В соответствии с ГОСТ 57580.1-2017 п. 6.4 при невозможности технической реализации отдельных выбранных мер защиты информации, а также с учетом экономической целесообразности на этапах адаптации (уточнения) базового состава мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию угроз безопасности информации, определенных в модели угроз, и нарушителей безопасности информации финансовой организации. В этом случае финансовой организацией должно быть проведено обоснование применения компенсирующих мер защиты информации. Моделирование угроз – это инструмент, позволяющий минимизировать реализуемые меры и как в следствие – затраты на их реализацию.