Комплаенс в ИБ включает соблюдение законодательных норм, таких как 187-ФЗ и 152-ФЗ. Нарушение требований влечет штрафы и уголовную ответственность. С 1 марта 2026 года приказ ФСТЭК № 117 обязывает госсистемы устранять критические уязвимости за 24 часа, а высокие — за 7 дней. С мая 2025 года введены оборотные штрафы за утечки данных до 3–15 млн рублей.
Финансовые организации обязаны следовать положениям ЦБ 382-П, 683-П, 684-П и 821-П, проводя ежегодные пентесты. Указ Президента № 250 закрепил персональную ответственность за ИБ в субъектах КИИ, а с 1 января 2025 года действует запрет на использование средств защиты из недружественных стран. Для контроля соответствия применяются MaxPatrol HCC, RedCheck и ScanOVAL.
Зрелый подход к комплаенсу предполагает использование эталонных образов (golden images), создаваемых через Packer или Ansible. Это позволяет внедрять настройки безопасности до развертывания систем. Регулярное сканирование конфигураций дополняет этот процесс, помогая выявлять отклонения от эталона, которые возникают в процессе эксплуатации инфраструктуры.
Комплаенс является частью управления уязвимостями. Даже при отсутствии технических дефектов кода система остается уязвимой из-за ошибок конфигурации, таких как стандартные пароли. Контроль настроек доступа и параметров систем необходим для защиты периметра, так как закрытие CVE не гарантирует безопасность, если административные панели защищены паролями по умолчанию.
