Regelefterlevnad innebär att följa reglerna. Inom cybersäkerhet kommer dessa regler från lagar, branschstandarder och avtalsenliga skyldigheter. HIPAA reglerar patientdata. PCI DSS omfattar betalkort. GDPR skyddar personuppgifter för EU-invånare. SOX gäller för finansiell rapportering för börsnoterade företag. Varje ramverk specificerar kontroller, dokumentation och revisionskrav. Regelefterlevnad är inte detsamma som säkerhet, även om de två överlappar varandra. En organisation kan följa reglerna och ändå bli utsatt för intrång.

Gapet spelar roll. Regelverk för efterlevnad definierar miniminivåer. De säger åt dig att uppdatera, logga och begränsa åtkomst. De talar inte om för dig hur du stoppar en beslutsam angripare som har giltig behörighet och tålamod. Revisorer kryssar i rutor. Angripare gör det inte. De organisationer som behandlar efterlevnad som ett golv snarare än ett tak bygger starkare försvar. De som behandlar det som målet klarar granskningar och bryter sig sedan igenom ett gap som ramverket inte täckte. Regelverk för efterlevnad har ett verkligt värde. Det tvingar fram dokumentation, skapar ansvarsskyldighet och sätter ett gemensamt språk för risk. Det ska bara inte förväxlas med mållinjen.

Gemensamma efterlevnadsramverk

• HIPAA — hälso- och sjukvårdsdata i USA
• PCI DSS — betalkortsdata världen över
• GDPR — personuppgifter för EU-invånare
• SOC 2 — kontroller för serviceorganisationer för leverantörer
• ISO 27001 — internationell standard för informationssäkerhet

Regelverk halkar efter tekniken. Ett ramverk som skrevs för fem år sedan kanske inte tar itu med de hot du står inför idag.