Compliance betekent het naleven van de regels. In de cybersecurity komen die regels voort uit wetten, industriestandaarden en contractuele verplichtingen. HIPAA regelt de bescherming van patiëntgegevens. PCI DSS is van toepassing op betaalkaarten. GDPR beschermt persoonsgegevens van inwoners van de EU. SOX is van toepassing op de financiële verslaggeving van beursgenoteerde bedrijven. Elk raamwerk specificeert controles, documentatie en auditvereisten. Compliance is niet hetzelfde als beveiliging, hoewel de twee elkaar overlappen. Een organisatie kan compliant zijn en toch slachtoffer worden van een datalek.

Het verschil is belangrijk. Compliancekaders definiëren minimale basisvereisten. Ze schrijven voor dat je patches moet installeren, logboeken moet bijhouden en de toegang moet beperken. Maar ze vertellen je niet hoe je een vastberaden aanvaller met geldige inloggegevens en geduld kunt tegenhouden. Auditors vinken vakjes aan. Aanvallers niet. Organisaties die compliance als een minimum in plaats van een maximum beschouwen, bouwen sterkere verdedigingsmechanismen. Organisaties die compliance als het einddoel zien, slagen voor audits, maar worden vervolgens gehackt via een gat dat het kader niet dekt. ​​Compliance heeft wel degelijk waarde. Het dwingt tot documentatie, creëert verantwoording en zorgt voor een gemeenschappelijke taal voor risico's. Het moet alleen niet worden verward met de eindstreep.

Gemeenschappelijke nalevingskaders

• HIPAA — gegevensbescherming in de gezondheidszorg in de Verenigde Staten
• PCI DSS — betaalkaartgegevens wereldwijd
• AVG — persoonsgegevens van inwoners van de EU
• SOC 2 — controles van serviceorganisaties voor leveranciers
• ISO 27001 — internationale norm voor informatiebeveiliging

Regelgeving loopt achter op de technologie. Een kader dat vijf jaar geleden is opgesteld, biedt mogelijk geen oplossing voor de bedreigingen waarmee u vandaag de dag te maken heeft.