【更新情報】当初 2023年8月24日に掲載されたこの記事は、DORA規制および今月迫る施行期限に関する最新情報を反映させるため、更新されました。
「 」デジタル・オペレーショナル・レジリエンス法（、通称DORA）は、の金融サービス業界 に向けた画期的な規制枠組みであり、欧州連合（EU）が 2022年に可決したものです。 2023年1月16日に発効しましたが、 2025年1月17日に全面的に施行されました。
DORAは、ランサムウェア、サプライチェーン攻撃、その他のサイバーセキュリティ上の脅威といったリスクに対する金融機関のレジリエンスを強化することを目的としています。 この規制では、金融セクターの事業体およびその情報通信技術（ICT）サービスプロバイダーに対し、サイバーセキュリティ対策、特にインシデント対応 および復旧計画の改善が義務付けられています。
この記事では、DORAについて知っておくべきことをすべて解説しています。 まずは、DORAの定義について説明し、一般データ保護規則（GDPR）との違いについて解説します。 続いて、そのメリットや主要な目的、影響を受けるさまざまな業界について検討し、ICT分野のサードパーティサービスプロバイダーにとっての具体的な影響についても取り上げます。
最後に、DORAへの準拠を確保するための、大まかなベストプラクティスをご紹介します。 それでは、DORAがデジタルレジリエンスの強化においてどのような意義を持つのか、詳しく見ていきましょう。
DORAコンプライアンスとは何ですか？
DORAコンプライアンスは、サイバー脅威に対する強固なリスク管理フレームワークと対応計画を策定することで、不備を是正し、業務の混乱を未然に防ぎます。 これらの基準は、EUの金融機関が、業務の回復力を維持し、新たな規制要件を遵守することで、サイバーセキュリティ事象の影響を効果的に管理・軽減できるようにすることを目的としており、これに違反した場合は深刻な影響を受けることになります。
[関連記事：コンプライアンス管理とは？ 【種類と改善のヒント】
DORA違反に対する罰則は、非常に厳しいものとなる可能性があります。 DORA規則には罰金や刑事制裁は含まれていませんが、EU加盟各国は、国内法においての罰則や の刑事制裁を定めることができます。 These may include fines of up to 2% of an entity's total annual worldwide revenues or up to 1 million euros and even steeper penalties of up to 5 million for critical third-party ICT providers.
幸いなことに、DORAに準拠することには大きなメリットがあります。 「DORAを遵守することは、その明確な要件や根底にある原則を順守する人々にとって、大きなメリットをもたらします」と、セキュリティベンダーRed Siftのサイバーガバナンス責任者であるロイス・ニ・トゥアマ氏は述べています。 「経済的なメリットは極めて大きく、これにより意思決定の質が向上し、既知の脅威を放置することによるコストを回避することができます。」
DORAの定義が明らかになったところで、皆さんは「最近、GDPRで似たようなことを経験したばかりではなかったでしょうか？」と思われるかもしれません。 DORAとGDPRを簡単に比較し、両者の類似点と相違点を理解した上で、それぞれの規制がどのように独自の方法でデジタルレジリエンスとデータ保護を強化しているのかを見ていきましょう。
DORAとGDPRはどのように異なるのでしょうか？
DORAは、既存の サイバーセキュリティフレームワーク（ ）を活用し、これを基盤として金融機関の業務レジリエンスを強化するものであるため、GDPRや米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワークといった定評のある基準と同じ原則の多くを取り入れており、その要件に対する強固な基盤を提供しています。
しかし、DORAとGDPRはいずれも重要なEUの規制ではありますが、その重点や適用範囲は異なります。 GDPRはより広範な範囲をカバーしており、個人データを扱うすべての組織におけるデータ保護とプライバシーに重点を置いています。 DORAは、特に金融セクターを対象とし、ICTリスクと業務継続性に重点を置いており、金融機関がICTに関連するあらゆる混乱や脅威に耐え、対応し、復旧できるよう確保することを目的としています。
DORAは、これらの主要な目標に焦点を当てることで、金融セクター全体のレジリエンスとセキュリティの向上を目指しています。
DORAの主な目的は何ですか？
DORAの最終的な目標は、金融機関に対する業務レジリエンス要件を標準化し、EU全域で統一された規制環境を構築することで、より強靭なリスク体制を確保することです。
これを実現するため、DORAの要件は規範的であり、組織が 効果的なリスク管理、インシデント管理および報告、ならびにガバナンスの実践をどのように実施するかに重点を置いています。具体的には、以下の内容が含まれます：
- リスク管理の強化： 金融機関および対象となるすべての事業体は、サイバー脅威や情報システムの運用上の混乱など、リスクに対処し、軽減するための包括的な戦略を策定しなければなりません。 また、リスクを効果的に管理していることを示すため、リスク評価を定期的に実施する必要があります。
- インシデント管理および報告体制の強化： 組織は、サイバーセキュリティインシデントに対処し報告するための堅牢なインシデント管理および報告体制、ならびに、情報通信技術サービスプロバイダーを通じて外部委託または契約されている重要な機能を含む業務のための事業継続計画を整備しなければなりません。
また、DORAでは、金融機関に対し、ICT関連の重大なインシデントを所管当局に3段階に分けて報告することを義務付けています。具体的には、 24 時間以内の初期通報、72 時間以内の中間報告、および1ヶ月以内の最終報告です。 これらの報告書には、インシデントの種類、影響を受けた範囲、影響内容、および解決に向けた措置などの詳細を記載する必要があります。 これにより、タイムリーな情報共有と効果的なインシデント管理が確保され、運用全体のレジリエンスが向上します。 - デジタル業務レジリエンスのテストを推進しましょう： システムやプロセスが障害に耐え、そこから復旧できることを確保するため、デジタル業務レジリエンスの定期的なテストが義務付けられています。 脅威主導型侵入テスト（TLPT）の実施は、DORAにおけるレジリエンステストの重要な要素です。これは、現実のサイバー攻撃をシミュレートして脆弱性を特定するためです。 金融機関は、高価値資産を対象にTLPTを実施し、技術的な統制、組織的なプロセス、およびインシデント対応能力を検証するため、毎年、独立した外部機関を活用しなければなりません。
- ガバナンスと監督体制の確立： DORAでは、金融機関に対し、効果的なリスク管理および規制基準、方針、統制へのITコンプライアンスを確保するため、強固なガバナンスと監督体制の実施が求められています。 DORAの下では、金融機関の経営陣は、ICTリスク管理フレームワークに関連するすべての取り決めの策定、承認、監督、および実施に責任を負います。これには、高い水準のデータセキュリティを維持するための方針の策定、ICT関連機能における明確な役割と責任の確立、およびこれらの機能間の効果的なコミュニケーションと連携の確保が含まれます。
各社は、ICTリスクをどのように特定、評価、監視、および管理しているかを示すため、自社のフレームワークおよび内部のサイバーセキュリティガバナンス・統制フレームワークを規制当局と共有する準備を整えておく必要があります。
「レジリエンスに重点が置かれているのは喜ばしいことです」と、セキュリティ企業Spotitのオペレーションマネージャー、ウィム・レメス氏は述べています。 「この一連の規制は、規制上の要件について単に形式的に対応するだけの姿勢から脱却し、金融システムを保護するための、より包括的（かつより効果的な） コンプライアンス・リスク管理戦略 へと移行することを目的としています」とレメス氏は述べています。
DORAの主な目的について見てきましたので、次はDORAが影響を与える業界に焦点を当ててみましょう。 影響を受ける分野を特定することで、さまざまな分野におけるデジタルレジリエンスの強化において、DORAが及ぼす広範な影響と重要性をより深く理解することができます。
DORA規制の影響を受ける業界にはどのようなものがありますか？
DORAは、世界中の組織に影響を及ぼす、広範なEUの規制です。 主に金融セクターを対象としていますが、その影響は、銀行、決済事業者、電子マネー事業者、会計情報サービス事業者、投資会社、運用会社、商社、ブローカー、暗号資産サービス事業者、保険会社、その他の金融機関など、金融サービスに関連する幅広い業界にまで及びます。
「DORAの簡易版など存在しません」と、ニ・トゥアマ氏は説明しています。 EU域内または域外に拠点を置く企業にとって、「その影響は同じです」。
さらに、DORAの要件は、金融機関に重要なICTサービスを提供する第三者サービスプロバイダーにも大きな影響を及ぼします。 これらの要件は、金融セクターを支える上で極めて重要な役割を果たしているこれらの事業者にとって、その業務や責任に大きな影響を及ぼしています。
DORAは、ICT分野のサードパーティサービスプロバイダーにどのような影響を与えるのでしょうか？
DORAは、情報通信技術（ICT）サービスの提供事業者も対象としており、これにはデジタルおよびデータサービスの提供事業者（クラウド事業者、データ分析およびデータセンターサービス事業者、ハードウェアサービス事業者、電子通信サービス事業者）のほか、アナログ電話回線を提供する事業者も含まれます。
DORAの下では、ICTプロバイダーは、そのシステムへの影響、金融機関による当該プロバイダーへの依存度、およびその他の要因に基づき、「重要」と指定される可能性があります。 欧州保険・職業年金監督庁（EIOPA）、欧州銀行監督庁（EBA）、欧州証券市場監督庁（ESMA）からなる欧州監督当局（ESAs）は、ICTプロバイダーを「重要」と指定する責任を負っています。
重要なICT第三者サービスプロバイダーは、リスクを管理し、ICT関連のインシデントを軽減する能力を効果的に実証するため、定期的な評価や監査を含む、強化された監督枠組みを遵守しなければなりません。
しかし、ICTシステムのアウトソーシングに依存している金融機関は、徹底したデューデリジェンスを実施し、サードパーティリスクを継続的に監視することで、プロバイダーがDORAの要件を遵守していることを確認しなければなりません。
DORAがICT分野の第三者サービスプロバイダーにどのような影響を与えるかを理解することは、この規制の全容を把握する上で極めて重要です。 それでは、これらのプロバイダーやその他の影響を受ける事業体が、DORAの要件を確実に遵守するためにどのような取り組みを行えばよいかについて、大まかな指針をご説明いたします。
DORAへの準拠方法
Google Cloud（ ）をはじめとする大手テクノロジープロバイダー（）は、すでにDORAに準拠するために必要な変更を済ませています。 例えば、必要に応じてコンプライアンス計画を策定するため、リスク・コンプライアンス、セキュリティ、法務、政府渉外、および製品チームの各分野の専門家を一堂に集めました。
また、Google Cloudチームは次のように説明しました。「これらのプランは、セキュリティ、耐障害性、および のサードパーティ・リスク管理 といった分野における当社の強固な基盤の上に構築されており、これにより、EUの金融サービス業界のお客様は、すでに厳しい規制要件に対応することが可能となっています。」
「この一連の規制は、事業体が単に規制上の要件を形式的に満たすだけという姿勢から脱却することを目的としています。」Spotitのオペレーションマネージャー、ウィム・レメス氏
また、Googleは、重要な技術プロバイダーに指定される可能性や、それに伴う年次業務への対応に備え、監督計画の策定、検査の実施、提言、およびインシデント報告に関する顧客への助言を行いました。 Googleの戦略は、見習うべき優れたものです。企業は、DORAの要件に対して自社の能力がどの程度備わっているかを把握し、特定されたギャップを埋めるべきです。
DORAの素晴らしい点は、斬新な発想を必要としないことです。 「実際、これは本質的に、金融機関がベストプラクティスに従うことを求めているのです」とニ・トゥアマ氏は述べています。
Ni Thuama社は、DORAの遵守が求められる金融サービス企業およびテクノロジープロバイダーに対し、以下の6つの分野について自己評価を行うよう助言しています：
- ガバナンス
- リスク管理
- Reporting
- Testing
- サードパーティ・リスク
- 情報の共有
「彼らは、それらの重要な分野を洗い出し、各分野において現状を把握し、もし不足点があれば、それを補う必要があります」と彼女は助言しています。
さて、どこから始めましょうか？ Ni Thuama社は、各企業が「」ICTリスク管理フレームワーク（ ）を確認し、自社のテスト要件を特定することを推奨しています。 彼女は、企業は「ツールやシステムの定期的なテストを計画し、準備状況を評価するとともに、弱点、不備、あるいは欠落を是正すべきだ」と述べています。
451 Researchの情報セキュリティ研究責任者であるスコット・クロフォード氏は、結局のところ、DORAは企業に対し、本来すでに実施すべきことを行うよう求めていると指摘しています。 世界中の規制当局からも、サイバーレジリエンスに対して同様の重点が置かれることが予想されます。 「サービス拒否攻撃であれランサムウェアであれ、その形態がどうであれ、企業が重大なサイバーインシデントに対応できるよう確保するための規制は、今後も引き続き導入されていくでしょう」と彼は述べています。
Taniumは、デジタルレジリエンスを強化する包括的なソリューションを提供することで、DORA規制への準拠を目指す組織を支援しています。 当社の最新の機能強化である「 Tanium Autonomous Endpoint Management (AEM)」は、簡素化されたネイティブなAIおよび自動化機能を活用して多くの管理プロセスを効率化し、最も困難で変化の激しい環境においても、自動化ライブラリの構築、拡張、維持管理に必要な高度な専門知識の負担を軽減します。
当社の統合ソリューションは、セキュリティを最優先に設計されており、組織が今日の脅威環境の増大する複雑さに対処できるよう支援します。 組織、コミュニティ、およびサードパーティの脅威インテリジェンスをTanium Incident Response と統合したり、Tanium Risk & Compliance管理ソリューション におけるプロアクティブなリスクスコアを活用したりするなど、業界をリードする当社のリアルタイム機能は、環境内で現在何が起きているかを可視化します。これにより、組織はデジタル運用の保護に向けた取り組みに優先順位をつけ、DORAの厳格な要件を満たすことが可能になります。
Taniumを活用すれば、複雑なコンプライアンス要件にも自信を持って対応しつつ、サイバーセキュリティ体制全体の強化に向けた取り組みを迅速かつ効率的に進めることができます。 今すぐ、お客様の環境に合わせたTanium の無料デモをご予約ください。
