デジタル・オペレーショナル・レジリエンス法（DORA）は、金融セクターのデジタル・オペレーショナル・レジリエンスを強化することを目的とした欧州連合の包括的な規制である。2023年1月に制定されたDORAは、金融機関が情報通信技術（ICT）のリスク、事故報告、第三者サービス・プロバイダーとの関係を管理するための統一的な枠組みを確立するものである。この画期的な法律は、金融サービスのデジタル化の進展と、強固なサイバーセキュリティ対策の必要性に対するEUの対応を示すものである。

CMDB、ITサービス管理（ITSM）、観測可能性ソリューションがDORAコンプライアンスにどのように貢献できるかをご覧ください。

ホワイトペーパーを読む

デジタル・オペレーショナル・レジリエンス法

DORAの範囲と適用を理解する

DORAは、EU域内で活動する幅広い金融機関に適用される。銀行や信用機関は、伝統的なものであれデジタルなものであれ、規制対象の中核を形成している。しかし、DORAの範囲は広く、伝統的な銀行や信用機関にとどまらない：

決済機関（指令（EU）2015/2366に基づき免除された決済機関を含む
口座情報サービス・プロバイダー
指令2009/110/ECに従って免除された電子マネー機関を含む電子マネー機関
投資会社
暗号資産の市場に関する欧州議会および理事会規則、ならびに規則（EU）第1093/2010号および（EU）第1095/2010号の改正、ならびに指令2013/36/EUおよび（EU）2019/1937（「暗号資産の市場に関する規則」）に基づき認可された暗号資産サービスプロバイダー、および資産を参照するトークンの発行者。
中央証券取引所
中央カウンターパーティ
取引所
トレード・リポジトリー
オルタナティブ投資ファンドのマネージャー
マネジメント会社
データ報告サービス・プロバイダー
保険・再保険事業
保険仲介業者、再保険仲介業者、付帯保険仲介業者
職業退職金制度
信用格付け機関
重要なベンチマークの管理者
クラウドファンディング・サービス・プロバイダー
証券化リポジトリ
ICT第三者サービス・プロバイダー

DORAコンプライアンスの核となる要素とは？

ICTリスク管理

金融機関は、多層的なセキュリティと監視を包含する包括的なICTリスク管理フレームワークを導入しなければならない。これらの枠組みでは、サイバー脅威の予防と対応に関する具体的な対策を含む、デジタル・レジリエンスに特化した詳細な戦略と政策が求められる。組織は定期的なリスク評価を実施し、デジタル・インフラ全体の現在の脆弱性と新たな脆弱性の両方を特定しなければならない。

セキュリティ対策には、ユーザー権限を管理し、データの完全性を維持する高度なアクセス制御と、機密性の高い財務情報を保護するための最先端の暗号化プロトコルが含まれなければならない。このフレームワークでは、潜在的なセキュリティ脅威とシステム・パフォーマンスをリアルタイムで把握できる継続的な監視システムが求められる。リスク管理手続きにおける説明責任を確保するために、特定の役割と責任を割り当てた明確なガバナンス構造を確立しなければならない。

インシデント管理と報告

DORAは、基本的なサイバーセキュリティ・プロトコルを超える高度なインシデント管理と報告手順を義務付けている。組織は、明白なICT関連インシデントと微妙なICT関連インシデントの両方を識別できる、強固な検知システムを開発し、維持しなければならない。この要件には、事前に定義された基準および金融業務への潜在的な影響に基づいてインシデントの重大性を正確に評価する多層分類システムの導入が含まれる。

詳細なインシデント・ログは、対応手順、解決手順、結果分析の包括的な文書とともに維持されなければならない。重大なインシデントが発生した場合は、確立されたルートを通じて、関係当局に迅速に報告する必要がある。組織は、顧客、パートナー、規制機関、必要に応じてメディアなど、さまざまな利害関係者に対応するコミュニケーション計画を策定し、定期的に更新しなければならない。

デジタル運用回復力テスト

DORAは、複数のアプローチを通じてデジタル回復力を系統的にテストすることを要求している。ICTシステムの潜在的な弱点を特定するために、高度なテストツールと方法論を用いて脆弱性評価を定期的に実施しなければならない。セキュリティ対策の公平な評価を保証し、潜在的な侵害ポイントを特定するために、独立した当事者が侵入テストを実施しなければならない。シナリオベースのテストでは、現実世界のサイバー脅威と運用の中断をシミュレートし、対応能力とシステムの回復力を評価する必要がある。

セキュリティ対策は、進化する脅威に対して継続的に有効であることを確認するために、定期的な検証を行わなければならない。すべてのテスト活動には、使用した方法論、発見事項、実施した是正措置を含む詳細な文書化が必要である。

第三者リスク管理

DORAは、体系的な監督と文書化を通じて、ICTサービス・プロバイダーとの関係を包括的に管理することを重視している。組織は、第三者プロバイダーの徹底的なリスク評価を実施し、その技術力、セキュリティ対策、事業継続計画を評価しなければならない。サービス契約は、現行の規制要件や業務上のニーズとの整合性を確保するため、定期的な見直しが必要である。

組織は、提供される具体的なサービス、データ・アクセス・レベル、および実施されているセキュリティ対策を含む、すべての重要および非重要サービスの取り決めを文書化した詳細なプロバイダー登録簿を維持しなければならない。重要なサービスの取り決めについては、規制当局に報告する必要があり、重要な変更については最新情報を提供しなければならない。契約上の義務は、セキュリティ対策、インシデント報告、監査権を含むコンプライアンス要件に明示的に対処しなければならない。

OpenTextのITオペレーション・ソリューションは、DORAコンプライアンスにどのように役立ちますか？

OpenText の IT オペレーション・ソリューションは、主要な規制要件に対応するテクノロジー・プラットフォームを通じて、金融機関の DORA コンプライアンスの達成と維持を支援します。

OpenText™ Universal Discovery and CMDBは、組織の ICT インフラストラクチャを深く可視化することで、DORA コンプライアンスの基盤となる要素を提供します。エージェントレスおよびエージェントベースのディスカバリー機能により、このソリューションは、安全なVPNや断続的なインターネット接続を介して接続されたデバイスを含むIT環境の包括的なビューを作成します。マルチクラウド環境のイベントベースのアップデートを実行し、金融機関がオンプレミスとクラウドの両方のインフラ全体を正確かつリアルタイムに把握できるようにする。そのサービス・マッピング機能により、企業は重要な金融サービスにどのような変更が影響を及ぼすかを導入前に予測することができ、DORAのリスク管理およびオペレーショナル・レジリエンスの要件に直接対応することができる。

OpenText™ Service Managementは、ITSM と IT 資産管理に不可欠な機能を統合し、サービス、アプリケーション、サポートする ICT 機器の明確な所有権と管理を確立します。このソリューションには、インシデント管理、問題管理、変更管理、リリース管理、コンフィギュレーション管理など、DORAのコンプライアンスに不可欠な要素を網羅するITIL認定のベストプラクティス・テンプレートが含まれている。これらのテンプレートは、サービスの中断を最小限に抑え、ICT関連インシデントの一貫した処理を保証し、インシデント管理と報告に関するDORAの要件を満たす自動化されたレスポンスチェーンを確立するのに役立つ。

OpenText™ Core Infrastructure Observabilityは、マルチクラウドとオンプレミスのリソースをエンドツーエンドで可視化することで、DORAのモニタリング要件に対応します。AIを活用した異常検知機能により、金融機関はサービス提供に影響を及ぼす前に潜在的な問題を特定することができる。組織はまた、ネットワーク・パフォーマンスの問題や ICT 関連のインシデントなど、異常な活動を迅速に検出し、運用の回復力に影響を及ぼす可能性のある潜在的な単一障害点を特定するメカニズムを確立することもできる。

OpenText™ Core Application Observability は、アプリケーションのパフォーマンスとサービスデリバリに焦点を当てることで、インフラストラクチャのモニタリングを補完します。このソリューションは、重要な金融サービス・アプリケーションが最適なパフォーマンスと可用性を維持できるように支援します。インシデントの包括的な根本原因分析と文書化を可能にし、インシデントの処理と解決に関するDORAの要件をサポートする。統合されたモニタリングとフォローアップ機能により、組織は規制上の報告要件を満たしながら一貫したサービス品質を維持することができる。

DORAの準備：行動の時

DORAは、金融機関がデジタル業務とリスク管理にどのように取り組まなければならないかという大きな転換を意味する。DORAのコンプライアンスを成功させるには、強固な技術ソリューション、明確なプロセス、デジタル・レジリエンスへの継続的なコミットメントを組み合わせた包括的な戦略が必要である。組織は、すべての要件を満たし、デジタル時代に必要な業務回復力を維持するために、2025年1月の期限よりかなり前にコンプライアンスの旅を始めなければならない。OpenTextのIT運用ソリューションを利用することで、金融機関はDORAコンプライアンスに対応するための強固な基盤を構築することができ、同時にIT運用の全体的な効率性とセキュリティ体制を強化することができます。