DORA規則、正式名称はデジタル・オペレーショナル・レジリエンス法（規則(EU) 2022/2554）は、2025年1月17日から、決済機関、電子マネー機関、投資会社、暗号資産サービスプロバイダーなど、幅広いEUの金融機関に適用されています。フィンテックにとってDORAは、テクノロジーリスクをIT部門の話題から、取締役会レベルの文書化された義務へと変えるものです。本ガイドでは主要な柱を説明し、実践的な準備チェックリストを示します。本記事は一般的な情報であり、法的助言ではありません。
何であるのか
DORAは規則であるため、技術基準に支えられながら加盟国全体に直接適用されます。DORAは5つの柱で構成されています。ICTリスク管理では、特定、防御、検知、対応と復旧、学習、コミュニケーションを網羅する文書化されたフレームワークが求められ、最終的な責任は経営陣が負います。ICT関連インシデント管理では、インシデントの分類と、重大インシデントの所管当局への所定期間内の報告が求められます。デジタル・オペレーショナル・レジリエンステストでは、事業体に見合ったテストプログラムが求められます。当局が指定した一部の事業体は、特定の規則に基づく脅威ベースのペネトレーションテストも受けなければなりません。ICTサードパーティリスク管理では、すべてのICTサービス契約に関する情報登録簿、契約前のリスク評価、特定の契約条項、出口戦略が求められます。脅威に関する情報共有は、信頼できるコミュニティ内で推奨されています。全体を通じて比例原則が適用され、小規模で相互接続性のない投資会社や、適用除外となる一部の決済機関・電子マネー機関など、定められた一部の小規模事業体は、第16条の簡素化されたICTリスク管理フレームワークを適用できます。
誰のために
本ガイドは次のような方を対象としています。
- DORAの金融機関の一覧に含まれる、決済、電子マネー、暗号資産、投資などのライセンスを持つフィンテック
- DORAプログラムを構築またはレビューしているコンプライアンス、リスク、テクノロジーの責任者
- 金融機関にサービスを提供し、DORAの契約要件を受けているICT事業者やソフトウェアベンダー
- 投資家や取締役会にDORAの要求事項を説明する必要がある創業者
明確にするのに役立つこと
各柱を確認することで、次の点が明確になります。
- 自社の事業がどの重要または重要性の高い機能を支え、それらがどのICTシステムに依存しているか
- サードパーティ登録簿と契約に、DORAが求める内容が含まれているか
- 自社の規模とリスクプロファイルを踏まえ、レジリエンステストのプログラムに何を含めるべきか
- ガバナンス文書を裏付ける技術的な証跡がどこで不足しているか
含まれる内容
- ガバナンス：ICTリスクフレームワークに対する経営陣の承認と監督を確認し、役割を文書化する
- 資産と機能のマッピング：重要または重要性の高い機能と、それを支えるシステム、データ、事業者を特定する
- 防御と検知：それらのシステムのアクセス制御、MFA、ログ記録、監視を見直す
- インシデント管理：重大インシデントの分類基準、意思決定者、報告のワークフローを定める
- 事業継続：重要な機能のバックアップ、復元、復旧目標をテストする
- テストプログラム：リスクに見合った脆弱性診断、シナリオテスト、ペネトレーションテストを計画する
- サードパーティ登録簿：すべてのICT契約について、機能、データ、所在地、再委託の詳細を一覧化する
- 契約：サービス内容、データの所在地、監査・アクセス権、インシデント時の支援、契約終了条件など、必要な条項があるかを確認する
- 出口戦略：重要な事業者から移行する方法を文書化する
- 集中リスク：複数の重要な機能が1つの事業者に依存している箇所を記録する
含まれていないもの
- 自社の特定のライセンスに関する法的助言や規制上の解釈
- 規制当局が指定するフレームワークに基づく脅威ベースのペネトレーションテスト
- 当局へのインシデント報告や登録簿の提出
- 認証やコンプライアンス上の承認
それを選ぶべきとき
DORAプログラムの準備やレビューの際、主要なICT事業者との契約更新の前、そして年間テスト計画を確定する前に、本ガイドを使ってください。所管当局が具体的なガイダンスや要請を出している場合は、そちらを優先してください。金融機関にサービスを提供するベンダーは、サードパーティの項を活用して契約や監査の要請に備えてください。本記事は一般的な情報であり、法的助言ではありません。
私たちのアプローチ
多くのフィンテックでは、文書は存在するものの、技術的な証跡が乏しいことに気づきます。まず、重要な機能をシステムと事業者に対応付けてください。この一つの作業が、登録簿、テストのスコープ、事業継続計画を動かします。次に、主要な管理策が実際にどう機能しているかの証跡を集めます。当社のSecurity Baseline Reviewは、合意した資産について深刻度別の見解を書面で提供でき、設定とアクセス制御の現状を示すのに役立ちます。レジリエンステストのプログラムの一環としてのアプリケーションやAPIのテストについては、当社のPenetration Testing サービスが書面のスコープと許可に基づいて作業し、深刻度別の指摘事項を提供します。含まれる場合は、合意した指摘事項の再テストも行います。いずれも、それぞれ独自のプロセスで進められる規制当局指定の脅威ベースのテスト、法的助言、コンプライアンス上の承認を補完するものです。経営陣のレビューや監督当局からの質問に記憶ではなく記録で答えられるよう、各証跡に日付を付け、それが支える機能と結び付けて保管してください。
よくある質問
関連記事
始めよう
DORAプログラムのための技術的な証跡が必要ですか？
確認したい重要な機能、システム、事業者をお知らせください。スコープを定めたレビューまたはテスト計画をご提案します。
書面のスコープを依頼する