Une organisation a désactivé les services inutiles et a placé un pare-feu devant un système hérité essentiel à l'entreprise. Laquelle des propositions suivantes décrit le mieux les actions entreprises par l'organisation ?

Les contrôles compensatoires sont des mesures de sécurité alternatives mises en place pour atténuer un risque lorsque les contrôles primaires ne peuvent pas être entièrement mis en œuvre ou sont insuffisants. Dans ce cas, le système hérité ne peut pas être mis à jour ou remplacé, il est donc "compensé" par la désactivation des services inutiles (réduction de la surface d'attaque) et l'ajout d'un pare-feu (contrôle de l'accès réseau). L'exception est une dérogation formelle à une politique, pas une mesure de sécurité. La segmentation est la division d'un réseau en sous-réseaux pour isoler les systèmes, ce qui n'est qu'une partie de la solution ici. Le transfert de risque implique de transférer le fardeau financier ou opérationnel du risque à une tierce partie, comme une assurance.