EUの金融サイバー規制「DORA」施行2年目、実効的な監視体制と迅速なインシデント報告の対応が焦点に

要点

• 2025年1月にEUで施行された「DORA」は2年目を迎え、規制当局の関心が文書上の整備から実務の実効性検証へと移っている。

• 第9条に基づく継続的監視では、資産台帳の管理にとどまらず、未管理端末やレガシー機器を含むシステム間通信の可視化が不可欠とされる。

• 第10条の異常検知要件において、エンドポイントや認証基盤のアラートをネットワークデータで相関付けし、攻撃の全容を把握する重要性が指摘されている。

• 重大インシデント分類後4時間以内かつ認識後24時間以内の初期報告義務（第19条）を満たすため、迅速な証拠収集と影響範囲特定が求められる。

• 欧州連合（EU）の金融セクターを対象としたサイバーセキュリティ規制「デジタル運用レジリエンス法（DORA: Digital Operational Resilience Act）」が施行から2年目を迎えた。初年度に進められたガバナンス体制の構築や契約改定などの管理対応を経て、現在はセキュリティ監視センター（SOC: Security Operations Center）が実際の侵入を正確に検知・調査できるかという、現場の実効性が問われる段階に入っている。

管理対応から実務の実効性検証へのシフト

DORAは2025年1月にEU全域で施行され、金融機関は初年度、リスクガバナンス体制の確立、サードパーティサービスプロバイダーの評価、契約条項の更新、インシデントのエスカレーション手順の文書化といった管理業務に注力した。

施行2年目を迎えた現在、EUの規制当局はDORAの実施状況、情報通信技術（ICT: Information and Communication Technology）に関するインシデントの分析、およびICTリスク監督の実効性に対する確認を強化している。DORA自体は特定のセキュリティ製品群を指定していないものの、多くの要件がICT環境における継続的な可視性を前提としており、セキュリティチームが重要システム全体で進行中の侵入を検知、調査し、影響範囲を特定できる体制の構築が求められている。

資産台帳を超えたシステム間通信の継続的監視

DORA第9条では、金融機関に対し、自らのICTエコシステムのセキュリティと機能を継続的に監視・管理し、ICTリスクによる影響を最小限に抑えるプロセスの導入を義務付けている。

ここでの継続的監視とは、ネットワーク上で何が行われるべきかを把握するだけでなく、運用のパターンが通常から乖離し始めた段階で認識できる可視性を持つことを指す。資産インベントリや設定情報は保有システムや想定される連携を示すに過ぎず、エンドポイントのセキュリティログも監視対象端末内の活動に限定される。そのため、レガシーインフラや専用機器、管理外デバイス、テレメトリ収集が限定的なシステム間での通信状況を網羅的に把握することは難しい。

AIを用いた高速な脅威に対抗する上では、攻撃者が標的とする監視の死角をなくす包括的な視野が必要とされる。システム間の未監視な接続に攻撃の痕跡が残る可能性があり、ネットワーク検知・対応（NDR: Network Detection and Response、ネットワーク通信を監視して脅威を検知・分析する技術）を活用して平常時のベースラインを確立し、通信のタイミング、データ量、方向性の逸脱を特定することがDORA要件の達成に有効であると説明されている。たとえば、決済ルーティング用アプリケーションが業務時間外に見知らぬ内部ホストと異常な通信を行った場合、アプリ側のログに残っていなくてもネットワークデータによって異常を特定できる。

アラートの文脈化と厳格な報告期限への対応

DORA第10条では、ネットワーク性能の問題や関連インシデントを含む異常な活動を迅速に検知し、インシデント対応を開始するための閾値を設定することが義務付けられている。

大量のアラートから真の異常シグナルを見極めるには、個別の警告を大きなインシデントの一部として関連付ける文脈（コンテキスト）の把握が課題となる。EDR（Endpoint Detection and Response、端末の挙動を監視する仕組み）が不審なプロセスを検知し、認証基盤が不審なログインを検出した場合でも、ネットワークデータを照合することで通信先、利用プロトコル、後続の挙動を結びつけられる。C2通信（攻撃者が侵入端末を遠隔操作する通信）、事前偵察、ラテラルムーブメント（横展開、組織内での感染拡大）、データ転送といった挙動は、他のログが不完全であってもネットワークトラフィックに痕跡が残りやすい。

NDRによって構造化されたプロトコルレベルのデータを抽出することで、サイロ化されたログを個別に再構築することなく、相関関係を持った状態で調査を進めることが可能になる。これにより、インシデントの範囲と影響度を速やかに確定させ、第19条が定める報告要件に対応できるようになる。

適用される規則において、金融機関は重大なICT関連インシデントと分類してから4時間以内、かつ組織がインシデントを認識してから24時間以内に初期通知を提出しなければならない。ネットワーク上の証拠へ迅速にアクセスできる環境を整えることで、影響を受けたシステムの追跡や不正接続の遮断、規制で定められた期限内でのインシデント記録作成が可能になるとされている。

サードパーティリスク管理と契約の実効性

DORA第28条から第30条では、サードパーティのICTリスク管理と契約上の合意事項について規定されている。契約書やベンダー評価によって書面上での認可アクセスや運用の境界を定義した上で、実際のシステム間通信の把握が重要となる。