Compensating Control
Auch bekannt als:Kompensierende Kontrolle
Compensating Control: Ersatzmaßnahme, die ein Risiko reduziert, wenn eine primäre Kontrolle nicht umsetzbar ist. Der Begriff ist für die Bewertung und Gestaltung moderner SicherheitsarchitekturenSecurity ArchitectureStrukturierte Gestaltung von Sicherheitskontrollen, Vertrauensgrenzen, Datenflüssen und betrieblichen Verantwortlichkeiten. relevant und sollte im jeweiligen technischen und organisatorischen Kontext angewendet werden.
Funktionsweise und Einordnung
Compensating Control ist eine präventive, erkennende oder korrigierende Sicherheitskontrolle. Ihre Wirkung hängt davon ab, wo sie in der Architektur sitzt, welche Daten und Entscheidungen sie verarbeitet und welche Umgehungsmöglichkeiten bestehen. Eine Kontrolle reduziert ein definiertes Risiko, beseitigt es aber selten vollständig und sollte deshalb mit weiteren Schutzschichten kombiniert werden.
Bedeutung in der Praxis
Vor dem Einsatz müssen Schutzziel, Verantwortlichkeit, Abdeckung und erwartetes Verhalten festgelegt werden. Sichere Standardwerte, kontrollierte Ausnahmen, Protokollierung und regelmäßige Wirksamkeitstests sind wichtiger als die bloße Installation. Betriebskennzahlen sollten sowohl blockierte oder erkannte Ereignisse als auch Lücken, Fehlalarme und Auswirkungen auf legitime Prozesse sichtbar machen.
Verwandte Begriffe
- RisikobewertungRisk AssessmentIdentifiziert, analysiert und bewertet Bedrohungen, Schwachstellen und Auswirkungen.: Identifiziert, analysiert und bewertet Bedrohungen, Schwachstellen und Auswirkungen.
- Governance, Risiko und ComplianceGovernance, Risk and ComplianceIntegrierter Ansatz zur Steuerung von Richtlinien, Risiken, Kontrollen und Nachweisen.: Integrierter Ansatz zur Steuerung von Richtlinien, Risiken, Kontrollen und Nachweisen.
- Informationssicherheits-ManagementsystemInformation Security Management SystemManagementsystem zur risikobasierten Planung, Umsetzung und Verbesserung von Informationssicherheit.: Managementsystem zur risikobasierten Planung, Umsetzung und Verbesserung von Informationssicherheit.
- SicherheitsrichtlinieSecurity PolicyVerbindliche Vorgabe für Ziele, Verantwortlichkeiten und Regeln der Informationssicherheit.: Verbindliche Vorgabe für Ziele, Verantwortlichkeiten und Regeln der Informationssicherheit.