Kompensierende Kontrollen
Was ist Kompensierende Kontrollen?
Kompensierende KontrollenAlternative Schutzmaßnahmen, die ein gleichwertiges Schutzniveau bieten, wenn eine vorgeschriebene oder bevorzugte Kontrolle nicht umsetzbar ist.
Kompensierende Kontrollen kommen zum Einsatz, wenn eine Organisation eine bestimmte Sicherheitsanforderung nicht mit der vorgesehenen Maßnahme erfüllen kann, das gleiche Maß an Risikoreduktion aber über einen anderen Mechanismus erreicht. Frameworks wie PCI DSS, ISO/IEC 27001 und NIST erkennen sie ausdrücklich an; sie müssen dokumentiert, risikobewertet und regelmäßig überprüft werden. Beispiele sind strikte Netzwerksegmentierung um ein nicht patchbares Legacy-System oder verstärktes Monitoring, wenn Multi-Faktor-Authentifizierung noch nicht möglich ist. Wirksame kompensierende Kontrollen sind auditfähig, nachweislich gleichwertig zur Originalforderung und zeitlich befristet, bis die Lücke geschlossen ist.
● Beispiele
- 01
Einbettung einer alten Industriesteuerung in ein eigenes VLAN mit strikten ACLs, da kein Firmware-Patch möglich ist.
- 02
Verstärkte Logauswertung für eine Datenbank ohne native Verschlüsselung im ruhenden Zustand.
● Häufige Fragen
Was ist Kompensierende Kontrollen?
Alternative Schutzmaßnahmen, die ein gleichwertiges Schutzniveau bieten, wenn eine vorgeschriebene oder bevorzugte Kontrolle nicht umsetzbar ist. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.
Was bedeutet Kompensierende Kontrollen?
Alternative Schutzmaßnahmen, die ein gleichwertiges Schutzniveau bieten, wenn eine vorgeschriebene oder bevorzugte Kontrolle nicht umsetzbar ist.
Wie schützt man sich gegen Kompensierende Kontrollen?
Schutzmaßnahmen gegen Kompensierende Kontrollen kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Kompensierende Kontrollen?
Übliche alternative Bezeichnungen: Ausgleichende Maßnahmen, Alternativkontrollen.