보안 위험 관리는 최고경영층이 좋은 스태프들의 보고, 조언들과 함께 결정해야 한다. 국내 기업 거버넌스에서 CISO가 최고경영층에 포함되는 경우가 적어, 최고경영층이 정보보호 거버넌스에서 어떤 역할을 할지 중요하다.
과연 기업의 최고경영층이 이러한 과정을 주도할 수 있을 것인가, 하는 질문을 던질 수 있다. 하지만 그 질문은 일반적으로 최고경영층의 역할로 여겨진 대규모 신규 사업 결정, 신규 투자 확보, 대형 고객사 확보, 연구, 개발 투자 등을 하는 데 최고경영층이 전문성이 있느냐는 질문과 같은 맥락에 있다. 최고경영층이 해당 분야에 전문성이 있어 추진하는 일도 있지만, 좋은 스태프들의 보고와 조언을 통해 경영적 판단을 내리는 경우도 많이 있기 때문이다. 에서 보듯 보안 위험 역시 좋은 스태프의 보고와 조언을 받아 기업의 위험 관리 영역에서 최고경영층이 의사결정을 내려야 할 사안이다. 국내 기업 거버넌스에서 CISO가 최고경영층에 포함되는 경우는 별로 없다. 따라서 최고경영층이 정보보호 거버넌스에서 어떤 역할을 하는지가 매우 중요하다.