補完統制(PCI DSS)
要件を記載どおりに満たせない正当な理由がある場合に、PCI DSSの要件の代わりとして認められる代替の防御策。
典型例は、マルウェア対策が動かない、個人別アカウントに対応しない、ベンダーのサポート契約を失わずにはパッチを当てられない、といった旧式の機器である。基準から外れる代わりに、その機器の周囲に厳格なネットワーク分離と監視を置くなど代替策を設計し、補完統制ワークシート(Compensating Controls Worksheet)という書式で文書化する。
ハードルは期待されるより高い。元の要件の意図と厳密さを満たし、基準が他で既に求めている内容を超え、単なるコストではなく技術上または業務上の真の制約に基づくことが必要で、毎年の審査のたびに再検証される。補完統制は負債の返済方法であって、帳消しにする手段ではない。