コンプライアンスとは、規則に従うことを意味します。サイバーセキュリティにおいては、これらの規則は法律、業界標準、契約上の義務から成り立っています。HIPAAは患者データを規制し、PCI DSSは決済カードを対象とし、GDPRはEU居住者の個人データを保護し、SOXは上場企業の財務報告に適用されます。それぞれのフレームワークは、管理、文書化、監査要件を規定しています。コンプライアンスはセキュリティとは異なりますが、両者は重複する部分があります。組織がコンプライアンスを遵守していても、侵害を受ける可能性はあります。

そのギャップが重要なのです。コンプライアンスフレームワークは最低限の基準を定めています。パッチ適用、ログ記録、アクセス制限を指示しますが、有効な認証情報と忍耐力を持つ執拗な攻撃者を阻止する方法は教えてくれません。監査人はチェックボックスにチェックを入れますが、攻撃者はチェックしません。コンプライアンスを上限ではなく下限として捉える組織は、より強固な防御を構築できます。コンプライアンスを目標とする組織は監査には合格しますが、フレームワークでカバーされていないギャップから侵入されてしまいます。コンプライアンスには真の価値があります。文書化を強制し、説明責任を生み出し、リスクに関する共通言語を確立します。しかし、それをゴールと混同してはいけません。

一般的なコンプライアンスフレームワーク

• HIPAA ― 米国における医療データ
• PCI DSS — 世界中の決済カードデータ
• GDPR — EU居住者の個人データ
• SOC 2 - ベンダー向けサービス組織管理
• ISO 27001 — 国際情報セキュリティ規格

規制は技術の進歩に追いついていない。5年前に策定された枠組みでは、今日直面する脅威に対応できない可能性がある。