デジタル運用レジリエンス法（DORA）の解説

デジタル運用に携わる方であれば、デジタル運用レジリエンス法（DORA）について把握しておく必要があります。この法律は、金融機関や主要なサービスプロバイダーがサイバー攻撃やシステム障害に備えることを支援するものです。これがお客様のビジネスにどのように影響するのでしょうか？DORAは、デジタル環境が直面するさまざまな課題のなかでも、業務が安定して円滑に継続することを保証します。

本記事では、DORAの目的や遵守要件から、EU域内および域外のビジネスに与える影響まで、主要なポイントを解説します。EU域内で事業を展開している場合でも、EU域内のクライアントと取引がある場合でも、デジタル化が進む世界でレジリエンスを維持するにはDORAの理解が不可欠です。また、サーバーサイドトラッキングがDORAからどのような影響を受けるか、そしてStapeがこの新しい規制にどのように対応しているかについても説明します。

StapeはDORAに完全に準拠しており、最高レベルのデータ保護とサービスの信頼性を保証しています。

DORA規制は、EUの画期的な法案です。欧州の金融機関におけるITセキュリティと運用レジリエンスを強化することを目的として設計されています。2023年1月16日に発効し、2025年1月17日にDORAへの準拠が義務付けられます。DORAは、金融セクターにおけるデジタルリスクを管理するための効果的な枠組みとして認知されています。

NIS2とDORAは、サイバーセキュリティとデジタルレジリエンスに関する2つの重要な枠組みです。前者のNIS2は、EUにおける重要サービスのためのセキュリティ対策促進に焦点を当てています。後者のデジタル運用レジリエンス法は、金融機関の運用の強靭性を強化することを目指しています。両者は連携して、台頭するサイバー脅威から欧州のデジタルインフラを保護する重要な役割を果たします。

2023年9月、欧州委員会はNIS2指令において、これら2つの枠組みの関係性を明確にしました。

• NIS2指令は、エネルギー、輸送、水道、ヘルスケア、デジタルインフラなどの重要セクターを対象としています。より厳格なサイバーセキュリティ要件の導入とインシデント対応能力の向上を通じて、これらの重要なサービスを保護することを目指しています。
• 対照的に、DORAは銀行、保険会社、投資会社などの金融セクター向けに策定されています。情報通信技術（ICT）に関連するリスクを管理するための包括的な要件を定め、金融機関がICT関連の障害に耐え、対応し、そこから回復できるようにします。

その結果、EU域内の金融機関およびICTサービスプロバイダーは、2025年1月17日までにDORAの要件を遵守しなければなりません。各EU加盟国にはコンプライアンスを確保する責任があり、指定された規制当局には特定のセキュリティ対策を義務付けたり、既知の脆弱性に対処したりする権限が与えられています。

本規制に従わない場合、重い罰則が科される可能性があります。欧州委員会によって「重要」と指定されたICTプロバイダーの場合、違反すると前事業年度の世界平均日次売上高の最大1%に相当する罰金が科される可能性があります。

世界中および欧州域内の金融セクターではサイバー攻撃が急増しており、これは世界的なサイバー脅威の拡大の一環となっています。

これに対処するため、欧州はデジタル運用レジリエンス法を導入しました。その目的は、サイバーレジリエンスのための単一の体制を構築し、EU全体の金融の安定性を確保することです。DORAは、組織がサイバー脅威によるICTシステムへの影響を軽減するのに役立つ予防的な取り組みを推進します。

DORAは欧州全体における規制の統一に焦点を当てています。従来は、国ごとに異なるルールや監視を伴う個別のアプローチが取られていました。DORAはこのような一体性の欠如に対処することで、より高度な立法的・経済的同期を目指す欧州の目標を後押しする一貫したアプローチを導入します。

金融機関やその他の対象組織にとって、DORAはサイバーセキュリティとレジリエンスに関する法的義務をより明確にするという利点ももたらします。この明確さは国境を越えて広がり、一貫した指針を提供してサイバー脅威に関する不確実性を軽減します。

DORAの遵守について理解を深めるため、DORAの目的を詳しく見ていきましょう。

DORAには主に2つの目的があります。

1. 1.
   リスク評価、インシデント報告、レジリエンステストの基準を含む、金融セクター向けの包括的なICTリスク管理の実践を確立すること。
2. 2.
   EU加盟国全体でICTリスク管理規制を調和させ、公平な競争環境を創出し、複数のEU加盟国で事業を展開する金融機関のコンプライアンス上の課題を軽減すること。

DORAの制定前は、国ごとに分断された規制により、越境して事業を行う金融機関のコンプライアンス対応が困難でした。DORAは統一された規制基準を導入することでこれに対処し、混乱を最小限に抑え、EU金融セクター全体のセキュリティを強化します。

DORA法は、EU域内で活動する22,000以上の金融機関およびICTサービス、ならびにEU域外からこれらを支えるICTインフラに適用されます。以下を含むさまざまな金融システムに影響を与えます。

• 銀行
• 保険会社
• 投資会社
• 決済処理事業者
• 証券取引所
• 市場インフラ機関
• 信用格付機関
• 暗号資産サービスプロバイダー

さらに、DORAはこれらの機関を支える重要なICTサービスプロバイダーにも適用されます。組織はサードパーティのICTプロバイダーへの依存関係を特定し、単一または限定されたサプライヤーグループへの過度な依存を避けるために分散を図る必要があります。

DORAの主な要件は以下のとおりです。

第6条に基づき、DORAは組織の全体的なリスク管理システムに不可欠な、堅牢で包括的かつ十分に文書化されたICTリスク管理フレームワークの確立を義務付けています。主な要素は以下のとおりです。

• リスクの特定と評価：サードパーティへの依存から生じるリスクを含めた、ICTリスクの定期的な評価と文書化。
• 保護および予防措置：フィッシングリスクを軽減するパスワードレスアクセスソリューションなど、システムとデータを保護するための戦略、ポリシー、ツールの導入。
• 検知メカニズム：異常や潜在的なセキュリティインシデントを迅速に特定するためのテクノロジーの活用。
• 対応および復旧計画：事業継続計画および危機管理計画の策定。
• トレーニングと改善：過去のインシデントやテスト結果に基づくシステムの継続的な改善。

また、DORAはICTリスク管理の監督責任者を任命することを求めており、明確な説明責任と効果的なガバナンスを確保しています。

インシデントの管理と報告はDORAの中心的な側面です。金融機関は、ICT関連のインシデントを追跡・分類するシステムを構築する必要があります。第19条に基づき、組織は以下を提出しなければなりません。

• 重大なインシデントを特定した後、所定の期間内に提出する初期報告。
• インシデントの状況が大きく変化した場合に提出する中間報告。
• 根本原因の分析を完了し、インシデントの影響を評価した後に提出する最終報告。

さらに、第18条から第20条に基づき、組織には以下が求められます。

• 事前に定義された影響度レベルに基づいてICTインシデントを分類すること。
• 規制当局へのインシデント報告に標準化されたテンプレートを使用すること。
• 重大なインシデントおよびその影響を軽減するための措置について、エンドユーザーやクライアントに速やかに通知すること。
• その営業日の終了時までに、または営業日終了直前にインシデントが発生した場合は翌営業日の4時間以内に報告書が提出されるようにすること。

第25条に基づき、DORAは有効性を確認するためにICTリスク管理システムの定期的なテストを義務付けています。テストの手順には以下が含まれます。

• 脆弱性評価：システムやアプリケーションの弱点を特定するための定期的なスキャン。
• ネットワークおよびインフラのセキュリティ評価：ネットワーク防御のテスト。
• アプリケーションセキュリティテスト：重要な業務機能に使用されるソフトウェアの評価。
• シナリオベースのテスト：さまざまなサイバー脅威シナリオをシミュレートし、対応能力を評価。
• 脅威ベースのペネトレーションテスト：重要な金融機関向けの高度なテストであり、少なくとも3年に1回実施。

さらに、第26条 により、組織はアウトソーシングされたサービスを含む、重要な機能を支えるICTプロセスのペネトレーションテストを実施することが義務付けられています。

ICTサービスプロバイダーの重要性を認識し、DORAは以下を含む厳格なサードパーティリスク管理要件を導入しています。

• デューデリジェンス：契約締結前のICTプロバイダーの評価。
• 契約上の保証：契約書にセキュリティ、インシデント報告、監査権に関する条項を含めること。
• 継続的な監視：サードパーティのパフォーマンスとセキュリティ対策の定期的な評価。
• エグジット戦略：必要に応じて、あるプロバイダーから別のプロバイダーへ移行するための計画策定。

DORAはまた、重要なサードパーティICTプロバイダー向けの監督フレームワークを確立し、EUの監督機関がコンプライアンスを直接監視できるようにしています。

5. 情報共有

DORAは、以下の目的のために信頼できる金融機関同士の協力を促進しています。

• ICT関連リスクの認知度向上。
• ICT脅威ベクターの拡散の最小化。
• 防御戦略、軽減技術、脅威インテリジェンスの共有。

DORA遵守に向けた準備

DORAへの準拠を達成することは複雑に見えるかもしれませんが、明確なアプローチをとることで対処可能になります。サイバーセキュリティのプラクティスとリスク管理計画を見直し、改善すべき領域を特定しましょう。リーダーを含むすべての従業員を対象とした定期的なトレーニングは、強固で備えのあるチームを作るために不可欠です。

ICTサービスプロバイダーとの契約を見直し、DORAの基準を満たしていることを確認してください。クラウドサービスやソフトウェアプロバイダーを含むすべての契約の包括的なインベントリを作成し、依存関係を特定してリスクを軽減します。これらの戦略的なステップを踏むことで、組織の運用レジリエンスを強化し、DORAの要件に適合させることができます。

これらの措置を遵守することで、組織はICTリスク管理および運用レジリエンスに関するDORAの高度な基準を満たすことができます。

DORA規制は欧州で統一されたレジリエンス基準を導入するものであり、英国のビジネスもこれを認識しておく必要があります。

英国の規制対象企業は、責任を持って効果的に運用リスクを管理し、堅牢なリスク管理システムによって業務を組織化することが義務付けられています。金融行動監視機構（FCA）の規則にはこの義務が明記されており、管理とガバナンス、リスク管理、内部統制、事業継続性、緊急時対応計画、アウトソーシングの実践に関する規定が含まれています。

これらの既存の要件は、オペレーショナルレジリエンスを対象とした新たな規定によって拡張されつつあります。DORAのサイバーセキュリティフレームワークはこれらの措置をさらに強化し、企業がICTリスクに包括的に対処し、デジタル脅威から防御できるようにします。更新された体制では特定の種類の企業に対する要件が導入され、FCAの規制対象外であるサービスプロバイダーにもこれらを拡大することが提案されています。

英国のオペレーショナルレジリエンス体制

英国のオペレーショナルレジリエンス体制は、EUのDORAよりもオペレーショナルリスクに対して広範なアプローチをとっています。デジタルやICTインシデントに起因するものだけでなく、あらゆる業務中断に耐えうる企業の能力を重視しています。

このフレームワークは、銀行、保険会社、および重要な投資法人に適用されます。特定の基準を満たす場合は、資産運用会社も対象に含まれる可能性があります。

DORAとは異なり、英国のフレームワークはより広範なリスクを考慮し、レジリエンスに対してより包括的なアプローチを採用しています。

英国のフレームワークが対象とする組織の数はDORAよりも少ないものの、レジリエンスをより広い視野で捉えています。デジタルリスクにとどまらず、あらゆる原因による業務中断に企業が対処できるよう支援することに重点を置いています。

DORAコンプライアンスとは何でしょうか？単なる新たな規制に過ぎないのでしょうか、それとも企業がレジリエンスとサイバーセキュリティにどう取り組むかを再考する好機なのでしょうか？多くの企業にとって、これは新たな出発点であり、分散したシステムを統一されたアプローチに置き換え、デジタル世界における信頼と安定性を構築するチャンスです。

DORAへの準拠は、企業に対してプロアクティブなマインドセットを取り入れ、ICTリスクに対処し、サードパーティサービスプロバイダーを含むサプライチェーン全体でレジリエンスを確保することを促します。DORAは、組織が業務のサイバー脅威に対する耐性を高め、安全で相互接続された経済という欧州のビジョンに足並みを揃えるよう後押ししています。

DORAコンプライアンスの真の価値は、企業がどのように対応するかによって決まります。単なる課題と捉えるのか、それともレジリエンスを強化し競争優位性を獲得する好機と捉えるのか、今後の動向が注目されます。

サーバーサイドトラッキングは、データのセキュリティと信頼性を向上させることで、企業がDORAなどの規制に準拠できるよう支援します。Stapeは、DORA基準の施行に向けてその要件を満たすべく取り組んでいます。 

StapeはISO 27001、HIPAA、およびGDPRに準拠しており、データを保護しプライバシーを確保しています。当社は常に最新の規制に対応し、安全で信頼性の高いトラッキングソリューションを提供することに尽力しています。Stapeは、トラッキング環境を最大限に活用しながら自社のデータを保護したいと考えるすべての企業にとって、安全で信頼できるパートナーです。

DORAの技術基準とは何ですか？

DORAは、金融機関およびその主要なサードパーティICTサービスプロバイダーに対し、2025年1月17日までにシステムへ組み込むべき義務的な技術基準を定めています。

DORAは、以下の4つの主要分野にわたって技術的要件を概説しています：

• ICTリスク管理とガバナンス：テクノロジー関連のリスクを管理するための堅牢なフレームワークを確立する必要があります。
• インシデント対応と報告：ICTインシデントの処理および報告のための効果的なプロセスを確保する必要があります。
• デジタルオペレーショナルレジリエンスのテスト：ICTシステムの耐障害性を評価するために定期的なテストを実施する必要があります。
• サードパーティリスク管理：外部のテクノロジープロバイダーに対する監視を強化する必要があります。

DORAは、集団的なレジリエンスを促進するために情報共有を推奨していますが、これは任意とされています。

これらの要件は比例原則に基づいて適用され、小規模な組織には大規模な金融機関よりも少ない義務が課されます。具体的な規制技術基準（RTS）および実施技術基準（ITS）は現在も策定中ですが、本法はすでにコンプライアンスに対する明確な基準を定めています。

DORAに違反した場合の罰則はありますか？

DORAの基準が最終決定され、2025年1月の期限を迎えると、「管轄当局（competent authorities）」と呼ばれる各EU加盟国の指定規制当局がそれらを執行します。これらの当局は、DORAのコンプライアンス要件を満たすために脆弱性に対処する特定のセキュリティ対策の実施を金融機関に要求する権限を持ちます。また、違反に対する罰則も決定します。こうした罰則には、各国の裁量に基づいて行政処分や、場合によっては刑事罰が含まれます。

欧州委員会によって「重要（critical）」と分類されたICTプロバイダーについては、欧州監督当局（ESA）の主任監視官が直接監督を担当します。管轄当局と同様に、これらの主任監視官もセキュリティ改善を命じ、是正措置を強制し、非遵守に対して罰則を科すことができます。 

DORAは他のサイバーセキュリティ規制とどう違うのですか？

DORAは、今後数年のうちに施行される多くの重要なサイバーセキュリティ規制の1つです。2024年10月に適用開始となるNIS2指令も、欧州の企業や組織に対するデジタルセキュリティ要件を定めています。

EUのDORAコンプライアンスは、すべての加盟国の金融セクターにおけるオペレーショナルレジリエンスとサイバーセキュリティの慣行を標準化することを目的として設計されています。DORAは金融セクターに特化しており、そのニーズに確実に対処します。一方、NIS2はより広範な適用範囲を持ち、エネルギー、医療、輸送などすべての重要セクターを対象としています。

DORAの法的なアプローチはNIS2とは異なります。DORAは規則（Act）としてすべてのEU加盟国に一律に直接適用されますが、NIS2は指令（Directive）であるため、各加盟国の国内法に置き換える必要があります。

どちらもITセキュリティの向上に焦点を当てていますが、金融セクターにおいてはDORAが優先され、主要な規制フレームワークとして機能します。

EU機関と協業するEU域外の企業もDORAの影響を受けますか？

EUのDORA法は、EU域外の金融機関、特にEU市場にサービスを提供している、またはEU市場で事業を展開している組織に大きな影響を与えます。

これらの企業は、市場へのアクセスを維持し、EU拠点のクライアントとの取引を継続するために、DORAの基準を満たす必要があります。これは、コンプライアンスコストの増加、運用の調整、そして戦略の転換の可能性を意味します。

また、DORAはEUの金融機関のサプライチェーンに組み込まれるEU域外の組織にも影響を与え、エコシステム全体に厳格な要件を課します。

その結果、DORAの影響力はEUを越えて拡大しています。グローバルな金融セクターを形作り、世界中でオペレーショナルレジリエンスの重要性を際立たせています。

StapeはDORAに完全に準拠しており、最高水準のデータ保護とサービスの信頼性基準を満たしています。当社はDORAの重要性と、EU全体のデジタルサービスの完全性を保護するその役割を深く理解しています。当社のコンプライアンスに関する詳細情報は、オペレーショナルレジリエンスとユーザーデータ保護への取り組みを紹介しているTrust Centerでご確認いただけます。

サイバー脅威が頻発し深刻化する現代において、私たちはそれらに対する強固な盾を築くために必要な措置を講じなければなりません。DORAのような規制は、企業がリスクに備え、適切に対処するのを後押しします。DORAの目的は、システムを安全に保ち、顧客データを保護し、不安定な状況下でも機能し続けることです。 

• NIS2指令
• デジタルオペレーショナルレジリエンス法（DORA） - 規則 (EU) 2022/2554
• デジタルオペレーショナルレジリエンス法（DORA）
• デジタルオペレーショナルレジリエンス法（DORA）
• デジタルオペレーショナルレジリエンス法（DORA）とは？