合规意味着遵守规则。在网络安全领域，这些规则来源于法律、行业标准和合同义务。HIPAA 规范患者数据。PCI DSS 涵盖支付卡。GDPR 保护欧盟居民的个人数据。SOX 适用于上市公司的财务报告。每个框架都规定了控制措施、文档和审计要求。合规与安全并不相同，尽管两者有所重叠。一个组织即使合规，仍然可能遭受攻击。

差距至关重要。合规框架定义了最低标准，例如打补丁、记录日志和限制访问。但它们并没有告诉你如何阻止拥有有效凭证且耐心十足的攻击者。审计人员只是勾选复选框，而攻击者不会。那些将合规视为底线而非上限的组织，能够构建更强大的防御体系。而那些将合规视为最终目标的组织，虽然能够通过审计，却最终会因为框架未涵盖的漏洞而被攻破。合规确实具有价值，它能够强制文档记录、建立问责机制，并为风险设定通用语言。但切勿将其与终点线混淆。

通用合规框架

• HIPAA——美国医疗保健数据
• PCI DSS——全球支付卡数据
• GDPR——欧盟居民的个人数据
• SOC 2 — 供应商服务组织控制
• ISO 27001——国际信息安全标准

法规往往滞后于技术发展。五年前制定的框架可能无法应对您今天面临的威胁。