合規意味著遵守規則。在網路安全領域，這些規則來自法律、行業標準和合約義務。 HIPAA 規範患者資料。 PCI DSS 涵蓋支付卡。 GDPR 保護歐盟居民的個人資料。 SOX 適用於上市公司的財務報告。每個框架都規定了控制措施、文件和審計要求。合規與安全並不相同，儘管兩者有所重疊。一個組織即使合規，仍然可能遭受攻擊。

差距至關重要。合規框架定義了最低標準，例如打補丁、記錄日誌和限制存取。但它們並沒有告訴你如何阻止擁有有效憑證且耐心十足的攻擊者。審計人員只是勾選複選框，而攻擊者不會。那些將合規視為底線而非上限的組織，能夠建立更強大的防禦體系。而那些將合規視為最終目標的組織，雖然能夠通過審計，卻最終會因為框架未涵蓋的漏洞而被攻破。合規確實具有價值，它能夠強製文件記錄、建立問責機制，並為風險設定通用語言。但切勿將其與終點線混淆。

通用合規框架

• HIPAA—美國醫療保健數據
• PCI DSS－全球支付卡數據
• GDPR——歐盟居民的個人數據
• SOC 2 — 供應商服務組織控制
• ISO 27001——國際資訊安全標準

法規往往落後於技術發展。五年前製定的框架可能無法應對您今天面臨的威脅。