Соответствие требованиям означает следование правилам. В кибербезопасности эти правила определяются законами, отраслевыми стандартами и договорными обязательствами. HIPAA регулирует данные пациентов. PCI DSS охватывает платежные карты. GDPR защищает персональные данные резидентов ЕС. SOX применяется к финансовой отчетности публичных компаний. Каждая из этих систем определяет требования к контролю, документации и аудиту. Соответствие требованиям не то же самое, что безопасность, хотя они и пересекаются. Организация может соответствовать требованиям и при этом подвергнуться взлому.

Этот пробел имеет значение. Системы обеспечения соответствия определяют минимальные базовые уровни. Они предписывают устанавливать обновления, вести журналы и ограничивать доступ. Они не говорят, как остановить целеустремленного злоумышленника, имеющего действительные учетные данные и терпение. Аудиторы ставят галочки. Злоумышленники — нет. Организации, которые рассматривают соответствие как нижний предел, а не как потолок, создают более надежную защиту. Те, кто рассматривает его как цель, проходят аудиты, а затем подвергаются взлому из-за пробела, который не был учтен в системе. Соответствие имеет реальную ценность. Оно обязывает к документированию, создает подотчетность и устанавливает общий язык для оценки рисков. Просто не следует путать его с финишной линией.

Общие рамки соответствия

• HIPAA — данные здравоохранения в Соединенных Штатах
• PCI DSS — данные платежных карт по всему миру
• GDPR — персональные данные жителей ЕС
• SOC 2 — контроль организации услуг для поставщиков.
• ISO 27001 — международный стандарт информационной безопасности

Нормативно-правовая база отстает от технологий. Нормативно-правовая база, разработанная пять лет назад, может не учитывать угрозы, с которыми вы сталкиваетесь сегодня.