통제를 즉시 적용하지 않거나 적용 전 소통을 하는 이유는 통제를 수용할 수 있게끔 하기 위함이므로, CISO는 보안 통제 전에 일정한 기간까지 충분히 고민하고 생각할 기회를 보안 컴플라이언스 위반이 아닌 이상 1주일 정도는 줘야 한다.
앞서 말한 것처럼 가능한 범위 내에서 보안 통제를 즉시 적용하지 않고 기다려 주거나 새로운 보안 통제 적용 전에 다른 조직과 지속적인 소통을 하는 이유는, 다른 조직이 보안 통제를 수용할 수 있는 시간을 주기 위함이다. 특히 필자는 이러한 수용이 시간을 보낸 조직과 그렇지 못한 조직이 정보보안 체계 수용하는 수준이 현저하게 다르다는 것을 종종 목격하였다. 따라서 CISO는 법령/정책에서 규정하고 있는 보안 통제를 적용하기 전에는 이 보안 통제를 준수해야 하는 조직에게 일정한 기간까지 충분히 고민하고 생각할 기회를 만들어 줄 필요가 있다. 이렇게 하면 해당 조직 내에서는 일정 기간 동안 내부적으로 회의와 토론 등의 활동을 하게 되는데, 이러한 활동을 통해서 보안 통제를 심리적으로 수용하게 되는 것이다. 필자의 경험에 비추어 볼 때, 이미 보안 컴플라이언스를 위반하고 있지 않은 상황이라면 1주일 정도의 시간이 합리적이라고 생각된다.