Organizacja wyłączyła niepotrzebne usługi i umieściła zaporę sieciową przed krytycznym dla działalności systemem dziedziczonym. Które z poniższych najlepiej opisuje działania podjęte przez organizację?

Prawidłową odpowiedzią są kontrole kompensacyjne. Są to alternatywne środki bezpieczeństwa stosowane, gdy nie można wdrożyć podstawowych kontroli lub są one niewykonalne. W tym przypadku, ponieważ system dziedziczony jest krytyczny, ale prawdopodobnie trudny do bezpośredniego zabezpieczenia (np. przez aktualizację), organizacja zastosowała wyłączenie niepotrzebnych usług i zaporę sieciową jako kontrole kompensacyjne, aby zmniejszyć ryzyko. Wyjątek to formalne odstępstwo od polityki. Segmentacja to dzielenie sieci na mniejsze, izolowane części. Transfer ryzyka to przeniesienie odpowiedzialności za ryzyko na stronę trzecią, np. poprzez ubezpieczenie.