Dodržování předpisů znamená dodržování pravidel. V kybernetické bezpečnosti tato pravidla vycházejí ze zákonů, oborových standardů a smluvních závazků. HIPAA upravuje data pacientů. PCI DSS se vztahuje na platební karty. GDPR chrání osobní údaje obyvatel EU. SOX se vztahuje na finanční výkaznictví veřejných společností. Každý rámec specifikuje požadavky na kontroly, dokumentaci a audit. Dodržování předpisů není totéž co bezpečnost, i když se tyto dva pojmy překrývají. Organizace může být v souladu s předpisy a přesto být narušena.

Na mezeře záleží. Rámce pro dodržování předpisů definují minimální základní hodnoty. Říkají vám, abyste opravovali, protokolovali a omezovali přístup. Neříkají vám, jak zastavit odhodlaného útočníka, který má platné přihlašovací údaje a trpělivost. Auditoři zaškrtávají políčka. Útočníci ne. Organizace, které berou dodržování předpisů jako spodní hranici spíše než strop, budují silnější obranu. Ty, které jej berou jako cíl, projdou audity a poté jsou prolomeny skrz mezeru, kterou rámec nepokryl. Dodržování předpisů má skutečnou hodnotu. Vynucuje dokumentaci, vytváří odpovědnost a stanovuje společný jazyk pro rizika. Jen by se nemělo zaměňovat s cílovou čárou.

Společné rámce pro dodržování předpisů

• HIPAA – zdravotní data ve Spojených státech
• PCI DSS – data platebních karet po celém světě
• GDPR – osobní údaje pro obyvatele EU
• SOC 2 – kontroly servisní organizace pro dodavatele
• ISO 27001 — mezinárodní norma pro informační bezpečnost

Předpisy zaostávají za technologiemi. Rámec napsaný před pěti lety nemusí řešit hrozby, kterým čelíte dnes.