金融サービス業界においてコンプライアンスは、罰金や風評被害を避けるために必要なチェックボックスの積み重ねであり、必要な負担であると考えられがちである。しかし、デジタル・オペレーショナル・レジリエンス法（DORA）は単なるチェックボックスの一つではない。DORAは、規制当局が欧州の企業に期待するデジタル・リスク管理のあり方における、より深い転換を意味している。
CISO や ID リーダーにとって、DORA はコンプライアンスを長期的なリスク削減と回復力の原動力 に変えるチャンスである。この機会を実現するには、まずアイデンティティから始める必要がある。
金融機関におけるすべてのデジタル・トランザクションは、基本的なセキュリティ上の疑問から始まる。ハイブリッド化、クラウド接続化、リモート化が進む環境では、アイデンティティの確認と管理はこれまで以上に複雑で重要なものとなっている。
DORA は、安全で弾力性のある ID システムがなければ、いかなる組織も危機の間にも業務の継続 性を維持することはできないと認識している。アイデンティティのコントロールを失えば、ビジネスのコントロールを失うことになる。
従来の ID システムは、今日の脅威の状況や規制上の期待に対応するようには設計されていな かった。それらは、多くの場合、反応的で、ポリシーに左右され、パスワードと手動プロセスに大きく依存している。
よくあるギャップは以下の通り：
- 静的アクセスポリシー 文脈上のリスクを考慮しない
- 視界不良 リアルタイムのアイデンティティ行動へ
- 事故対応の遅さ サイロ化したIDツールによるもの
- バックアップ戦略なし IAMシステムがオフラインになった場合
DORA はそれ以上のことを期待している。DORAは、金融機関に対し、業務回復力プログラムの一環としてIDリスクを積極的に管理することを求めている。2025年1月17日にDORAの施行が開始されたため、EU域内で活動する金融機関はこれらの要件に対応しなければならない。
アイデンティティ・リスク管理は、アクセス制御の実施にとどまらない。それは、ユーザー、デバイス、アクセス試行がもたらすリスクを継続的に評価し、セキュリティ対応を動的に適応させることを意味する。
例えば、こうだ：
- ユーザーが信頼できるデバイスで、既知の場所からログインしているか。
- 彼らの行動は過去のパターンと一致しているか？
- ソーシャル・エンジニアリングの可能性を示すヘルプデスクへのリクエストが増加している？
これらのシグナルは、認証とアクセスの決定を導くリアルタイムのリスク・プロファイルの構築に役立つ。
RSA のアイデンティティ・プラットフォームは、DORA のアイデンティティ・リスク要件に対応するために構築されています。
- Risk AI 行動シグナルを分析し、危険なアクセスを検出してブロックする
- ヘルプデスク・ライブ・ベリファイ ソーシャル・エンジニアリングによる攻撃を、人との対話の時点で防ぐ。
- パスワードレス・ソリューション (FIDO2認定ソリューション、OTP、バイオメトリクスなど）により、クレデンシャルに関連する侵害を削減する。
- RSAガバナンスとライフサイクル ポリシーの実施とコンプライアンス報告を合理化
- ハイブリッド・フェイルオーバー システムダウン時でも認証が継続される
これらのツールを併用することで、金融機関はアイデンティティをダイナミックなデータ主導のリスク機能として管理することができる。
規制遵守は出発点である。しかし、DORAの最低限必要な要件を超えている機関は、より安全で、より機敏で、より信頼できる業務を構築することができる。
今すぐIDリスク管理に投資することで、CISOは次のことが可能になる：
- 違反の可能性と影響を減らす
- 監査のコストと複雑さを軽減
- アダプティブなパスワードレスアクセスによるユーザーエクスペリエンスの向上
- すべてのデジタル業務に持続的なレジリエンスを構築する
DORA は、ID を再考するための警鐘である。単にアクセスのゲートキーパーとしてではなく、重要なリスクシグナルとして、そしてレジリエンスの礎石として。
RSA を利用することで、金融機関はこの課題に立ち向かうことができます。
RSAのウェビナーをご覧ください、 DORA & Digital Risk: Strengthening Identity Security in Financial Services（DORAとデジタル・リスク：金融サービスにおけるアイデンティティ・セキュリティの強化）」では、アイデンティティ・セキュリティにおけるDORA準拠の本当の意味、DORA監査に備えるためのベスト・プラクティス、ユーザー承認、アクセス、認証、事業継続に関連する主要なコンプライアンス義務について学ぶことができる。
