Мера компенсационная [ Compensating control ]

Если организация не может напрямую выполнить исходное требование в силу обоснованных технических ограничений или задокументированных ограничений, связанных с ее деятельностью, но при этом успешно снизила риск, связанный с данным требованием, путем реализации других мер, такие меры могут быть признаны компенсационными. Меры компенсационные должны: – отвечать цели и строгости исходного требования; – обеспечивать такой же уровень защиты, как и исходное требование; – обеспечивать дополнительный уровень защиты по сравнению с прочими требованиями (а не только не противоречить прочим требованиям); – быть соизмеримыми с дополнительным риском, который вызван несоблюдением требования [ PCI DSS v3.0 Глоссарий ].