ある組織は、不要なサービスを無効にし、ビジネスクリティカルなレガシーシステムの前にファイアウォールを設置しました。組織がとった行動を最もよく表しているのは次のうちどれですか？

正解は「補償的コントロール」です。補償的コントロールとは、主要なセキュリティコントロールが完全に実装できない場合に、リスクを軽減するために導入される代替のセキュリティ対策です。このシナリオでは、レガシーシステム自体を直接強化できないため、不要なサービスの無効化とファイアウォールの設置という追加の対策を講じることで、その脆弱性を補っています。 「例外」は、セキュリティポリシーからの逸脱を指し、この状況には当てはまりません。「セグメンテーション」は、ネットワークを分離してリスクを限定する手法ですが、ここではレガシーシステムに対する特定の代替策として提示されています。「リスク移転」は、保険の購入のようにリスクを第三者に移すことを意味し、この行動とは異なります。