A megfelelés a szabályok betartását jelenti. A kiberbiztonságban ezek a szabályok törvényekből, iparági szabványokból és szerződéses kötelezettségekből származnak. A HIPAA a betegadatokat szabályozza. A PCI DSS a bankkártyákra vonatkozik. A GDPR az EU-ban lakóhellyel rendelkezők személyes adatait védi. A SOX a nyilvánosan működő vállalatok pénzügyi jelentéseire vonatkozik. Minden keretrendszer meghatározza az ellenőrzéseket, a dokumentációt és az auditkövetelményeket. A megfelelés nem ugyanaz, mint a biztonság, bár a kettő átfedésben van. Egy szervezet megfelelhet a szabályoknak, és mégis megsérthetik azokat.

A rés számít. A megfelelőségi keretrendszerek minimális alapkövetelményeket határoznak meg. Azt mondják, hogy javítsd ki, naplózd és korlátozd a hozzáférést. Nem mondják meg, hogyan állíts meg egy elszánt támadót, akinek érvényes akkreditációja és türelme van. Az auditorok kipipálják a négyzeteket. A támadók nem. Azok a szervezetek, amelyek a megfelelőséget inkább padlónak, mint plafonnak tekintik, erősebb védelmet építenek ki. Azok, amelyek célként kezelik a megfelelőséget, átmennek az auditokon, majd egy olyan résen keresztül behatolnak, amelyet a keretrendszer nem fedett le. A megfelelőségnek valódi értéke van. Kikényszeríti a dokumentációt, elszámoltathatóságot teremt, és közös nyelvet határoz meg a kockázatokra. Csak nem szabad összekeverni a célvonallal.

Közös megfelelőségi keretrendszerek

• HIPAA – egészségügyi adatok az Egyesült Államokban
• PCI DSS — bankkártya-adatok világszerte
• GDPR – személyes adatok az EU lakosai számára
• SOC 2 – szolgáltatói szervezeti ellenőrzések a szállítók számára
• ISO 27001 — nemzetközi információbiztonsági szabvány

A szabályozások elmaradnak a technológia fejlődésétől. Egy öt évvel ezelőtt írt keretrendszer esetleg nem kezeli a ma tapasztalt fenyegetéseket.