ポイント: 金融機関は、リスク管理、インシデント報告、ビジネス継続性などの領域に対処することによって、メインフレームシステムがデジタル運用レジリエンス法（DORA）に準拠していることを確認しなければなりません。組織がコンプライアンス準備を最終化するのを助けるために、最後のチェックリストが提供されています。
- 運用レジリエンスとデータの整合性に焦点を当てます。
- サードパーティの依存関係を定期的に評価し、インシデント応答メカニズムを強化します。
1月17日の< a href="/learn/digital-operations-resilience-act-dora-explained.html">デジタル運用レジリエンス法（DORA）への準拠期限が迫っている中、ヨーロッパの銀行および金融機関は準備を最終化するために奮闘しています。多くの組織が過去数か月、あるいは数年にわたり、DORAの要件に合わせてシステムやプロセスを整えてきた一方で、メインフレームシステムなどの重要な要素にはまだ注意が必要な場合があります。メインフレームは金融セクターの主要な業務を支えているため、DORAに準拠することは単なる必要性ではなく、戦略的な命題です。本記事では、メインフレーム関連のDORA準拠のための包括的な最後のチェックリストを提供します。あなたが準備に自信を持っているか、見落としがないか確認したい場合でも、これらのステップはあなたのメインフレームシステムがDORAの厳しい要件を満たす準備が整っていることを保証するのに役立ちます。
DORAのメインフレームにおける焦点領域
DORAの核心原則は、金融機関がサードパーティのサービス供給者を含むIT全体のランドスケープを理解し、潜在的な脆弱性を特定し、システム、データ、顧客をサイバー脅威や混乱から保護するための堅牢で自動化された戦略を実施する必要性を強調しています。DORAは情報および通信技術（ICT）システム、サードパーティのリスク管理、インシデント報告、回復力テスト、情報共有に広く焦点を当てていますが、メインフレームシステムを持つ企業は以下のような特有の考慮事項に対処する必要があります：
サービスの認知と可用性
- 定期的なヘルスチェックを実施し、メンテナンスタスクを自動化し、ワークロードパターンに基づいて予測アラームを実装します。
- DORAの透明性要件を満たす堅牢なロギングメカニズムを通じてメインフレームの活動を可視化します。
- システムの可用性を維持し、責任基準を満たすために、潜在的な問題を特定し対処するための積極的な戦略を採用します。
リスク管理
- メインフレームアーキテクチャに特有の問題を特定し修正するために、定期的な脆弱性評価とペネトレーションテストを実施します。
- 暗号化メカニズム、アクセス制御、リアルタイムモニタリングを含むセキュリティコントロールを強化します。
- 脅威インテリジェンスフィードを活用し、メインフレーム特有の脅威に対する堅牢なインシデント検出および対応プロトコルを実装します。
ビジネス継続管理
- メインフレームの故障シナリオに合わせた回復計画を策定し、定期的にテストを実施し、自動バックアップおよび不変のデータコピーを組み込みます。
- 継続的な運用のためにフェイルオーバーメカニズムが整備されていることを確認し、シミュレーション演習を通じてその効果を検証します。
- メインフレームバックアップデータのためにクラウドストレージを活用し、スケーラビリティ、可用性、災害復旧オプションを強化します。
インシデント管理
- メインフレームの監視アラートを企業全体のサービスコンソールに統合し、統一されたインシデント管理を実現します。
- セキュリティオペレーションセンター（SOC）と協力し、重要なセキュリティイベントのリアルタイム伝送および対応を確保します。
- 一般的な脅威シナリオに対する自動応答プレイブックを開発し、新たなリスクに対処するために継続的に洗練させます。
ガバナンスとコンプライアンス
- 自動脆弱性スキャンツールとコンプライアンスチェックを使用してガバナンスプロセスを簡素化します。
- 自動報告および定期監査を通じて、規制基準への継続的な遵守を維持します。
- 規制の更新に合わせて進化するガバナンスフレームワークを設計し、継続的なコンプライアンスを確保します。
これらの領域に対処することにより、金融機関はメインフレームシステムを運用レジリエンスの礎石として位置付け、DORAの要件に完全に整合させることができます。
DORA準拠のための最後のメインフレームチェックリスト
これらの焦点領域に基づいて、準拠準備を確保するための具体的なチェックリストを以下に示します：
1. 運用レジリエンスを評価する
- 脆弱性を特定するためにストレステストとシミュレーションを実施します。
- 災害復旧（DR）およびビジネス継続（BC）計画にメインフレーム特有のシナリオが含まれていることを確認します。
- バックアップおよびフェイルオーバーシステムが必要な時間内に運用を復元できることを保証します。
- 活動の実行に必要なデータを正確に処理し、サービスをタイムリーに提供するための十分なキャパシティを確保します。
2. データの整合性とサイバーの回復力を確認する
- 暗号化プロトコルを含むデータ保護メカニズムを監査します。
- 安全で迅速な復元のためにバックアッププロセスを見直し、更新します。
- セキュリティパッチと更新が最新であることを確認します。
3. サードパーティ依存関係を監視する
- サードパーティ契約をDORAと整合させるために見直します。
- ベンダーが適切なリスク管理措置を実施していることを確認します。
- 混乱時にサードパーティサービスを置き換えたり補償したりする能力を評価します。
4. インシデント報告と対応を強化する
- リアルタイムのインシデント検出とログ記録を可能にします。
- メインフレームのインシデントを広範な応答フレームワークに統合するようにエスカレーション手順を更新します。
- 報告メカニズムがDORAのタイムリーさと正確さの要件を満たしていることを確認します。
5. リスクとコンプライアンスツールを近代化する
- リアルタイムの監視と脆弱性分析のためにAI駆動のツールを実装します。
- 運用リスク管理とサイバーセキュリティリスク管理を統合します。
- コンプライアンス報告を自動化して正確性を確保し、手間を最小限に抑えます。
6. DORA基準にガバナンスを整合させる
- メインフレームのレジリエンスに対する特定の責任を割り当てます。
- DORAとの整合性を示すためにガバナンスプロセスを文書化します。
- メインフレームのコンプライアンスニーズについて経営者を訓練します。
7. ハイブリッド環境でビジネス継続性をテストする
- メインフレームとハイブリッドシステムを含む継続性テストを実施します。
- シームレスなフェイルオーバーを確保するために統合問題に対処します。
- システムが最新のテクノロジーとデータやリソースを共有できることを確認します。
8. 規制報告メカニズムを検証する
- DORA準拠の報告システムを自動化し、テストします。
- 報告メカニズムが規制の締切を満たしていることを確認します。
9. 国境を越えたデータ転送を見直す
- DORAおよびEU一般データ保護規則（GDPR）への準拠のためにデータ転送プロセスを監査します。
- 無断アクセスや侵害を防ぐためのセーフガードを実施します。
10. コンプライアンスの証拠を文書化する
- 監査、テスト、システムアップグレードの詳細な記録を維持します。
- 文書が適切に整理され、監査のためにアクセス可能であることを確認します。
非準拠のコスト
DORAに準拠しない場合、重大な罰金、評判の損害、業務の混乱が生じる可能性があります。金融機関にとって、運用レジリエンスは規制要件であるだけでなく、顧客の信頼と競争優位性の礎でもあります。
BMCがどのように支援できるか
BMC AMIは、メインフレームのDevOps、AIOps、DataOps、SecOps、およびハイブリッドクラウドデータ保護の包括的なソリューションを提供し、メインフレーム管理を簡素化し、運用レジリエンスを強化し、コンプライアンスを効率化します。当社のハイブリッドAI技術は、組織が混乱を予測して防止し、サイバー脅威から保護し、堅牢なガバナンスを維持するのに役立ちます。
結論
DORAが発効した今、メインフレームシステムが準備できていることを確認する時です。上記の焦点領域に対処し、チェックリストに従うことにより、コンプライアンスを達成するだけでなく、組織の運用レジリエンスを強化することもできます。これらのステップを今日から実施し、BMCのソリューションを探求してメインフレームシステムのコンプライアンスとレジリエンスを簡素化してください。
これらの投稿は私自身のものであり、必ずしもBMCの立場、戦略、または意見を代表するものではありません。