Zgodność oznacza przestrzeganie zasad. W cyberbezpieczeństwie zasady te wynikają z przepisów prawa, standardów branżowych i zobowiązań umownych. HIPAA reguluje dane pacjentów. PCI DSS obejmuje karty płatnicze. GDPR chroni dane osobowe mieszkańców UE. SOX ma zastosowanie do sprawozdawczości finansowej spółek publicznych. Każda struktura określa wymogi dotyczące kontroli, dokumentacji i audytu. Zgodność to nie to samo, co bezpieczeństwo, choć te dwa obszary się pokrywają. Organizacja może przestrzegać przepisów, a mimo to paść ofiarą naruszeń.

Luka ma znaczenie. Ramy zgodności określają minimalne poziomy bazowe. Nakazują one łatanie, rejestrowanie i ograniczanie dostępu. Nie mówią, jak powstrzymać zdeterminowanego atakującego, który ma ważne uprawnienia i cierpliwość. Audytorzy zaznaczają pola wyboru. Atakujący nie. Organizacje, które traktują zgodność jako dolną granicę, a nie górną, budują silniejsze mechanizmy obronne. Te, które traktują ją jako cel, przechodzą audyty, a następnie zostają naruszone przez lukę, której ramy nie uwzględniły. Zgodność ma realną wartość. Wymusza dokumentację, tworzy rozliczalność i ustala wspólny język dla ryzyka. Po prostu nie należy jej mylić z linią mety.

Wspólne ramy zgodności

• HIPAA — dane dotyczące opieki zdrowotnej w Stanach Zjednoczonych
• PCI DSS — dane kart płatniczych na całym świecie
• RODO — dane osobowe mieszkańców UE
• SOC 2 — kontrola organizacji usług dla dostawców
• ISO 27001 — międzynarodowa norma bezpieczeństwa informacji

Przepisy nie nadążają za technologią. Ramy prawne opracowane pięć lat temu mogą nie uwzględniać zagrożeń, z którymi mierzysz się dzisiaj.