Měla by poskytovat ekvivalentní nebo srovnatelnou ochranu pro příslušný cíl ve skutečném prostředí systému a její použití by mělo být zdůvodněno omezeními, analýzou hrozeb a přijatým rizikem — ne pouhou pohodlností.
Jedna náhrada může vyžadovat několik koordinovaných kontrol. Organizace by měla identifikovat zamýšlený výsledek původní kontroly, porovnat pokrytí a sílu alternativy, dokumentovat závislosti a zbytkové mezery, získat případný požadovaný souhlas a rozhodnutí přehodnocovat, jak se systém a prostředí hrozeb mění.
Klíčové body
Zdůvodnění náhradyZaznamenejte, proč je původní kontrola neproveditelná nebo nevhodná, jakého požadavku a rizika se týká a proč je navrhovaná alternativa vhodná.
EkvivalenceZmapujte mechanismy a postupy na zamýšlený výsledek, prozkoumejte cesty selhání a obcházení a shromážděte důkazy, že celá kombinace funguje podle návrhu.
Řízení výjimekPřiřaďte vlastnictví, schválení, termíny přezkumu, monitorování a podmínky pro návrat k původní kontrole nebo přijetí lepší alternativy.
Důležité omezeníNazvání opatření „kompenzační" nečiní jeho ochranu ekvivalentní. Dokumentace, schválení nebo akceptace auditem je omezený důkaz a jiný zákon, standard, zákazník nebo autorita může uplatňovat odlišná kritéria náhrady.