Powinna zapewniać równoważną lub porównywalną ochronę dla danego celu w rzeczywistym środowisku systemu, a jej zastosowanie powinno być uzasadnione ograniczeniami, analizą zagrożeń i zaakceptowanym ryzykiem — nie samą wygodą.
Jedna zamiana może wymagać kilku skoordynowanych kontroli. Organizacja powinna zidentyfikować zamierzony rezultat pierwotnej kontroli, porównać pokrycie i siłę alternatywy, udokumentować zależności i pozostałe luki, uzyskać wymagane zatwierdzenie i ponownie ocenić decyzję wraz ze zmianami systemu i otoczenia zagrożeń.
Najważniejsze punkty
Uzasadnienie podstawieniaZapisz, dlaczego pierwotna kontrola jest niewykonalna lub nieodpowiednia, jakiego wymagania i ryzyka dotyczy oraz dlaczego proponowana alternatywa jest właściwa.
RównoważnośćZmapuj mechanizmy i procedury na zamierzony rezultat, zbadaj ścieżki awarii i obejścia oraz zbierz dowody, że cała kombinacja działa zgodnie z projektem.
Nadzór nad wyjątkamiPrzydziel właściciela, zatwierdzenie, terminy przeglądu, monitoring i warunki powrotu do pierwotnej kontroli lub przyjęcia lepszej alternatywy.
Istotne ograniczenieNazwanie środka „kompensującym" nie czyni jego ochrony równoważną. Dokumentacja, zatwierdzenie czy akceptacja audytu to ograniczony dowód, a inne prawo, norma, klient lub organ mogą stosować odmienne kryteria podstawienia.