Eine Organisation hat nicht benötigte Dienste deaktiviert und eine Firewall vor ein geschäftskritisches Altsystem gesetzt. Welche der folgenden Optionen beschreibt am besten die von der Organisation ergriffenen Maßnahmen?

Die Deaktivierung unnötiger Dienste und die Platzierung einer Firewall vor einem Altsystem sind kompensierende Kontrollen. Dies sind Sicherheitsmaßnahmen, die implementiert werden, um ein Risiko zu mindern, wenn die primäre Kontrolle nicht implementiert werden kann oder nicht praktikabel ist. In diesem Fall kann das Altsystem nicht direkt aktualisiert oder ersetzt werden, daher werden kompensierende Kontrollen angewendet, um seine Schwachstellen zu adressieren. Segmentierung wäre die Aufteilung des Netzwerks in kleinere, isolierte Bereiche, was hier nicht direkt beschrieben wird. Risikotransfer wäre die Übertragung des Risikos auf eine andere Partei, z. B. durch eine Versicherung. Eine Ausnahme würde bedeuten, dass das Risiko akzeptiert und keine Maßnahmen ergriffen werden.