기존의 영역별로 점수를 내 평균 내는 보안점수 산정 방식은 회사의 전반적인 보안 수준을 이해하지 못하므로, CISO는 보안수준이 많이 떨어지는 영역을 최소한 평균 수준으로 높여야 한다.
예를 들어, 정보보호 정책(A) 4점, 외부자 보안(B) 5점, 임직원 보안(C) 3점, 서버 보안(D) 1점, 네트워크 보안(E) 4점, 웹 사이트 보안(F) 3점이라고 할 때 이 회사의 평균 보안점수는 3.3점이라고 하는 방식이다. 이러한 방법은 회사의 전반적인 보안수준을 이해하는 데에는 도움이 되나, 보안사고가 날 만한 곳을 찾아내어 예방하는 데에는 별 도움이 되지 않는다. 보통 사고는 평균에 크게 못 미치는 D 영역에서 발생하기 때문이다. 따라서 CISO 입장에서는 이 기업의 실제 보안수준은 1점이라고 보는 것이 타당하다. CISO가 가장 시급하게 해야 할 일은 D 영역과 같이 보안수준이 많이 떨어지는 영역을 찾아내 최소한 평균 수준으로 높이는 일이다.