Een organisatie heeft onnodige services uitgeschakeld en een firewall voor een bedrijfskritisch legacy-systeem geplaatst. Welke van de volgende opties beschrijft het beste de acties die de organisatie heeft ondernomen?

De organisatie heeft compenserende controles geïmplementeerd. Dit zijn alternatieve beveiligingsmaatregelen die worden gebruikt wanneer het niet mogelijk is om aan een specifieke beveiligingseis te voldoen. Het uitschakelen van onnodige services en het plaatsen van een firewall voor een legacy-systeem zijn voorbeelden van maatregelen die de risico's verminderen wanneer het systeem zelf niet direct kan worden geüpdatet of vervangen. Uitzondering is onjuist omdat dit impliceert dat er een afwijking van het beleid is toegestaan zonder compenserende maatregelen. Segmentatie is onjuist omdat het weliswaar een vorm van beveiliging is, maar de acties hier specifiek gericht zijn op het compenseren van kwetsbaarheden in een legacy-systeem, niet alleen op het isoleren ervan. Risico-overdracht is onjuist omdat dit het overdragen van risico's aan een derde partij (bijv. verzekering) inhoudt, wat hier niet het geval is.