超越恢复：您尚未了解的DORA信息

本系列共5部分，这是第5部分

可以说，大多数从事安全或合规工作的人都听说过欧盟的《数字运营弹性法案》，即DORA法案，该法案将于明年生效。

该法案不仅影响在欧盟境内提供服务的金融实体（如银行、投资公司、保险公司等），还影响为这些实体提供关键ICT服务的服务提供商。

存储和恢复领域的许多供应商都宣传，他们的解决方案可以满足DORA合规性要求。在从众多营销部门听到或多或少相同的说法后，您可能会认为DORA仅仅关乎数据泄露后恢复能力的那种“弹性”，这是可以理解的。我之前也是这么认为的。

但是，在阅读了整个法案、大量欧盟相关出版物以及一些律师事务所对该法案影响的法律解释之后，我承认自己之前想错了，并想分享一些我所了解到的内容。

DORA不只关乎弹性和恢复

在为Hitachi Vantara这样的数据基础设施提供商撰文时，我也会想DORA就是通过快速恢复来实现业务的弹性。但事实并非如此。DORA在很多方面都与抵御攻击（即首先不被击倒）和在发生故障时恢复一样重要。

这里有一个小秘密。当我开始写这篇文章时，我本来打算把它当作一个单独的文章，而不是《超越恢复》系列的一部分，因为我觉得不太合适。令我惊讶的是，在进行研究后，我们讨论的许多关于采取整体、战略和根本原因的安全方法的概念都与DORA合规性非常相关，甚至可以说是必要的。

DORA要求您持续管理风险。正如我们在本系列中讨论的那样，纯粹的风险管理是不可持续的，或者至少是非常昂贵的——而且在DORA框架下，成本会更高。我认为，从长远来看，最好的选择是转向更积极主动的质量管理方法，以减少您所需的风险管理量。

应对DORA法案的新方法

我们讨论过，当前趋势表明风险在不断增加，遵守监管机构的标准将是一项艰巨的任务。随着风险的积累，这些标准将变得越来越难以持续。

举个例子，可以说明DORA法案的意义远不止恢复，而且其严重性也非常高，那就是监管机构可以要求组织自行解决特定漏洞。如果未能或无法满足要求，可能会受到罚款甚至刑事处罚。

因此，这项法案不仅仅关乎备份和恢复。事实上，如果您阅读《监管技术标准草案》（第3节），就会发现DORA法案的首要要求之一就是资产管理。

这很有道理。如果您不知道哪些系统推动哪些业务流程和收入，或者它们在哪里，您又如何决定什么对企业来说是重要的，什么需要保护，什么可能需要首先恢复？您要如何保护您不了解或无法控制的系统？

IT资产和业务流程之间的联系是DORA中反复出现的主题，我个人很高兴看到这一点。

责任直达高层

进行资产管理之后，要求继续进行事件管理、分类和报告以及弹性测试。所有这些都纳入强制性ICT治理和控制框架，以最大限度降低关键业务和IT资产的风险。

这个框架的责任由该企业的最高层承担。

引用Kemp IT Law的话，“金融实体的管理机构（通常是董事会）将负责该框架，包括政策、角色、业务连续性计划、审计、对ICT服务提供商的监督、培训等。”

这意味着恢复速度仍然是DORA法案要求的一部分。这是一个大问题，而且其中有些要求确实非常严格。我还没有看到任何供应商提到这一点，那就是关键服务（例如进行日终处理的服务）必须在两个小时内恢复。

两个小时。

我再次强调，未达标者将受到罚款，甚至刑事指控的处罚。

做好复苏准备，并有充分能力将其证明

然后，就是DORA最重要的因素或区别因素之一：可证明性的要求。

换句话说，监管机构可能会要求您证明，您可以在两小时内恢复，或者执行漏洞修复，或者您的资产登记册是毫无疏漏的。

如果不这样做，即使没有发生事故，也可能导致不合规和处罚。一旦发生违规，处罚将大大加重。

此外，还要考虑到每个国家都有自己的监管机构。这意味着每个国家特定的监管机构可以选择按照他们认为合适的方式严格执行DORA。如果您在某一个欧盟国家遭遇监管问题，或未能回应监管机构的挑战，都可能导致您在其他欧盟国家面临挑战，因为那些监管机构会对此有所了解。

那么，让我们回顾一下现在对DORA法案的了解：

• 它呼吁采取一种整体的“全业务”方法来应对风险，从高管层面开始批准并持续审查风险。
• 它需要全面审视业务资产和流程，以评估、减少和缓解相关风险；而不仅仅是在IT层面关注安全。
• 它要求制定一个程序或“框架”，来解决所有业务和IT流程中的风险，而不仅仅是通用的IT合规框架。
• 其严格的要求意味着我们必须谨慎而积极地进行考虑，以最大限度降低任何业务流程的风险和复杂性。这样我们才能减少问题，更轻松地管理剩余问题。仅仅增加更多的检测和响应能力是不够的——我们将无法跟上监管的步伐。
• 技术债务问题，例如无法轻易纳入恢复方案、更新、修补或应用安全控制的系统，将对法律和合规风险造成重大挑战。
• 它要求企业能够非常快地恢复，并且能够证明我们有能力做到这一点。

一切都关乎内在弹性

因此，虽然大多数人谈论DORA时，都认为它只与恢复有关，但实际上它主要与我之前提到的“内在弹性”有关。这是我创造的一个术语，因为我一直认为真正的弹性应该与不被击倒的能力有关，而不仅仅关乎重新站起来的能力。考虑到绝大多数数据泄露都是由已知问题引起的，我们可以通过应用本系列中提出的概念来进行改善。

重申一下，我们必须更具战略性，关注问题的根本原因，引入可预防风险和漏洞的IT和业务流程，因为这些风险和漏洞会导致大多数违规行为。正如我们之前探讨的，恢复能力的安全网是这一转变的最大推动力和加速器。

正如我们在上期文章中讨论的那样，模拟的力量不仅可以进一步加速我们向低风险环境的转变，还可以帮助我们更轻松、更经济高效地证明合规性。更不用说提高企业创新和适应的速度了。

Hitachi Vantara提供强大的模拟功能，可以以逼真的方式（通过利用备份中的数字孪生）模拟和演示恢复，以满足企业和监管机构的要求。这比许多人意识到的更为重要，因为恢复工作通常会失败，这背后的原因是，在灾难或违规情况下难以预测系统和工作负载之间的关系。

模拟对于流程至关重要

这与技术债务通常难以解决的原因类似。我们知道可能存在未知或不可预测的依赖关系，这些关系会产生影响，导致人们害怕做出改变。但利用模拟功能创建基础设施的“副本”，可以让我们消除这一障碍，并更快地解决可能妨碍合规性的技术债务问题等等。

当然，恢复也是DORA的重要组成部分，我可以说，Hitachi Vantara拥有世界上最快的恢复解决方案，是满足此项法案严格的恢复时间要求的最佳选择。

真正的数据不变性等附加机制进一步提升了您成功恢复的机会。

但我们不应忘记，安全网赋予我们自由和可能性，让我们能够主动做出改变，而不是坐等最坏情况发生。除了恢复之外，正是这些因素使得这些能力在任何时候都如此有价值，而不仅仅是在灾难发生时。

您的恢复解决方案越快、越可靠、越全面，您就能越快推动这一主动变革，实现全面的DORA合规性。如果出现问题，这些相同的属性不仅会让您更快地恢复业务，还会在恢复时间目标方面保护您的合规性。

利用DORA法案的出台作为变革的机会

最后，我必须说，我在本系列中的观点是自己的观点，您绝对应该咨询顾问，做出自己的决定。我确信有些人会认为我对DORA的看法有些小题大做。但以这种方式应对DORA，意味着我们可以利用它来推动真正的变革，改善我们的工作方式，加速转型，提高灵活性，提升利润，同时降低风险。

那么，为什么还要将DORA视为额外的合规成本，并冒着因做得不够而与之发生冲突的风险呢？与其这样，还不如将其视为一个机会，不仅可以带来变革，还可以带来更好的结果、更好的IT和更好的业务。

选择权就在您手中。

阅读本系列的前几篇文章

• 超越复苏：超越技术（5部分中的第1部分）
• 超越恢复：探索问题，第2a部分（共5部分）
• 超越恢复：探索问题，第2b部分（共5部分）
• 超越复苏：金钱万能（5部分中的第3部分）
• 超越复苏：打破遗留瘫痪（5部分中的第4部分）