网络安全 DORA 合规检查清单

《数字运营韧性法案》(DORA)已全面生效，欧盟各地的金融机构面临着越来越大的压力，需要证明其具备稳健的 ICT 风险管理能力和网络韧性。随着监管审查日益严格、网络威胁每天都在演变，各组织需要一条清晰、可执行的合规路径。本检查清单将 DORA 的网络安全要求拆解为六个易于落实的重点领域。无论您是在评估合规差距，还是在强化现有控制措施，都能从中获得切实可行的步骤，使您的网络安全态势符合 DORA 法规的要求。

1. 界定范围并将系统映射至 DORA 要求

在着手具体控制措施之前，您需要全面了解哪些内容属于 DORA 的适用范围。这一基础步骤可避免代价高昂的疏漏，并确保您的合规工作针对正确的资产。

识别范围内的 ICT 系统与网络资产

首先，对支撑您金融业务运营的每一个 ICT 系统、网络资产和数字服务进行编目。DORA 的适用范围很广，涵盖从核心银行平台到保护这些平台的防火墙在内的一切内容。关键行动：

• 将所有资产、防火墙、云环境和关键服务映射到相关的 DORA 条款
• 记录网络依赖关系、数据流和第三方接触点，以支持第三方风险管理。
• 确定哪些系统在 DORA 的运营韧性框架下属于“关键”系统
• 建立涵盖混合云和多云架构的动态资产清单

许多组织低估了其中的复杂性。影子 IT、遗留系统和不断扩张的云环境使全面发现变得困难。自动化的资产可见性工具能够揭示人工审计遗漏的隐藏依赖关系。

评估现有控制措施与 DORA ICT 风险要求的一致性

在界定范围之后，评估现有安全控制措施与 DORA 预期之间的差距。重点领域包括：

• 审查防火墙规则、网络分段标准和策略例外
• 识别造成不必要风险暴露的配置
• 评估网络访问策略中最小权限原则的执行情况
• 评估现有控制措施是否足以保护 ICT 系统免受未经授权的访问和网络威胁

FireMon 的安全策略管理能力可通过集中可见性和跨复杂多厂商环境的自动化策略分析加快这一评估过程，并支持 120 多种防火墙和云平台。

2. 构建符合 DORA 的 ICT 风险管理框架

DORA 要求金融实体建立全面的 ICT 风险管理框架。这并非一次性工作，而是需要持续的治理、明确的责任归属和不断的完善。

DORA 的五大支柱是什么

理解 DORA 的结构有助于您有效地组织合规计划。该法规围绕五个相互关联的支柱构建：

1. ICT 风险管理 - 用于识别、防护、检测、响应和恢复 ICT 风险的全面框架
2. ICT 事件管理 - 用于检测、分类和报告 ICT 相关事件的流程
3. 数字运营韧性测试 - 定期测试，包括漏洞评估和威胁导向的渗透测试
4. ICT 第三方风险管理 - 作为正式第三方风险管理计划的一部分，对外部 ICT 服务提供商和关键供应商实施监督
5. 信息共享 - 用于交换网络威胁情报的自愿性安排

制定风险分类与评分方法

有效的风险管理始于一致的分类，以及对 ICT 环境中网络风险的清晰认识。DORA 要求各组织系统性地识别、分类和记录 ICT 风险。实施步骤：

• 定义与 DORA 条款（尤其是第 5.1、8.2、9.1、9.4b/9.4c/9.4e 和 12.1 条）相一致的风险阈值、类别和影响标准
• 建立评分方法，依据潜在业务影响和发生可能性对风险进行优先级排序
• 将自动化风险评分作为最佳实践，持续评估策略缺陷、分段违规和新出现的威胁

静态的、时点式的风险评估无法满足 DORA 的要求。该法规强调持续的风险识别，这意味着您的框架必须随环境变化而演进。Risk Analyzer通过攻击路径模拟和风险优先级排序为此提供支持，帮助团队根据可利用性和业务影响识别网络安全风险并排定优先级。

在网络安全策略中落实治理

不同环境中彼此割裂的策略会造成合规差距并加大运营风险。无论系统部署在何处，DORA 都要求保持一致的治理。治理重点：

• 在混合、云和多厂商环境中统一策略结构
• 为网络安全决策确立明确的归属与责任
• 记录策略依据并保留版本历史，以备审计之需

集中式策略管理可消除困扰跨多平台管理安全的组织的不一致问题。当每一个防火墙和安全组都遵循相同的治理模型时，证明合规性便变得简单明了。

3. 实施持续监控与事件管理控制措施

DORA 高度重视检测异常、有效管理事件以及在中断期间维持运营韧性。被动式的安全态势无法满足这些要求。

DORA 合规需要哪些监控控制措施

在 DORA 之下，持续监控并非可选项，而是基础要求。金融实体必须在威胁、未经授权的变更和漏洞升级为运营中断之前将其检测出来。符合 DORA 预期的监控最佳实践：

• 部署变更检测能力，识别对防火墙规则和安全策略的高风险或未经授权的修改；实时检测与 DORA 对及时识别威胁的重视高度契合
• 针对威胁运营韧性或合规性的违规行为配置告警，尤其是影响网络分段或最小权限控制的行为
• 监控可能引入安全缺口或削弱网络隔离的配置漂移
• 跟踪所有网络分段中的访问模式和策略变更

挑战不仅在于收集数据，更在于理解数据。管理数百台防火墙和数千条规则的组织需要自动化分析，以从噪声中区分出有效信号。持续合规监控，在识别分段侵蚀和过度宽松的访问规则方面尤具价值。

DORA 事件报告要求有哪些

DORA 规定了具体的事件报告时限，需要有充分准备的流程予以支持。组织必须在严格的时间窗口内就重大 ICT 相关事件通知监管机构。流程要求：

• 使检测与升级工作流与 DORA 关于重大事件报告的条款保持一致
• 依据 DORA 的技术标准，明确将事件归类为“重大”的判定标准
• 与相关欧洲监管机构建立沟通渠道
• 通过完整的审计日志和规则历史记录实现证据收集自动化

网络安全事件发生时，您需要准确说明发生了什么、何时发生以及如何响应。自动化审计跟踪和合规报告可提供监管机构所要求的文档记录。

4. 规范变更管理和策略生命周期流程

未经授权或管理不善的变更是安全与合规面临的最大威胁之一。DORA 要求对 ICT 系统和安全策略的修改采用有文档记录、受控的流程。

DORA 对变更管理流程有哪些预期

临时性变更会带来风险。DORA 要求金融实体实施具备适当监督和审批机制的正式变更管理。工作流组成部分：

• 建立与 DORA 所要求的治理监督相一致的审批路径
• 在对关键系统实施变更前要求进行风险评估
• 将自动化审查周期作为最佳实践加以实施，防止策略蔓延、规则膨胀和最小权限漂移
• 在变更的申请方、审批方和实施方之间实行职责分离

手动变更管理无法规模化。当组织每月需处理数百项变更请求时，自动化工作流有助于确保一致性，同时维持 DORA 所要求的治理水平。FireMon 的 Policy Planner 可管控整个变更管理流程，在实施前自动分析、推荐并依据合规与安全最佳实践检查拟议的策略变更，防止产生新的风险或合规违规。

保持网络安全活动的完整可审计性

监管机构希望准确了解谁在何时、出于何种原因更改了什么内容。审计跟踪不完整会造成合规风险，并阻碍事件调查。可审计性要求：

• 跟踪多厂商环境中的每一项配置变更
• 保留规则状态的历史记录以供取证分析
• 记录每次策略修改的业务理由
• 按需生成符合 DORA 要求的审计报告

Policy Optimizer 通过识别并整改冗余、被遮蔽或过度宽松的规则，帮助保持规则集整洁高效，同时保留合规团队所需的审计历史。借助 FireMon 的报告功能，一些组织已将审计准备时间从数周缩短至数分钟。

5. 加强第三方风险与 ICT 提供商监督

DORA 对第三方风险管理给予了高度关注，因为金融机构对外部 ICT 提供商的依赖不断加深。您的合规计划必须延伸至自有基础设施之外。

DORA 对第三方 ICT 提供商有何影响

DORA 为管理 ICT 第三方关系及相关第三方风险确立了全面要求。金融实体仍需对其供应商的安全态势承担全部责任，并必须实施覆盖以下方面的严格监督计划：

• 合同要求：DORA 规定了与 ICT 提供商签订合同时须包含的特定条款，包括安全义务、审计权、事件通知要求以及数据存放地点的规定
• 退出策略：组织必须保有书面的退出计划，确保在不中断服务的情况下有序地脱离关键提供商
• 集中度风险评估：DORA 要求评估对单一提供商或彼此存在关联关系、可能引发系统性风险的提供商的过度依赖

从网络安全角度，组织应：

• 检查供应商连接规则和远程访问路径
• 识别违反最小权限原则的过度宽松访问
• 审查第三方接入点与关键系统之间的网络分段
• 记录第三方 ICT 提供商使用的所有网络路径
• 监控可能使供应商访问权限超出合同范围的错误配置。

网络安全分析可揭示仅凭合同审查无法发现的访问模式和连接风险。了解实际的网络暴露面，而不仅仅是合同条款，可为全面的第三方监督提供必要证据。

DORA 是否适用于非欧盟企业

适用。DORA 在两个重要方面延伸至欧盟境外。第一，在欧盟境内提供服务的非欧盟金融实体必须遵守。第二，为欧盟金融机构提供支持的 ICT 第三方服务提供商也在适用范围内，无论其总部位于何处。来自欧盟以外的关键第三方提供商必须在被指定后 12 个月内设立欧盟子公司，方可继续为欧盟金融实体提供服务。

监控 ICT 提供商活动与合同履行情况

DORA 要求对第三方 ICT 提供商进行持续监督，而不仅仅是初始尽职调查。组织必须监控提供商的表现，并保持对供应商与其系统交互方式的可见性。监控注意事项：

• 对照合同要求跟踪供应商的连接与访问模式
• 监控针对第三方访问规则或分段边界的未授权变更
• 保留监督活动的证据，以备监管检查
• 评估网络访问是否符合最小权限要求

需要注意的是，网络安全可见性只能支持而不能取代全面的第三方风险管理。DORA 的第三方要求还涵盖合同条款、集中度风险评估、退出策略以及持续的尽职调查，这些都需要更广泛的治理计划。FireMon 提供网络层面的证据与访问可见性，包括分段验证和最小权限执行监控，可作为这些端到端工作的补充。如需了解针对欧盟法规开展网络安全管理的更多背景信息，请参阅我们的指南：面向 NIS2 与 DORA 合规的防火墙策略管理。

6. 建立测试、审计与报告流程

DORA 要求定期测试 ICT 系统和数字运营韧性能力。测试可验证控制措施是否按预期发挥作用，并在攻击者或审计人员发现之前识别弱点。

DORA 下的威胁导向渗透测试是什么

DORA 引入了分级测试要求，其中最为严格的是威胁导向渗透测试（TLPT）。这种高级韧性测试形式基于当前的威胁情报模拟真实攻击场景。测试计划要素：

• 定期安排渗透测试和漏洞评估
• 对照 DORA 要求开展合规审计
• 测试事件响应与业务连续性流程
• 对于指定实体，至少每三年由合格的外部测试人员实施一次 TLPT

FireMon 可通过识别配置错误、分段弱点和策略漏洞来支持测试工作，但全面的韧性测试还需要其他能力，包括红队演练和基于场景的测试，这些超出了网络安全策略管理的范围。

生成标准化的合规与审计文档

证明合规需要完备的文档。DORA 要求金融实体保存能够证明其 ICT 风险管理能力的记录。文档要求：

• 生成符合 DORA 对 ICT 风险、事件和变更管理要求的报告
• 为内部审计人员和欧盟监管检查维护证据资料包
• 记录测试结果、整改措施和控制有效性
• 创建可提供实时合规可见性的仪表板

自动化报告可显著减轻合规文档的负担。组织无需在审计前匆忙应对，而是可以持续维护随时可供检查的合规证据。进一步了解持续合规监控最佳实践。

推进 DORA 合规工作

如何实现 DORA 合规

实现 DORA 法规合规需要在多条工作线上采取结构化方法。首先开展差距分析，找出当前实践的不足之处，然后根据风险确定整改优先级。关键步骤包括建立权责清晰的治理架构、强化 ICT 风险管理框架、实施持续监控能力，并记录一切以做好审计准备。DORA 合规不是终点，而是对数字运营韧性的持续承诺。相关要求涵盖 ICT 风险管理、事件处理、第三方监督和韧性测试，需要安全、风险与合规职能协同推进。结构化的检查清单方法有助于将这种复杂性拆解为可管理的组成部分。通过系统性地处理从初始范围界定到测试与报告的每个领域，组织可以构建既能满足监管要求、又能切实增强信息安全态势的合规计划。FireMon 通过其集成的 Security Manager 套件简化了 DORA 合规的关键环节。Policy Manager 提供集中式可见性和持续合规监控；Policy Planner 通过实施前验证自动化变更工作流；Policy Optimizer 通过识别冗余和过于宽松的规则来保持规则集整洁；Risk Analyzer 则通过攻击路径模拟对威胁进行优先级排序。这些能力共同帮助金融服务机构保持 DORA 所要求的可见性与控制力，同时为更广泛的治理、风险与韧性举措提供补充。准备好简化您的 DORA 合规计划了吗？申请演示，了解 FireMon 如何帮助您在复杂的多厂商环境中实现并保持合规。