Uyumluluk, kurallara uymak anlamına gelir. Siber güvenlikte bu kurallar, yasalardan, sektör standartlarından ve sözleşmesel yükümlülüklerden kaynaklanır. HIPAA hasta verilerini düzenler. PCI DSS ödeme kartlarını kapsar. GDPR, AB sakinlerinin kişisel verilerini korur. SOX, halka açık şirketlerin finansal raporlamasına uygulanır. Her çerçeve, kontrolleri, dokümantasyonu ve denetim gereksinimlerini belirtir. Uyumluluk, güvenlik ile aynı şey değildir, ancak ikisi örtüşmektedir. Bir kuruluş uyumlu olabilir ve yine de saldırıya uğrayabilir.

Aradaki fark önemlidir. Uyumluluk çerçeveleri minimum temel standartları tanımlar. Size yama yapmanızı, kayıt tutmanızı ve erişimi kısıtlamanızı söylerler. Ancak geçerli kimlik bilgilerine ve sabra sahip kararlı bir saldırganı nasıl durduracağınızı söylemezler. Denetçiler kutuları işaretler. Saldırganlar işaretlemez. Uyumluluğu bir tavan değil, bir taban olarak gören kuruluşlar daha güçlü savunmalar kurar. Bunu hedef olarak görenler ise denetimlerden geçer ve ardından çerçevenin kapsamadığı bir boşluktan geçerek saldırıya uğrarlar. Uyumluluğun gerçek bir değeri vardır. Belgeleme zorunluluğu getirir, hesap verebilirliği sağlar ve risk için ortak bir dil oluşturur. Ancak bitiş çizgisiyle karıştırılmamalıdır.

Ortak uyumluluk çerçeveleri

• HIPAA — Amerika Birleşik Devletleri'nde sağlık verileri
• PCI DSS — dünya çapında ödeme kartı verileri
• GDPR — AB sakinlerinin kişisel verileri
• SOC 2 — tedarikçiler için hizmet organizasyonu kontrolleri
• ISO 27001 — uluslararası bilgi güvenliği standardı

Düzenlemeler teknolojinin gerisinde kalıyor. Beş yıl önce yazılmış bir çerçeve, bugün karşı karşıya olduğunuz tehditleri ele almayabilir.