Samsvar betyr å følge reglene. Innen nettsikkerhet kommer disse reglene fra lover, bransjestandarder og kontraktsmessige forpliktelser. HIPAA regulerer pasientdata. PCI DSS dekker betalingskort. GDPR beskytter personopplysninger for EU-innbyggere. SOX gjelder for finansiell rapportering for børsnoterte selskaper. Hvert rammeverk spesifiserer kontroller, dokumentasjon og revisjonskrav. Samsvar er ikke det samme som sikkerhet, selv om de to overlapper hverandre. En organisasjon kan være kompatibel og fortsatt bli utsatt for brudd på regelverket.

Gapet er viktig. Samsvarsrammeverk definerer minimumsgrunnlinjer. De forteller deg at du skal oppdatere, logge og begrense tilgang. De forteller deg ikke hvordan du skal stoppe en målrettet angriper som har gyldig legitimasjon og tålmodighet. Revisorer krysser av i bokser. Angripere gjør det ikke. Organisasjoner som behandler samsvar som et gulv snarere enn et tak, bygger sterkere forsvar. De som behandler det som målet, består revisjoner og blir deretter brutt gjennom et gap som rammeverket ikke dekket. Samsvar har reell verdi. Det tvinger frem dokumentasjon, skaper ansvarlighet og setter et felles språk for risiko. Det bør bare ikke forveksles med målstreken.

Felles samsvarsrammeverk

• HIPAA – helsedata i USA
• PCI DSS — betalingskortdata over hele verden
• GDPR – personopplysninger for EU-innbyggere
• SOC 2 — kontroller for leverandører i tjenesteorganisasjoner
• ISO 27001 – internasjonal standard for informasjonssikkerhet

Regelverk henger etter teknologien. Et rammeverk skrevet for fem år siden håndterer kanskje ikke truslene du står overfor i dag.