DORA 规范对企业数据存储的影响：架构师指南

监管环境正在迅速变化，即将出台的欧洲数字运营韧性法案 (DORA)就是这一动态变化的证明。我们拥有多个欧洲银行客户，每个客户都从略微不同的角度处理这个问题，只有一个例外 - 几乎所有客户都使用现代对象存储作为基础层。 

对于负责存储和管理 DORA 要求的新数据的 IT 架构师，我们想分享他们的经验教训，希望其他人能够理解此法规的细微差别以及它对未来数据存储策略的意义。

在这篇文章中，我们将分解 DORA 的关键要素、它对数据存储的影响，以及为什么像 MinIO 这样的现代对象存储解决方案最适合满足这些新需求。

什么是 DORA？

DORA，即数字运营韧性法案，是欧盟委员会提出的一个强大的监管框架。其主要目标是增强欧盟金融机构的数字运营韧性，确保它们能够承受和恢复所有类型的 IT 相关中断和威胁。

DORA 的关键组成部分包括

• IT 风险管理：建立全面的框架来识别、缓解和管理 IT 风险。
  • 框架：DORA 要求实施一个全面且有良好文档记录的 IT 风险管理框架。此框架应涵盖 IT 的所有方面，包括安全、数据治理和业务连续性。
  • 定期评估：组织必须定期评估 IT 风险并调整其防御机制，以有效地缓解这些威胁。
• IT 事件报告：将重大 IT 相关事件报告给当局的流程标准化。
  • 机制：DORA 要求建立一个强大的事件报告机制。公司必须将重大的网络和 IT 相关事件及时报告给相关当局。
  • 协调：这有助于及时协调应对威胁，最大程度地减少其对金融市场和消费者的影响。
• 运营韧性测试：对 IT 系统进行定期测试，以确保其抵御中断的能力。
  • 测试要求：公司必须进行定期测试，以评估其系统和流程对网络攻击和其他 IT 中断的韧性。这包括漏洞评估、渗透测试和基于场景的演练。
• 第三方风险管理：管理与第三方 IT 服务提供商相关的风险。
  • 供应商合规性：DORA 侧重于管理和监控来自大量供应商关系的 IT 风险。
  • 标准：公司必须确保其外部供应商遵守相同的 IT 风险管理标准，包括定期审计和合规性检查。
• 监督框架
• 关键第三方提供商：DORA 为关键第三方服务提供商（包括云计算服务）引入了监督框架。这确保这些提供商满足 ICT 风险管理的严格标准，降低它们对欧盟金融体系造成的系统性风险。
• 治理和 IT 风险管理：DORA 重视管理机构在确保数字运营韧性方面的责任。管理层必须保证对 ICT 中断和网络攻击的充分保护。

最后，虽然不是一项要求，但 DORA 确实鼓励公司在可信社区内共享有关网络威胁和漏洞的信息。这种集体方法能够更好地应对新出现的 ICT 风险，并增强欧盟金融体系的整体稳定性。

对数据存储的影响

DORA 侧重于 ICT 风险管理、事件报告和运营韧性测试，对数据存储基础设施提出了重大要求。这正在推动许多企业架构师重新设计其存储解决方案，以处理增加的数据量，提供更强大的安全性，并在发生违规的情况下支持快速的数据检索和恢复。

我们合作的团队专注于以下领域

• 可扩展性：能够跨异构硬件和跨云环境（公共云、私有云、托管）无缝扩展存储容量，以满足银行不断变化的需求。
• 性能：廉价、深层且缓慢的时代已经过去。从性能角度来看，一切都至关重要。应用程序性能、吞吐量、IOPS，尤其是 DORA 的 RTO 和 RPO。没有人喜欢等待备份。没有人可以等待恢复。这是 DORA 要求您测试并证明您可以在数小时内而不是数天或数周内将“存钱罐”拼凑起来。 
• 合规性：存储解决方案必须支持合规性，以满足 DORA 的报告和韧性测试要求。这包括一个可测试的框架。开放式解决方案在这里具有巨大的优势。 

安全性：高级安全性是基本要素。还有什么更进一步的呢？嗯，比如密钥加密服务或高可用性密钥管理服务器，或者围绕最先进的加密方案的广泛功能，这些方案支持使用现代行业标准加密算法（例如 AES-256-GCM、ChaCha20-Poly1305 和 AES-CBC）进行细粒度对象级加密。它还意味着在传输中或静止状态下加密数据。

现代对象存储解决方案的理由

传统的存储解决方案将难以满足 DORA 的严格要求。它们在几个关键领域表现不佳。可扩展性对于有限容量来说很困难，有限容量需要大量的物理扩展，这使得随着数据量的增长难以高效地扩展。它们很复杂 - 在传统的层次存储系统中管理和检索数据很麻烦且耗时，尤其是在数据量增加的情况下。传统的存储解决方案的 TCO 较差，维护和运营成本较高，包括能耗和物理空间需求。最后，它们大多是设备驱动的，这意味着它们缺乏快速适应不断变化的监管要求和技术进步的灵活性。这就是像 MinIO 这样的现代对象存储解决方案发挥作用的地方。架构师的原因将是显而易见的。 

1. 软件定义的灵活性

软件定义的存储解决方案使企业能够在自己的数据中心或托管设施中自己的硬件上部署。这种灵活性确保组织可以根据特定需求定制其存储基础设施，而不会受限于专有硬件。

2. 性能

性能对于满足 DORA 的运营韧性和事件报告要求至关重要。MinIO 专为高性能工作负载而设计，提供快速的数据访问和检索。其高吞吐量能力确保可以快速摄取、处理和分析数据，支持实时操作和决策制定。

3. 可扩展性

可扩展性是关键，因为数据量持续增长。MinIO 的对象存储架构允许无缝扩展，使企业能够根据需要扩展其存储容量。这种可扩展性确保组织可以处理不断增加的数据量，而不会影响性能或可靠性。

4. 云原生且兼容 S3 API

MinIO 是云原生的，完全兼容 S3 API，使其成为希望与现有云基础设施和应用程序集成的企业的理想选择。这种兼容性确保企业可以利用 MinIO 的存储功能，同时保持与其云原生应用程序和服务的互操作性。

5. AI 就绪存储

人工智能 (AI) 和机器学习 (ML) 正在成为金融服务不可或缺的一部分，提供洞察力和自动化，从而推动竞争优势。MinIO 具有 AI 就绪功能，提供支持 AI 和 ML 工作负载所需的性能和可扩展性。这种准备确保企业可以利用 AI 的强大功能，而无需大修其存储基础设施。需要示例，请查看此处的酷炫搜索工具。 

6. 部署和管理简便

MinIO 以其部署、操作、升级和扩展的简便性而闻名。其轻量级设计和直观的管理界面降低了与存储解决方案相关的复杂性。这种简便性使 IT 团队能够专注于战略举措，而不是被运营开销所困扰。

使用 MinIO 为 DORA 做准备

DORA 已经到来。合规性在六个月内开始。MinIO 在金融机构的生产环境中部署所需时间是该时间的一半（如果您想了解一个很棒的故事，请与我们联系，了解我们如何在周末从 0 个节点扩展到 290 个节点的过程）。 

从风险管理到事件报告再到运营韧性测试，MinIO 都可以满足新法规的要求，同时提供现代金融服务机构发展业务所需的平台。 

请随时给我们发送电子邮件hello@min.io，与团队联系，并了解其他大型银行在做什么。