某組織停用了不必要的服務，並在業務關鍵的舊有系統前放置了防火牆。以下哪項最能描述該組織所採取的行動？

正確答案是補償性控制。當組織無法實施主要的安全控制措施時，會使用補償性控制來彌補不足。在這個情境中，舊有系統可能難以直接修補或升級，因此組織透過停用不必要的服務（減少攻擊面）並在系統前放置防火牆（增加防禦層）來降低風險，這些都是在無法直接解決舊有系統固有弱點時採取的補償措施。 例外是指偏離既定政策或標準的批准。分段是將網路或系統劃分為更小的、隔離的部分以限制風險。風險轉移是將風險責任轉移給第三方，例如透過保險。這些選項都不像補償性控制那樣，直接描述了在主要控制措施不可行時採取的替代安全措施。