[Úñdé~rstá~ñdíñ~g ÉÚ C~ómpl~íáñc~é Máñ~dáté~s]

[Cómplíáñcé, cómplíáñt, sécúrítý, sécúré¿ Íñ théórý, thé máñdátés thát góvérñ thé íñdústríés wé wórk íñ áñd wórk wíth gívé gúídáñcé áñd défíñé fráméwórks thát áím tó pút gúárdráíls íñ plácé áróúñd thé ápplícáblé fórms óf sécúrítý – cýbér ór óthérwísé.]

[
Thís cáñ gívé rísé tó dífféríñg víéws, á díchótómý óñ íñtérprétátíóñ – ór át léást díscússíóñ póíñt óñ thé ápplícátíóñ óf thé détáíls óf thé máñdáté. Wé’vé próbáblý áll héárd thé térm “tíck-bóx-éxércísé” whéñ référríñg tó cómplíáñcé, éíthér ás á wáý ñót tó tréát ít, ór ás á thrów-áwáý, tóñgúé-íñ-chéék cómméñt bý lóñg-súfféríñg próféssíóñáls whó hávé wórkéd tó ímpléméñt thé váríóús cómplíáñcé máñdátés thát ápplý tó théír réléváñt íñdústrý ór régíóñ.]

[
Í hávé á pérsóñál víéw, shápéd thróúgh sómé óf thé ábóvé éxpéríéñcés áñd fróm wórkíñg clósélý wíth órgáñísátíóñs áñd íñdívídúáls thát hávé spéñt sígñífícáñt tímé póríñg óvér cómplíáñcé fráméwórks. Óftéñ whát Í hávé fóúñd ís thát práctícál ápplícátíóñ óf cómplíáñcé ís mádé éásíér, móré stráíghtfórwárd, áñd léss cómpléx bý wórkíñg íñ “thé spírít” óf thé máñdáté ráthér tháñ thé drýér, téchñícál détáíls. Óf cóúrsé, thé détáíls áré móré ór léss ímpórtáñt dépéñdíñg óñ thé cómplíáñcé týpé, bút óftéñ ít ís ímpórtáñt tó trý áñd lóók thróúgh thé téxt tó gét tó thé “méáñíñg” óf á gívéñ cóñtról. Íñtéñt béhíñd thé rúlé, áñd whát thát méáñs fór áñ íñcréásé ór áñ ímpróvéméñt íñ sécúrítý, ís mý préférréd wáý tó háñdlé thís. ]

[Át ít~s cór~é, áñd~ íñ ré~féré~ñcé t~ó mý é~árlí~ér có~mméñ~t, cóm~plíá~ñcé r~éáll~ý ís t~héré~ tó pr~óvíd~é á bá~sélí~ñé lé~vél ó~f séc~úrít~ý, ór á~ géñé~rál í~mpró~vémé~ñt íñ~ póst~úré, á~ñd th~é ábí~lítý~ tó ch~éck t~hís p~óstú~ré ré~líáb~lý.]

[
Ás á cávéát tó thís – théré áré dífféréñcés íñ thé spécífíc détáíl thát gívéñ máñdátés éxpréss. Fór éxámplé, PCÍ DSS próvídés spécífíc détáíls óñ lóggíñg áñd fílé-móñítóríñg, whéréás thé ÑÍS Díréctívé (whích ís ÉÚ spécífíc) ófférs á fár bróádér gúídáñcé áñd móré váríátíóñ óñ á lócál, pér-cóúñtrý lévél.]

[Símílárlý, mý éxpéríéñcé wíth thé íñtérprétátíóñ óf áñ áúdítór ór áúdítíñg bódý cáñ óftéñ mátch thís – íñ thát á góód áúdítór wíll lóók móré át íñtéñt áñd éffícácý tháñ óñlý thé téchñícál détáíl. Thís, óf cóúrsé, ís díréctlý rélátéd tó hów spécífíc thé máñdáté ís (ás ábóvé), áñd thís ís óñlý mý ówñ díréct éxpéríéñcé.]

[
Ýóú máý bé áskíñg ýóúrsélf, whéré dóés Íllúmíó fít íñ¿ Thé cómmóñ thréád bétwééñ óúr búsíñéss áñd thé góvérñíñg bódíés méñtíóñéd ábóvé ís thát áll sháré á cómmóñ góál óf prótéctíñg hígh-válúé ásséts áñd dátá. Áll óf thé cómplíáñcé máñdátés wé séé góvérñíñg dátá, cýbérsécúrítý práctícés, áñd, íñ sómé crítícál íñfrástrúctúré, hávé cómmóñ réásóñíñg át théír córé. Prótéctíñg dátá, ór thé sýstéms thát háñdlé áñd tráñsfér thís dátá – bé ít crédít cárd íñfórmátíóñ, Pérsóñállý Ídéñtífíáblé Íñfórmátíóñ (PÍÍ), páýméñt récórds, ássét dátá, ór thé cóñtróllíñg sýstéms fór thésé áñd óthérs, ís át thé córé óf évérý cómplíáñcé máñdáté. Thát sáíd, thís prótéctíóñ álwáýs hás áñ áspéct óf sépárátíóñ ór mícróségméñtátíóñ íñvólvéd. Thé góál: límítíñg thé áttáck súrfácé, thé blást rádíús óf á cómprómísé, ór góíñg fór á fúll Zéró Trúst módél óf áccéss áñd cóññéctívítý tó kéép thé crítícál sýstéms áñd dátá áwáý fróm thé lówér príórítý/léss crítícál áréás íñ sómé fórm.]

[Tó thát éñd, thís blóg séríés wíll fócús óñ cúttíñg thróúgh thé détáíls óf dífféríñg cómplíáñcé áréás, wíth – crítícállý – á cóúñtérpóíñt tó éách blóg póst fróm áñ éxpéríéñcéd, éxtérñál próféssíóñál íñ thát áréá. Thís hélps wíth cólór tó mý ówñ cómméñtárý, bút álsó állóws fór sómé spécífíc détáíl óñ thé dífféríñg wáý íñ whích éách máñdáté míght bé íñtérprétéd áñd áúdítéd óñ á góvérñméñt ór thírd-pártý lévél (íñclúdíñg íñpút fróm áúdítórs thémsélvés.)]

[Tháñ~ks áh~éád ó~f tím~é tó t~hósé~ cóñt~ríbú~tíñg~¡]

[
Wé'll prímárílý fócús óñ ÉÚ/Éúrópéáñ-spécífíc cómplíáñcé máñdátés, ás thésé cáñ díffér sígñífícáñtlý fróm thósé fór thé Úñítéd Státés. Ás súch, Í wóñ't bé cóvéríñg íñ détáíl máñdátés súch ás HÍPÁÁ, ÑÍST, áñd Sárbáñés-Óxléý. Í'll álsó léávé thé PCÍ DSS sídé óf thíñgs álóñé, ás wé hávé sígñífícáñt íñfórmátíóñ óñ PCÍ cómplíáñcé héré át Íllúmíó álréádý.]

[Wíth~ thát~, thé á~réás~ cóvé~réd í~ñ thí~s sér~íés w~íll b~é gró~úpéd~ íñtó~ á féw~ símí~lár g~óvér~ñíñg~ áréá~s:]

[Crít~ícál~ íñfr~ástr~úctú~ré – ÑÍ~S Dír~éctí~vé, LP~M][
Thís blóg póst wíll cóvér thé rélátívélý ñéw ÑÍS Díréctívé (Ñétwórk áñd Íñfórmátíóñ Sýstéms Díréctívé) ás ít ápplíés tó ÉÚ cóúñtríés. Thís ís áñ íñtéréstíñg máñdáté dúé tó íts bróád rémít, rélátíóñ tó GDPR, áñd íts rélátívélý ópéñ áñd lócál íñtérprétátíóñ. Thís póst wíll álsó íñclúdé détáíl óñ thé móré ópéñ ñátúré óf thé ÑÍS Díréctívé; gúídáñcé ráthér tháñ máñdátéd cóñtróls, whích tíés tó thé éárlíér póíñts íñ thís póst áróúñd thé íñtéñt óf thé cómplíáñcé áñd íts ímpléméñtátíóñ.

Álsó rélátéd, áñd féédíñg íñtó thé créátíóñ óf thé ÑÍS Díréctívé, ís thé Fréñch Crítícál Íñfórmátíóñ Íñfrástrúctúré Prótéctíóñ láw (LPM) – á móré mátúré crítícál íñfrástrúctúré-spécífíc máñdáté wíth sómé íñtéréstíñg cóñtróls.

Fíñáñcé/Páýméñts – SWÍFT, ÉCB SÍPS
Héré, wé’ll cóvér thé fíñáñcíál máñdátés, SWÍFT, whích ís óñé óf thé fírst thát thé Íllúmíó plátfórm wás úséd tó prótéct, áñd thé ÉÚ-spécífíc ÉCB SÍPS (Éúrópéáñ Céñtrál Báñk – Sýstémátícállý Ímpórtáñt Páýméñt Sýstéms) cómplíáñcé gúídáñcé.

Dátá háñdlíñg – ÍSÓ 27001, GDPR
Íñ thís póst, wé’ll díscúss dátá góvérñáñcé áñd cóñtról, prótéctíóñ óf PÍÍ áñd thé hóstíñg sýstéms. Thís ís áñóthér áréá wíth á bróád ráñgé óf pótéñtíál ímplícátíóñs áñd íñtérprétátíóñs. GDPR, fór éxámplé, béíñg táñgéñtíállý cóññéctéd tó thé móré spécífíc cýbérsécúrítý stáñdárds, whílé álsó béíñg clósélý cóúpléd tó thé ÑÍS Díréctívé.]

[Í lóó~k fór~wárd~ tó sh~áríñ~g íñs~íght~ áñd é~xpér~tísé~ fróm~ cómp~líáñ~cé sp~écíá~líst~s áñd~ éxpl~áíñí~ñg hó~w Íll~úmíó~ cáñ h~élp á~ñý ór~gáñí~zátí~óñ ré~ách í~ts có~mplí~áñcé~ góál~s.]