2008년 오픈마켓 사이트 개인정보 유출사건에 대한 대법원 판결에 따르면, 새롭게 식별된 위협의 대응을 위해 추가 시스템이나 인력이 필요한 경우 CISO가 정보보호 예산을 요청할 수 있다.
2008년 발생한 오픈마켓 사이트 개인정보 유출사건에 대해 2018년 1월 25일 대법원은 ‘관리적·기술적 보호조치에 관한 고시를 준수하였다고 하더라도 사회 통념상 합리적으로 기대 가능한 보호조치를 취하지 않았다면 주의의무를 다하지 않았다고 인정할 수 있다’고 판결을 하였다. 특히 이 판결은 새롭게 식별된 위협에 대응하기 위한 정보보호 예산이 필요한 경우에 활용할 수 있는 판례이다. 즉, 정기적 또는 필요적으로 수행한 위험평가의 결과로 새로운 위협이 식별되었고 이 위협에 대응하기 위해서는 추가적인 시스템이나 인력이 필요한 경우에 CISO는 ‘사회통념상 합리적으로 기대 가능한 보호조치’를 위하여 정보보호 예산을 요청할 수 있다는 것이다.