コンプライアンスを超えてアイデンティティ・リスク管理によるDORAへの対応

このブログは2025年に掲載されたものです。. 

「デジタル・オペレーショナル・レジリエンス法（DORA）」は、金融機関によるICT障害の管理、監視、および復旧の在り方を規定する、現在適用中のコンプライアンス義務であり、2025年1月17日より施行が開始されました。CISOにとって、この法律は「アイデンティティ」を単なるアクセス手段ではなく、業務レジリエンスの中核をなす管理手段として再定義するものです。.

コンプライアンスは、しばしば……において必要な負担と見なされています。 金融サービス—罰金や評判の低下を避けるためにチェックすべき項目のリスト。しかし、「デジタル・オペレーショナル・レジリエンス法（DORA）」は、単なるチェックリストを埋める作業ではない。これは、規制当局が欧州の組織に対してデジタルリスクの管理をどのように期待しているかという点において、より根本的な変化を表している。.

CISO や ID リーダーにとって、DORA はコンプライアンスを長期的なリスク削減と回復力の原動力 に変えるチャンスである。この機会を実現するには、まずアイデンティティから始める必要がある。

DORAのICTリスク管理の柱では、特に強力なアクセス制御、多要素認証、および監査対応可能なID記録が求められており、これによりID管理は単なる補助的な機能ではなく、コンプライアンスの運用上の基盤となっている。.

金融機関におけるあらゆるデジタル取引は、まず「アクセスを要求しているのは誰か」という基本的なセキュリティの問いから始まります。ハイブリッド化、クラウド接続、リモートワークがますます進む環境において、本人確認と管理はかつてないほど複雑化しており、その重要性もかつてないほど高まっています。.

DORA は、安全で弾力性のある ID システムがなければ、いかなる組織も危機の間にも業務の継続 性を維持することはできないと認識している。アイデンティティのコントロールを失えば、ビジネスのコントロールを失うことになる。

従来の ID システムは、今日の脅威の状況や規制上の期待に対応するようには設計されていな かった。それらは、多くの場合、反応的で、ポリシーに左右され、パスワードと手動プロセスに大きく依存している。

よくあるギャップは以下の通り：

• 静的アクセスポリシー 文脈上のリスクを考慮しない
• 視界不良 リアルタイムのアイデンティティ行動へと
• 事故対応の遅さ サイロ化したIDツールによるもの
• バックアップ戦略なし IAMシステムがオフラインになった場合

DORAはさらなる取り組みを求めています。同規則は、金融機関に対し、業務継続性プログラムの一環として、IDリスクを積極的に管理することを求めています。2025年1月17日にDORAの施行段階が始まったことを受け、EU域内で事業を行う金融機関は、これらの要件を遵守しなければなりません。.

アイデンティティ・リスク管理 ルールベースのアクセス制御の枠を超え、各ユーザー、デバイス、およびアクセス試行のリスクレベルを継続的に評価し、その情報に基づいて認証要件をリアルタイムで動的に調整します。.

例えば、こうだ：

• ユーザーが信頼できるデバイスで、既知の場所からログインしているか。
• 彼らの行動は、過去の傾向と一致しているのでしょうか？
• ソーシャル・エンジニアリングの可能性を示すヘルプデスクへのリクエストが増加している？

これらのシグナルは、認証とアクセスの決定を導くリアルタイムのリスク・プロファイルの構築に役立つ。

RSAのソリューションは、フィッシング対策認証や行動リスク検知から、ハイブリッドフェイルオーバーやガバナンス報告に至るまで、DORAのアイデンティティに関する各要件に対応しています：

• Risk AI 行動の兆候を分析し、危険なアクセスを検知・遮断する
• ヘルプデスク・ライブ・ベリファイ ソーシャル・エンジニアリングによる攻撃を、人との対話の時点で防ぐ。
• パスワードレス・ソリューション (FIDO2認定ソリューション、OTP、バイオメトリクスなど）により、クレデンシャルに関連する侵害を削減する。
• RSAガバナンスとライフサイクル ポリシーの実施とコンプライアンス報告を合理化
• ハイブリッド・フェイルオーバー システムダウン時でも認証が継続される

これらのツールを併用することで、金融機関はアイデンティティをダイナミックなデータ主導のリスク機能として管理することができる。

DORAの最低要件を満たすことは、あくまで「最低ライン」であり、「上限」ではありません。DORAをID管理の近代化を推進する原動力として活用する組織は、単にチェックリストをこなすだけと捉える組織に比べ、情報漏洩の発生が少なく、監査の迅速化が図られ、より強靭な運用体制を確立することになるでしょう。.

今すぐIDリスク管理に投資することで、CISOは次のことが可能になる：

• 違反の可能性と影響を減らす
• 監査のコストと複雑さを軽減
• アダプティブなパスワードレスアクセスによるユーザーエクスペリエンスの向上
• すべてのデジタル業務に持続的なレジリエンスを構築する

DORA は、ID を再考するための警鐘である。単にアクセスのゲートキーパーとしてではなく、重要なリスクシグナルとして、そしてレジリエンスの礎石として。

RSAを活用することで、金融機関はその課題に立ち向かうことができ、アイデンティティ管理を単なるコンプライアンス対応にとどまらず、業界をリードする手段として活用できるようになります。.

RSAのウェビナーをご覧ください、 DORAとデジタルリスク：金融サービスにおけるIDセキュリティの強化, 、アイデンティティ・セキュリティにおけるDORA準拠が実際に何を意味するのか、DORA監査に備えるためのベストプラクティス、およびユーザーの権限付与、アクセス、認証、事業継続に関連する主要なコンプライアンス上の義務について学びます。.