Kepatuhan berarti mengikuti aturan. Dalam keamanan siber, aturan tersebut berasal dari undang-undang, standar industri, dan kewajiban kontraktual. HIPAA mengatur data pasien. PCI DSS mencakup kartu pembayaran. GDPR melindungi data pribadi penduduk Uni Eropa. SOX berlaku untuk pelaporan keuangan perusahaan publik. Setiap kerangka kerja menetapkan kontrol, dokumentasi, dan persyaratan audit. Kepatuhan tidak sama dengan keamanan, meskipun keduanya saling tumpang tindih. Suatu organisasi dapat patuh dan tetap mengalami pelanggaran keamanan.

Kesenjangan itu penting. Kerangka kerja kepatuhan mendefinisikan standar minimum. Mereka memberi tahu Anda untuk melakukan patching, pencatatan log, dan membatasi akses. Mereka tidak memberi tahu Anda cara menghentikan penyerang yang gigih yang memiliki kredensial yang valid dan kesabaran. Auditor hanya mencentang kotak. Penyerang tidak. Organisasi yang memperlakukan kepatuhan sebagai standar minimum, bukan standar maksimum, membangun pertahanan yang lebih kuat. Organisasi yang memperlakukannya sebagai tujuan akhir akan lolos audit dan kemudian dibobol melalui celah yang tidak dicakup oleh kerangka kerja. Kepatuhan memiliki nilai nyata. Ini memaksa dokumentasi, menciptakan akuntabilitas, dan menetapkan bahasa umum untuk risiko. Hanya saja, kepatuhan tidak boleh disamakan dengan garis finish.

Kerangka kerja kepatuhan umum

• HIPAA — data perawatan kesehatan di Amerika Serikat
• PCI DSS — data kartu pembayaran di seluruh dunia
• GDPR — data pribadi untuk penduduk Uni Eropa
• SOC 2 — kontrol organisasi layanan untuk vendor
• ISO 27001 — standar keamanan informasi internasional

Regulasi tertinggal dari teknologi. Kerangka kerja yang ditulis lima tahun lalu mungkin tidak dapat mengatasi ancaman yang Anda hadapi saat ini.