Cumplimiento significa seguir las reglas. En ciberseguridad, estas reglas provienen de leyes, estándares de la industria y obligaciones contractuales. HIPAA regula los datos de los pacientes. PCI DSS cubre las tarjetas de pago. GDPR protege los datos personales de los residentes de la UE. SOX se aplica a la información financiera de las empresas que cotizan en bolsa. Cada marco normativo especifica controles, documentación y requisitos de auditoría. Cumplimiento no es lo mismo que seguridad, aunque ambos conceptos se superponen. Una organización puede cumplir con la normativa y aun así sufrir una brecha de seguridad.

La brecha es importante. Los marcos de cumplimiento definen bases mínimas. Indican que se deben aplicar parches, registrar y restringir el acceso. No explican cómo detener a un atacante decidido que posee credenciales válidas y paciencia. Los auditores marcan casillas. Los atacantes no. Las organizaciones que consideran el cumplimiento como un mínimo, en lugar de un máximo, construyen defensas más sólidas. Aquellas que lo consideran el objetivo final superan las auditorías y luego sufren una brecha que el marco no cubrió. El cumplimiento tiene un valor real. Obliga a documentar, crea responsabilidad y establece un lenguaje común para la gestión de riesgos. Simplemente no debe confundirse con la meta final.

marcos de cumplimiento comunes

• HIPAA: datos sanitarios en Estados Unidos
• PCI DSS: datos de tarjetas de pago en todo el mundo
• RGPD: datos personales de los residentes de la UE
• SOC 2: controles de organización de servicios para proveedores
• ISO 27001 — Norma internacional de seguridad de la información

Las regulaciones van a la zaga de la tecnología. Un marco normativo redactado hace cinco años puede no abordar las amenazas a las que se enfrenta hoy en día.