Συμμόρφωση σημαίνει τήρηση των κανόνων. Στην κυβερνοασφάλεια, αυτοί οι κανόνες προέρχονται από νόμους, βιομηχανικά πρότυπα και συμβατικές υποχρεώσεις. Ο νόμος HIPAA διέπει τα δεδομένα των ασθενών. Το PCI DSS καλύπτει τις κάρτες πληρωμών. Ο GDPR προστατεύει τα προσωπικά δεδομένα των κατοίκων της ΕΕ. Ο νόμος SOX ισχύει για την οικονομική αναφορά εισηγμένων εταιρειών. Κάθε πλαίσιο καθορίζει τους ελέγχους, την τεκμηρίωση και τις απαιτήσεις ελέγχου. Η συμμόρφωση δεν είναι το ίδιο με την ασφάλεια, αν και τα δύο αλληλεπικαλύπτονται. Ένας οργανισμός μπορεί να συμμορφώνεται και παρόλα αυτά να παραβιάζεται.

Το κενό έχει σημασία. Τα πλαίσια συμμόρφωσης ορίζουν ελάχιστες βασικές γραμμές. Σας λένε να κάνετε ενημερώσεις κώδικα, να καταγράψετε και να περιορίσετε την πρόσβαση. Δεν σας λένε πώς να σταματήσετε έναν αποφασισμένο εισβολέα που έχει έγκυρα διαπιστευτήρια και υπομονή. Οι ελεγκτές τσεκάρουν πλαίσια. Οι εισβολείς όχι. Οι οργανισμοί που αντιμετωπίζουν τη συμμόρφωση ως κατώτατο όριο και όχι ως ανώτατο όριο χτίζουν ισχυρότερες άμυνες. Αυτοί που την αντιμετωπίζουν ως στόχο περνούν τους ελέγχους και στη συνέχεια παραβιάζονται μέσω ενός κενού που δεν κάλυψε το πλαίσιο. Η συμμόρφωση έχει πραγματική αξία. Επιβάλλει την τεκμηρίωση, δημιουργεί λογοδοσία και θέτει μια κοινή γλώσσα για τον κίνδυνο. Απλώς δεν πρέπει να συγχέεται με τη γραμμή τερματισμού.

Κοινά πλαίσια συμμόρφωσης

• HIPAA — δεδομένα υγειονομικής περίθαλψης στις Ηνωμένες Πολιτείες
• PCI DSS — δεδομένα καρτών πληρωμής παγκοσμίως
• ΓΚΠΔ — προσωπικά δεδομένα για κατοίκους της ΕΕ
• SOC 2 — έλεγχοι οργάνωσης υπηρεσιών για προμηθευτές
• ISO 27001 — διεθνές πρότυπο ασφάλειας πληροφοριών

Οι κανονισμοί υστερούν σε σχέση με την τεχνολογία. Ένα πλαίσιο που γράφτηκε πριν από πέντε χρόνια μπορεί να μην αντιμετωπίζει τις απειλές που αντιμετωπίζετε σήμερα.