디지털 운영 레질리언스법(DORA)은 금융 기관 및 서비스 제공자의 디지털 운영 회복 탄력성 보장하기 위해 유럽 유니온 (EU)에서 채택한 설정하다 의 규정입니다.
참고
MongoDB Atlas 공동 책임 모델은 안전하고 복원력이 뛰어난 데이터 환경을 유지 관리하는 데 있어 MongoDB 와 MongoDB 고객의 보완 의무를 정의합니다. 이 프레임워크 에서 MongoDB 기본 플랫폼의 보안 및 운영 무결성을 관리하고 고객은 특정 배포의 구성, 관리 및 데이터 정책을 책임집니다. 보안 및 운영 효율성에 대한 소유권에 대한 자세한 분석은 공유 책임 모델을 참조하세요.
DORA는 은행, 크레딧 기관, 결제 기관, 투자 회사, 자산 관리 회사 등 EU 내 범위 규제 대상 금융 서비스 제공자에 적용됩니다. 또한 암호화 자산 서비스 제공자, 거래 장소 및 크레딧 평가 기관과 같은 주체도 포함됩니다.
DORA의 주요 요구 사항은 정보 통신 기술(ICT) 위험 관리, 정보 통신 기술(ICT) 위험 관리 , 정보 통신 기술(ICT) 관련 사고 보고, 디지털 운영 회복 탄력성 테스트, 정보 통신 기술(ICT) 제3자 위험 관리, 정보 공유 등 5개 기둥으로 구성됩니다.
중요
계약상 계약에 대한 정보를 포함하여 MongoDB DORA 컴플라이언스 지원 하는 방법에 대해 자세히 학습하려면 MongoDB 보안 센터의 EU 디지털 운영 회복 탄력성 법안(DORA) 페이지를 참조하세요.
기둥 1: ICT 위험 관리
DORA는 규제 대상 회사가 정보통신기술(ICT) 위험을 식별, 평가 및 완화할 수 있는 프레임워크 구축하도록 요구하고 있습니다. 이 프레임워크 에는 정기적인 위험 평가 수행, 식별된 위험을 주소 하기 위한 제어 구현, 사고 대응 계획 수립이 포함됩니다.
다음 MongoDB Atlas 기능은 이 영역에서 컴플라이언스 지원 .
백업 에는 클라우드 백업, 지속적인 클라우드 백업, 멀티 리전 스냅샷 배포 및 백업 컴플라이언스 정책이 포함됩니다.
복구 점 목표 및 복구 시간 목표를 포함한 재해 복구.
ISO/IEC 27001, SOC2 유형 II 및 PCI DSS를 포함한 외부 표준의 컴플라이언스 지원 기능 입니다.
인증 UI, 데이터베이스, API, 연합, AWS IAM 역할, 다중 인증 및 SCRAM 비밀번호 인증 포함한. 이 기능 및 지침 X.509 인증서, API 키 및 비밀 관리 도 포함됩니다.
권한 부여 (RBAC(역할 기반 액세스 제어), 사전 정의된 역할, 연합 자격 증명 공급자, JIT(Just-In-Time) 액세스 포함).
데이터 암호화 전송 중 암호화 (TLS), 미사용 데이터(AES-256, BYOK, CMK, KMS 또는 TDE), 사용 중 암호화(CSFLE, 무작위 및 쿼리 가능 암호화 )를 포함한 데이터 암호화 입니다.
기둥 2: 정보통신기술(ICT) 관련 인시던트 관리
DORA는 규제 대상 회사가 정보통신기술(ICT) 관련 사고를 감지, 보고 및 조사하는 프로세스를 마련할 것을 요구합니다. 이러한 프로세스에는 명확한 보고 채널, 심각도에 따라 사고를 분류하는 절차, 관련 기관에 시기적절한 알림을 설정하는 것이 포함됩니다.
MongoDB Atlas 이 기둥의 다음 측면을 지원합니다.
선택한 클라우드 공급자 는 이 기둥의 다음 측면을 지원합니다.
물리적 보안.
핵심 3: 디지털 운영 회복 탄력성 테스트
DORA는 규제 대상 회사들이 자사의 정보통신기술(ICT) 시스템 및 회복 탄력성 조치에 대한 정기적 테스트를 수행하도록 요구하고 있습니다.
다음 MongoDB Atlas 기능은 이 영역에서 컴플라이언스 지원 .
기둥 4: 정보통신기술(ICT) 타사 위험 관리
DORA 규제를 받는 회사는 제3자에 대한 실사를 수행하고, 보안 기대치를 간략하게 설명하는 계약을 체결하고, 성과를 모니터해야 합니다.
다음 MongoDB Atlas 기능은 이 영역에서 컴플라이언스 지원 .
클러스터 환경 간에 데이터 동기화:
Mongosync (cluster-to-cluster sync).
MongoDB 클라우드 상태 페이지.
기둥 5: 정보 공유
DORA는 규제 대상 회사 간에 사이버 위협에 대한 협업과 정보 공유를 권장합니다. 여기에는 업계 포럼에 참여하고, 위협 인텔리전스를 공유 , 합동 훈련을 수행하는 등이 포함될 수 있습니다.