セキュリティポリシーの「例外」を認める際、必ず設定すべき条件はどれか。

「ルールを守らなくていい」のではなく、「別の方法でリスクを抑える(代替策)」ことを条件とし、かつ「期間限定」にしないと、なし崩し的に穴が増える。