A releváns célra a rendszer tényleges környezetében egyenértékű vagy összemérhető védelmet kell nyújtania, és használatát korlátok, fenyegetéselemzés és elfogadott kockázat kell, hogy indokolja — nem pusztán a kényelem.
Egyetlen helyettesítés több koordinált kontrollt is igényelhet. A szervezetnek azonosítania kell az eredeti kontroll szándékolt eredményét, össze kell hasonlítania az alternatíva lefedettségét és erősségét, dokumentálnia kell a függőségeket és a megmaradó réseket, be kell szereznie a szükséges jóváhagyást, és a rendszer és a fenyegetési környezet változásával újra kell értékelnie a döntést.
Legfontosabb pontok
A helyettesítés indoklásaRögzíteni kell, miért nem megvalósítható vagy alkalmas az eredeti kontroll, mely követelmény és kockázat érintett, és miért megfelelő a javasolt alternatíva.
EgyenértékűségA mechanizmusokat és eljárásokat a szándékolt eredményhez kell rendelni, meg kell vizsgálni a hiba- és megkerülési útvonalakat, és bizonyítékot kell gyűjteni arról, hogy a teljes kombináció a tervek szerint működik.
Kivételek irányításaTulajdonost, jóváhagyást, felülvizsgálati időpontokat, monitoringot és feltételeket kell rendelni az eredeti kontrollhoz való visszatérésre vagy egy jobb alternatíva bevezetésére.
Fontos korlátEgy intézkedés „kompenzáló" elnevezése nem teszi egyenértékűvé a védelmét. A dokumentáció, a jóváhagyás vagy az audit-elfogadás korlátozott bizonyíték, és egy másik törvény, szabvány, ügyfél vagy hatóság eltérő helyettesítési kritériumokat alkalmazhat.