エンジニアリングチームとセキュリティチームがDORAの技術要件を満たす方法

【なぜ重要か】 2025年1月17日から施行されたEUのデジタル運用レジリエンス法（DORA）は、EU域内の金融機関に対して運用レジリエンスを実証可能な形で維持することを義務付けています。この規制は既存のISO 27001やNIS2よりも厳格で、金融セクター特有のリスクに特化しており、日本の金融機関でもEU事業展開時には対応が必要になります。

【ポイント】

• DORAは5つの柱（ICTリスク管理、インシデント報告、デジタル運用レジリエンステスト、ICT第三者リスク管理、情報共有）で構成され、インシデントは分類から4時間以内の初期報告が必要
• エンジニアリングチームには、セキュアな開発プラクティスの文書化、依存関係の完全な責任、変更履歴の追跡可能性が求められる
• セキュリティチームには、本番環境の継続的リスク可視化、自動化された脆弱性処理、実際のシステム動作を反映した証跡管理が必要
• 大規模で高速に変化するコードベース、数百の依存関係、断片化されたセキュリティツールが実装を困難にしている
• Aikido SecurityはAI駆動のプラットフォームとして、ソースコードからクラウド、ランタイム環境まで一元的なセキュリティ可視性を提供し、継続的なテスト、AI駆動の侵入テスト、コンプライアンス対応レポートでDORA要件をサポート

【まとめ】 DORAは証拠に基づく運用レジリエンスの実証を求める厳格な規制であり、技術的な可視性とテスト機能、監査対応データの統合的な管理が成功の鍵となります。