Compliance betyder at følge reglerne. Inden for cybersikkerhed stammer disse regler fra love, branchestandarder og kontraktlige forpligtelser. HIPAA regulerer patientdata. PCI DSS dækker betalingskort. GDPR beskytter personoplysninger for EU-borgere. SOX gælder for børsnoterede virksomheders finansielle rapportering. Hvert rammeværk specificerer kontrol-, dokumentations- og revisionskrav. Compliance er ikke det samme som sikkerhed, selvom de to overlapper hinanden. En organisation kan være compliant og stadig blive udsat for brud på reglerne.

Gabet er vigtigt. Compliance-rammer definerer minimumsgrundlinjer. De fortæller dig, at du skal opdatere, logge og begrænse adgang. De fortæller dig ikke, hvordan du stopper en målrettet angriber, der har gyldige legitimationsoplysninger og tålmodighed. Revisorer sætter kryds i felterne. Angribere gør ikke. De organisationer, der behandler compliance som en bund snarere end et loft, bygger stærkere forsvar. Dem, der behandler det som målet, består audits og bliver derefter brudt gennem et hul, som rammen ikke dækkede. Compliance har reel værdi. Det gennemtvinger dokumentation, skaber ansvarlighed og sætter et fælles sprog for risiko. Det bør bare ikke forveksles med målstregen.

Fælles overholdelsesrammer

• HIPAA — sundhedsdata i USA
• PCI DSS — betalingskortdata verden over
• GDPR — personoplysninger for EU-borgere
• SOC 2 — serviceorganisationskontroller for leverandører
• ISO 27001 — international standard for informationssikkerhed

Reguleringer halter bagefter teknologien. Et rammeværk skrevet for fem år siden håndterer muligvis ikke de trusler, du står over for i dag.