La conformité implique le respect des règles. En cybersécurité, ces règles découlent des lois, des normes sectorielles et des obligations contractuelles. La loi HIPAA encadre les données des patients. La norme PCI DSS protège les cartes de paiement. Le RGPD protège les données personnelles des résidents de l'UE. La loi SOX s'applique aux rapports financiers des sociétés cotées en bourse. Chaque cadre réglementaire spécifie les contrôles, la documentation et les exigences d'audit. La conformité ne se confond pas avec la sécurité, même si les deux notions se recoupent. Une organisation peut être conforme et malgré tout subir une violation de données.

L'écart est crucial. Les cadres de conformité définissent des exigences minimales. Ils imposent de corriger les failles, de consigner les incidents et de restreindre les accès. Ils n'indiquent pas comment contrer un attaquant déterminé, disposant d'identifiants valides et de patience. Les auditeurs cochent des cases. Les attaquants, non. Les organisations qui considèrent la conformité comme un minimum requis plutôt qu'un maximum se dotent de défenses plus robustes. Celles qui la perçoivent comme un objectif à atteindre réussissent les audits, mais subissent ensuite des intrusions exploitant une faille non couverte par le cadre. La conformité a une réelle valeur. Elle impose la documentation, responsabilise les utilisateurs et établit un langage commun pour la gestion des risques. Il ne faut simplement pas la confondre avec le but ultime.

cadres de conformité communs

• HIPAA — données de santé aux États-Unis
• PCI DSS — Données de cartes de paiement dans le monde
• RGPD — données personnelles des résidents de l'UE
• SOC 2 — Contrôles de l'organisation de services pour les fournisseurs
• ISO 27001 — norme internationale de sécurité de l'information

La réglementation est en retard sur l'évolution technologique. Un cadre réglementaire élaboré il y a cinq ans peut ne plus répondre aux menaces actuelles.