Компенсирующий контроль

Компенсирующий контроль — организационная или техническая мера, вводимая вместо предписанного основного контроля, когда тот временно или постоянно неприменим. Он должен адресовать тот же риск либо его значимую часть и быть обоснован с учётом конкретного актива, угрозы и ограничений. Например, если нельзя оперативно установить исправление, временной мерой могут быть сегментация, запрет внешнего доступа, ограничение привилегий и усиленный мониторинг. Такая мера требует владельца, срока действия, проверки эффективности и фиксации остаточного риска. Компенсация не считается эквивалентной автоматически: её достаточность зависит от сценария угрозы. Компенсирующие контроли применяют при управлении исключениями, аудите соответствия, внедрении изменений и обработке уязвимостей. Они отличаются от основного контроля, который реализует требование напрямую, и от принятия риска: при принятии риска дополнительная защита может не вводиться, тогда как компенсирующий контроль целенаправленно уменьшает риск.