EUデジタル・オペレーショナル・レジリエンス法（DORA）への対応準備

Bart Salaetsフィールド最高技術責任者 | F5

欧州の政策立案者の間では、域内の重要なデジタルインフラに対するサイバー攻撃への懸念が高まっています。

変化する脅威に金融セクターがより適切に対処できるよう、EUはデジタル・オペレーショナル・レジリエンス法（DORA）規則を策定しました。同規則は2025年1月から適用されます。

DORAの適用範囲は広く、EU域内で事業を展開する22,000を超える金融機関と、そのICTサービスプロバイダーが対象となります。また、これらの組織と取引するEU域外の事業者にも影響が及びます。

要するに、DORAへの準拠は、金融サービス事業者が直面するリスクを反映した、より堅牢で包括的なセキュリティ戦略を構築するための基盤となります。

ほとんどの銀行では以前から厳格なセキュリティ対策が講じられていますが、DORAは、信用機関や決済機関、暗号資産サービスプロバイダー、証券集中保管機関、信用格付会社など、より専門性の高い事業者も対象に含めることで、金融エコシステム全体の防御を強化することを目的としています。DORAは金融機関に対し、データの破損や損失のリスクを最小限に抑え、事業活動を妨げる可能性のある不正アクセスや技術的な不具合を防止し、ICTシステムの可用性を確保することを義務付けています。

コンプライアンスの確保

金融機関をはじめ、今日のほとんどの企業にとって、アプリケーションとデータはミッションクリティカルな資産です。DORAに準拠し、分散型サービス拒否（DDoS）攻撃やその他の攻撃を受けても事業を継続できるようにするには、堅牢なWebアプリケーションファイアウォール（WAF）などのテクノロジーで、これらの資産を包括的に保護することが不可欠です。

DORAは金融機関に対し、ICTネットワークのパフォーマンス上の問題や関連インシデントなどの異常な活動を迅速に検知するとともに、重大な影響を及ぼす可能性のある単一障害点を特定することも求めています。重大なインシデントが発生した場合、金融機関は、必ず規制当局、影響を受ける顧客、およびパートナーに通知しなければなりません。その後、インシデントの解決に向けた進捗状況を報告し、根本原因を分析した最終報告書を作成する必要があります。

これらの要件を満たすには、金融機関がアプリのパフォーマンスとセキュリティの状態を包括的に可視化する必要があります。そこで大きな役割を果たし得るのが、F5 Distributed Cloud Consoleです。アプリ資産全体をエンドツーエンドで一元的に可視化できるよう設計されており、DORAのデジタルレジリエンス要件への準拠に必要な項目の大半を満たします。

F5 Distributed Cloud Consoleは、DORAのより細かな要件への対応にも役立ちます。たとえば、金融機関はICTツール、システム、プロセスについて、少なくとも3年ごとにペネトレーションテストを実施する必要があります。

最近まで、この種の活動は、高度な専門知識を持ち、多くの場合は高額な費用を要する「ホワイトハット」ハッカーの領域でした。しかし、今では状況が変わり、プロセス全体を自動化できるようになっています。

今年初め、F5はDistributed Cloud Web App Scanningソリューションを提供開始しました。これにより、組織はインターネット、公開リポジトリ、外部に公開されたサーバーなどを継続的に監視し、外部公開されているアプリサービス、データ、脆弱性を一元的に把握できます。さらに、侵入テストの自動実行、潜在的な脆弱性の特定、問題を示す証拠の取得、修復ガイダンスの受領が可能になり、セキュリティの向上とコンプライアンスの確保に役立ちます。

自動化をさらに進めることで、プロジェクトごとに実施する場合よりも継続的なペネトレーションテストの費用対効果が高まり、新しい製品やサービスを適時にリリースできます。

ICT環境にセキュリティを組み込む設計

すべての企業は、DORAに準拠するために個別のポイントソリューションを導入しようとするのではなく、デジタルセキュリティに対する包括的なアプローチを目指すべきです。AIの進歩によって自動化が進み、ICTインフラストラクチャ、コンポーネント、アプリ、および付随するアプリケーションプログラミングインターフェース（API）の設計、開発、導入にセキュリティを組み込むことが、はるかに容易になっています。

今やデジタル経済の中枢神経系ともいえるAPIは、特に重要です。組織は、アプリケーション開発プロセスに脆弱性検出を組み込むためにあらゆる手段を講じ、APIが本番環境に移行する前に、リスクを特定してポリシーを実装できるようにする必要があります。

この高まるニーズに直接応えるため、F5 Distributed Cloud Servicesは、業界で最も包括的なAI対応APIセキュリティソリューションを提供します。APIの開発中とランタイムの両方でセキュリティを確保するために、企業が個別のツールセットや機能を組み合わせて使用せざるを得なかった時代は終わりました。F5は、アプリケーション開発プロセスにおける脆弱性検出とオブザーバビリティを実現し、APIが本番環境に移行する前にリスクを特定してポリシーを実装できるようにします。APIセキュリティの重要性と複雑さがかつてないほど高まる中、F5により、個別のAPIセキュリティソリューションに費用をかけて管理する必要がなくなります。APIの検出、テスト、ポスチャ管理、ランタイム保護を単一のプラットフォームに統合することで、間近に迫るDORAの複雑な要件に備えるうえで大きな優位性が得られます。

結局のところ、DORAを厄介なものと捉えるべきではありません。むしろ、組織全体で不可欠なセキュリティ対策を見直し、強化する大きな機会です。とはいえ、これは一つの道のりであり、セキュリティが実際には何を意味し、それをどのように明確に示すべきかについて、認識を改める必要がある場合も少なくないでしょう。

幸い、今後の課題に取り組むすべての組織にとって、F5は、DORAの監視および報告要件への準拠に必要なツールを数多く提供しています。さらに、事業に深刻な影響を及ぼすサイバーセキュリティ攻撃のリスクを大幅に低減することにも役立ちます。

著者について

Bart Salaetsフィールド最高技術責任者 | F5

Bart Salaetsのその他のブログ記事