True or false? Security controls are the means of enforcing security policies that reflect the organization's business requirements.

Đáp án đúng: "True". Phát biểu đúng vì chính sách an ninh nêu điều tổ chức muốn đạt và phản ánh yêu cầu kinh doanh, còn security controls (biện pháp kiểm soát an ninh) là phương tiện để biến chính sách đó thành thực tế và cưỡng chế nó. Ví dụ chính sách nói chỉ nhân viên có nhu cầu mới được xem dữ liệu khách hàng thì kiểm soát tương ứng là phân quyền truy cập theo vai trò, ghi nhật ký và rà soát quyền định kỳ. Kiểm soát có thể là kỹ thuật như tường lửa, mã hoá, hành chính như quy trình duyệt quyền, hoặc vật lý như khoá cửa phòng máy chủ. Chính vì chính sách bám theo nhu cầu kinh doanh nên kiểm soát cũng gián tiếp phục vụ nhu cầu đó. "False" không được chọn vì nó phủ nhận mối quan hệ chính sách đặt ra yêu cầu còn kiểm soát thực thi yêu cầu, vốn là nền tảng của khung chính sách an ninh.