Kompenserande kontroll (PCI DSS)
En alternativ säkerhetsåtgärd som får ersätta ett PCI DSS-krav när det finns ett legitimt skäl till att kravet inte går att uppfylla som det är skrivet.
Klassikern är det gamla systemet som inte kan köra antivirus, inte stöder unika användarkonton eller inte går att patcha utan att leverantören försvinner med supportavtalet. I stället för att stå utanför standarden dokumenterar företaget en ersättande åtgärd, till exempel hård nätsegmentering och övervakning runt maskinen, i ett formulär som kallas Compensating Controls Worksheet.
Ribban är högre än många hoppas. Kontrollen ska uppfylla kravets syfte med motsvarande styrka, den ska gå utöver vad standarden redan kräver på annat håll, och skälet måste vara en verklig teknisk eller affärsmässig begränsning – inte att det vore dyrt. Den prövas om vid varje årlig bedömning. Kompenserande kontroller är alltså ett sätt att hantera en skuld, inte att avskriva den.