Acesta ar trebui să ofere o protecție echivalentă sau comparabilă pentru obiectivul relevant, în mediul real al sistemului, iar utilizarea sa trebuie justificată prin constrângeri, analiza amenințărilor și risc acceptat — nu doar prin comoditate.
O singură înlocuire poate necesita mai multe controale coordonate. Organizația trebuie să identifice rezultatul intenționat al controlului original, să compare acoperirea și robustețea alternativei, să documenteze dependențele și lacunele reziduale, să obțină aprobarea necesară și să reevalueze decizia pe măsură ce sistemul și mediul de amenințare se schimbă.
Puncte esențiale
Justificarea înlocuiriiÎnregistrați de ce controlul original este imposibil sau nepotrivit, ce cerință și ce risc sunt implicate și de ce alternativa propusă este adecvată.
EchivalențăMapați mecanismele și procedurile la rezultatul intenționat, examinați căile de defecțiune și de ocolire și colectați dovezi că întreaga combinație funcționează conform proiectării.
Guvernanța excepțiilorAtribuiți responsabilitate, aprobare, date de revizuire, monitorizare și condiții pentru revenirea la controlul original sau adoptarea unei alternative mai bune.
Limitare importantăA numi o măsură „compensatorie” nu face ca protecția ei să fie echivalentă. Documentația, aprobarea sau acceptarea la audit sunt dovezi limitate, iar o altă lege, un alt standard, client sau autoritate poate aplica criterii de înlocuire diferite.