ポイント: DORAは、EMEAの金融部門におけるメインフレームチームに対するコンプライアンスの課題を導入し、サイバー脅威に対する運用レジリエンスを強調しています。主なポイントには、非遵守に対する潜在的な罰則や独立したセキュリティ評価の必要性が含まれます。
- 罰則は年間収益の1％に達し、刑事責任を伴う可能性があります。
- 組織は、サイバー脆弱性を強化するために不変バックアップソリューションを採用しています。
過去1ヶ月間、私はEMEAおよび英国の14の最大の金融機関のメインフレームチームとEUのデジタル運用レジリエンス法（DORA）について話し合う機会がありました。これらの会話からの主なポイントは次のとおりです。メインフレームチームにとって、DORAの要件は以前の規制ガイドラインとは異なるという一般的な合意があります。:
- 年間収益の1％に相当する罰金や刑事責任が、経営者や取締役の関心を集めています。
- DORAが「すべての重要インフラ」を呼びかける中で、メインフレームインフラに対する注目がこれまで以上に高まっています。
- DORAはすべての重要インフラに対して独立した侵入テスト/セキュリティ評価を要求しています。そのアドバイスに従っているメインフレームチームはごく一部です。
- DORAと他の規制を比較した際の要件の最大の変化は、金融機関がサイバー攻撃から回復できることを証明する能力であり、これは災害復旧とは大きく異なります。
- 少なくとも半数の金融機関は、サイバー攻撃から回復する能力を評価するために欧州中央銀行（ECB）のストレステストにすでに参加しています。
- DORAの技術/ビジネス/レジリエンス要件の「解釈」に関する懸念がかなりありますが、1月に最終報告が発表された後でもそうです。
- ほとんどの金融機関は、サイバー攻撃に対するレジリエンスを高めるために、すでにメインフレーム環境のための不変バックアップソリューションを実装しています。
- 不変バックアップを実装している組織のほとんどは、回復に使用する不変バックアップを選定する際の課題を認識しています。
- 多くの金融機関は、不変バックアップからの回復にはデータ損失に関する重要な問題があり、数時間の金融取引を失う可能性があることを認識しています。
- ほとんどの金融機関は、ITチームに適切な措置を指導するためのDORA特化の作業グループを作成していますが、それらのチームでも規制要件をITガイドラインに翻訳するのに困難を抱えています。
結論: DORAは、サイバー攻撃のシナリオが新しいだけでなく、ECBがヨーロッパでビジネスを行う金融機関と積極的に関与し、新しい目標に準拠していることを証明するよう求めているため、メインフレームチームに新たな課題をもたらしています。DORAガイドラインが運用レジリエンスを達成するのにどのように役立つかについては、ポッドキャスト「メインフレームの運用レジリエンス：DORAとその先」をお聞きください。
これらの投稿は私自身の意見であり、必ずしもBMCの立場、戦略、または意見を代表するものではありません。