생각은 가변적이므로 CISO는 보안지표 평가와 간접지표 평가, 보안 점검과 보안 불만 내용 집계 등의 과정으로 구성원들의 정보보호 인식을 주기적으로 평가해야 한다.
사람의 생각은 언제든지 변화할 수 있다는 전제하에 구성원들의 정보보호 인식에 대해서는 주기적으로 평가를 해 보아야 한다. 예를 들면, 부서장급 이상에게 분기 내지는 반기마다 공유하는 부서별 보안지표 현황을 통해서 평가할 수도 있다. 또한, 앞서 본 것처럼 보안시스템 내에 누적되어있는 간접지표를 통해서도 평가할 수 있으며, 보안 점검의 결과나 정보보안 체계에 대한 불만 제기 등을 통해서도 평가할 수 있다. 따라서 CISO는 보안지표 평가, 간접지표 평가, 보안 점검, 보안 불만 내용 집계 등의 과정을 통해서 구성원들의 정보보호 인식을 주기적으로 평가하여야 한다.