Conformitatea înseamnă respectarea regulilor. În domeniul securității cibernetice, aceste reguli provin din legi, standarde industriale și obligații contractuale. HIPAA guvernează datele pacienților. PCI DSS acoperă cardurile de plată. GDPR protejează datele cu caracter personal pentru rezidenții din UE. SOX se aplică raportării financiare a companiilor publice. Fiecare cadru specifică controalele, documentația și cerințele de audit. Conformitatea nu este același lucru cu securitatea, deși cele două se suprapun. O organizație poate fi conformă și totuși să fie încălcată.

Decalajul contează. Cadrele de conformitate definesc niveluri minime de referință. Acestea vă spun să aplicați patch-uri, să înregistrați și să restricționați accesul. Nu vă spun cum să opriți un atacator determinat care are o acreditare valabilă și răbdare. Auditorii bifează căsuțe. Atacatorii nu. Organizațiile care tratează conformitatea ca pe un prag, mai degrabă decât ca pe un plafon, construiesc apărări mai puternice. Cele care o tratează ca pe un obiectiv trec de audituri și apoi sunt încălcate printr-o breșă pe care cadrul nu a acoperit-o. Conformitatea are o valoare reală. Impune documentarea, creează responsabilitate și stabilește un limbaj comun pentru risc. Pur și simplu nu ar trebui confundată cu linia de sosire.

Cadre comune de conformitate

• HIPAA — date medicale în Statele Unite
• PCI DSS — date despre cardurile de plată la nivel mondial
• GDPR — date cu caracter personal pentru rezidenții UE
• SOC 2 — controale ale organizației de servicii pentru furnizori
• ISO 27001 — standard internațional de securitate a informațiilor

Reglementările rămân în urma tehnologiei. Un cadru scris acum cinci ani s-ar putea să nu abordeze amenințările cu care vă confruntați astăzi.