정보보호 실무조직은 되도록 '팀'으로 구성하며, 팀을 만들기 어려운 경우는 CISO와 직보 통로를 만들어 전사 보안 위험 관리를 진행해야 한다.
정보보호 실무조직은 가능하면 실무적 의사결정의 기본 단위인 "팀"으로 만들어야 한다. 정보 보안팀이 별도로 만들어져 있지 않고, 보안담당자가 다른 조직에 포함되어 있다면 전사 보안 위험을 실무적으로 관리하기 어렵기 때문이다. 특히 정보보호 실무자가 IT 통제의 대상이 되는 IT 운영팀에 소속되어 있다면 더욱 좋지 않다. 따라서 인원이 2명 이상이 되면 팀으로 만드는 것이 좋다. 또한, 팀으로 만들기 어려운 환경에서는 CISO와 직보 통로를 만들어서 CISO가 왜곡되지 않은 정보를 바탕으로 전사 보안 위험 관리를 해나갈 수 있도록 해야 한다. 그래야 긴급한 보안 이슈가 발생했을 때도 CISO가 관리할 수 있다.