示す証拠を提示できるよう準備しておく必要があります。

F5ソリューションがDORAコンプライアンスをどのように支援できるか

The F5 Distributed Cloud Platformは、セキュリティインフラストラクチャを簡素化・最適化するソリューションを提供し、組織がDORAコンプライアンスの課題により適切に対応できるよう支援します。複数のポイントソリューションへの依存を減らすことで、F5は分散環境全体にわたるセキュリティ管理の一元化とポリシー適用を可能にし、運用を効率化するとともに、保護と可視性を強化します。

F5を活用すれば、アプリがどこでホストされていても、アプリ環境全体に一貫したポリシーを容易に導入し、セキュリティを拡張できます。さらに、F5のソリューションは、一元化されたユーザーインターフェースを通じて、分散アプリインフラストラクチャ全体に関する有用なインサイトとテレメトリを提供し、効率的な監視と管理を支援します。「クリックして有効化し、どこでも実行」できるセキュリティポリシーを採用することで、グローバルな適用範囲とポリシー適用により、一貫性と再現性のある保護を実現し、金融サービス機関は、効果的かつ導入しやすい包括的なセキュリティ対策のメリットを享受できます。

さらに、Heyhackを通じて取得した技術を統合し、F5 Distributed Cloud Services Web Application Scanningを構成することで、お客さまは優れた自動セキュリティ偵察機能とペネトレーションテスト機能を利用できるようになります。また、受賞歴のあるF5 Distributed Cloud Servicesでは、APIセキュリティの強化を継続しており、APIレート制限機能の拡張、APIインベントリ管理の改善、JWT検証の強化、カスタムパターン検出、ゾンビAPIを特定するためのAPI検出機能の改善などが含まれます。

最後に、F5の「SSLソリューション」を活用することで、組織はポリシーに基づく動的な復号、暗号化、セキュリティ検査デバイスを介したトラフィックステアリングにより、インフラストラクチャとセキュリティへの投資効果を最大化できます。これは、転送中および保存中のデータの暗号化に関するDORAの要件に対応するうえで、特に重要です。

影響を受けるすべての組織は、DORAへのコンプライアンス違反に伴う罰金、そして何よりも重要な信用の失墜を回避できるよう、セキュリティおよび監視機能が十分に堅牢であることを早急に確認する必要があります。

幸い、この新たな規制環境に対応するために必要なテクノロジーは、すでに利用可能です。F5ソリューションがどのように役立つかについては、こちらをご覧ください。

著者について

Chad Davis業界マーケティング担当プリンシパルマネージャー | F5

Chad Davisのその他のブログ記事