Tuân thủ có nghĩa là tuân theo các quy tắc. Trong an ninh mạng, các quy tắc đó đến từ luật pháp, tiêu chuẩn ngành và các nghĩa vụ hợp đồng. HIPAA quản lý dữ liệu bệnh nhân. PCI DSS bao gồm thẻ thanh toán. GDPR bảo vệ dữ liệu cá nhân cho cư dân EU. SOX áp dụng cho báo cáo tài chính của các công ty niêm yết. Mỗi khuôn khổ đều quy định các biện pháp kiểm soát, tài liệu và yêu cầu kiểm toán. Tuân thủ không giống với bảo mật, mặc dù hai khái niệm này có sự chồng chéo. Một tổ chức có thể tuân thủ đầy đủ các quy định nhưng vẫn bị xâm phạm.

Khoảng cách giữa tuân thủ và các yếu tố khác rất quan trọng. Các khuôn khổ tuân thủ xác định các tiêu chuẩn tối thiểu. Chúng yêu cầu bạn vá lỗi, ghi nhật ký và hạn chế truy cập. Nhưng chúng không cho bạn biết cách ngăn chặn một kẻ tấn công quyết tâm, người có thông tin đăng nhập hợp lệ và sự kiên nhẫn. Các kiểm toán viên chỉ kiểm tra các ô, còn kẻ tấn công thì không. Các tổ chức coi tuân thủ là mức tối thiểu chứ không phải mức tối đa sẽ xây dựng được hệ thống phòng thủ mạnh mẽ hơn. Những tổ chức coi tuân thủ là mục tiêu sẽ vượt qua các cuộc kiểm toán nhưng sau đó lại bị xâm nhập thông qua một lỗ hổng mà khuôn khổ không bao quát. Tuân thủ có giá trị thực sự. Nó buộc phải lập tài liệu, tạo ra trách nhiệm giải trình và thiết lập một ngôn ngữ chung về rủi ro. Chỉ là không nên nhầm lẫn nó với đích đến cuối cùng.

Các khuôn khổ tuân thủ phổ biến

• HIPAA — dữ liệu chăm sóc sức khỏe tại Hoa Kỳ
• PCI DSS — dữ liệu thẻ thanh toán trên toàn thế giới
• GDPR — dữ liệu cá nhân của cư dân EU
• SOC 2 — Kiểm soát tổ chức dịch vụ dành cho nhà cung cấp
• ISO 27001 — tiêu chuẩn an ninh thông tin quốc tế

Các quy định thường chậm hơn so với công nghệ. Một khuôn khổ được soạn thảo cách đây 5 năm có thể không giải quyết được những mối đe dọa mà bạn đang phải đối mặt ngày nay.