기업의 정보보안 체계의 유지 강화를 위한 예산확보는 중요한 문제이며 이를 위해 금융업종은 '전자금융감독규정'에 의해 예산을 측정하고 있다. 그러나 해당 규정은 금융업종의 강행규정으로 다른 업종에서는 경영진 설득에 필요한 정보보호 투자의 근거로 미흡할 수 있다.
기업의 정보보안 체계를 유지하고 강화해 나가기 위해서는 정보보호 예산을 확보하는 것도 상당히 중요하다. 이를 위해서 금융업종의 경우에는 「전자금융감독규정」에 의해서 전체인력의 5%를 IT 인력으로 두고 이 중에서 5%는 정보보호 인력으로 구성하며 IT 예산 중 7%를 정보보호 예산으로 사용하도록 하고 있다. 다만, 이 ‘5·5·7 규정’은 금융업종에 해당하는 강행규정이기 때문에, 금융업종을 제외한 나머지 업종에서 종사하는 CISO 입장에서는 경영진을 설득하는데 활용할 수 있는 ‘정보보호 투자의 근거’가 아쉬울 수 있다. 예를 들어서 새로운 보안 위협에 대응하기 위하여 신규 보안시스템을 구축하고자 하는 경우, 구축에 필요한 비용을 재무부서와 협의를 하게 된다. 이런 경우에 CISO는 보안 위협에 대응하는 관점에서 구축비용의 필요성을 주장하게 됨에 반해, CFO는 비용효과의 관점에서 판단하게 된다. 이렇게 되면 결국은 CFO의 의견에 따라 구축비용은 승인되지 않는 경우가 종종 있다. 이런 경우에 CISO는 어떻게 CFO를 설득할 수 있을까?