الامتثال يعني اتباع القواعد. في مجال الأمن السيبراني، تنبع هذه القواعد من القوانين ومعايير الصناعة والالتزامات التعاقدية. ينظم قانون HIPAA بيانات المرضى، ويغطي معيار PCI DSS بطاقات الدفع، بينما يحمي قانون GDPR البيانات الشخصية لسكان الاتحاد الأوروبي، وينطبق قانون SOX على التقارير المالية للشركات المساهمة العامة. يحدد كل إطار من هذه الأطر ضوابط ومتطلبات توثيق وتدقيق. الامتثال ليس هو الأمن، مع وجود تداخل بينهما. قد تكون المؤسسة ملتزمة بالقواعد ومع ذلك تتعرض للاختراق.

الفجوة مهمة. تحدد أطر الامتثال الحد الأدنى من المعايير الأساسية، وتحثك على تحديث البرامج، وتسجيل البيانات، وتقييد الوصول. لكنها لا توضح لك كيفية إيقاف مهاجم مصمم يمتلك بيانات اعتماد صالحة وصبرًا. يقوم المدققون بفحص العناصر، بينما لا يفعل المهاجمون ذلك. المؤسسات التي تعتبر الامتثال حدًا أدنى لا حدًا أقصى تبني دفاعات أقوى. أما تلك التي تعتبره غاية في حد ذاته، فتجتاز عمليات التدقيق ثم تُخترق من خلال ثغرة لم يغطها إطار العمل. للامتثال قيمة حقيقية، فهو يُلزم بالتوثيق، ويُرسخ المساءلة، ويضع لغة مشتركة لإدارة المخاطر. لكن لا ينبغي الخلط بينه وبين خط النهاية.

أطر الامتثال المشتركة

• قانون HIPAA - بيانات الرعاية الصحية في الولايات المتحدة
• معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) - بيانات بطاقات الدفع في جميع أنحاء العالم
• اللائحة العامة لحماية البيانات (GDPR) - البيانات الشخصية لسكان الاتحاد الأوروبي
• SOC 2 - ضوابط تنظيم الخدمات للبائعين
• ISO 27001 — معيار دولي لأمن المعلومات

تتخلف الأنظمة عن التكنولوجيا. قد لا يكون الإطار الذي كُتب قبل خمس سنوات كافياً لمواجهة التهديدات التي تواجهها اليوم.