Conformidade significa seguir as regras. Em cibersegurança, estas regras provêm de leis, normas do setor e obrigações contratuais. A HIPAA regula os dados dos pacientes. O PCI DSS abrange os cartões de pagamento. O RGPD protege os dados pessoais dos residentes na UE. A SOX aplica-se aos relatórios financeiros das empresas de capital aberto. Cada estrutura especifica os controlos, a documentação e os requisitos de auditoria. Conformidade não é o mesmo que segurança, embora as duas se sobreponham. Uma organização pode estar em conformidade e, ainda assim, sofrer uma violação de segurança.

A lacuna é importante. Os frameworks de compliance definem padrões mínimos. Orientam a aplicar patches, registar logs e restringir o acesso. Mas não ensinam a deter um avançado determinado que possui credenciais válidas e paciência. Os auditores assinalam caixas de seleção. Os atacantes, não. As organizações que encaram o compliance como um patamar mínimo, e não como um teto, constroem defesas mais robustas. Aquelas que o encaram como a meta final passam pelas auditorias, mas sofrem violações devido a uma brecha que o framework não cobriu. O compliance tem valor real. Força a documentação, cria responsabilidade e estabelece uma linguagem comum para a gestão de riscos. Só não deve ser confundido com a meta.

Estruturas comuns de conformidade

• HIPAA — dados de saúde nos Estados Unidos
• PCI DSS — dados de cartões de pagamento em todo o mundo
• RGPD — dados pessoais para residentes na UE
• SOC 2 — controlos de organização de serviços para fornecedores
• ISO 27001 — norma internacional de segurança da informação

As regulamentações estão atrasadas em relação à tecnologia. Uma estrutura elaborada há cinco anos pode não abordar as ameaças que enfrenta hoje.