Nuixで最高情報セキュリティ責任者（CISO）を務めるクリス・ポーグ氏は、この調査結果を見るまで、ほとんどの経営幹部が自分たちに影響するガバナンス、リスク、コンプライアンスの制度を把握しているものだと考えており、調査結果にはかなり驚いたという。

　ポーグ氏は次のように述べる。「幹部社員が自社に適用されるガバナンス、リスク、コンプライアンス制度の細かな差異を理解していることは、当然ながらほとんど期待できない。だが少なくとも、自社に影響する制度については、ある程度の考えを持っていそうなものだ。このような制度に準拠しているということは、政府や業界の規制団体と適切な関係を築くだけでなく、違反、罰金、訴訟とも密な関わりがある。この全ては何百万ドルもの損失によって収益減につながる可能性がある。また、市場シェアを失う原因となったり、株主代表訴訟に発展したりすることもあるだろう。自社が担う責任の所在すら理解していない状況は、意図的に目をそむけていると言わざるを得ない」

　Tychonで最高技術責任者（CTO）を務めるトラビス・ロジーク氏は、“侵害は企業の収益と評価に深刻なダメージを与えかねない”ことから、経営幹部はコンプライアンスを認識する必要があると話す。

　「経営幹部が、コンプライアンスに関与していないか、このギャップを認識していなければ、リスクを最小限に抑えるために投資すべき対象を把握できない。ただし、コンプライアンスの基準は、脅威の進化に追い付けるスピードで変更されてはいない。そのため、コンプライアンスの順守は最終目標ではなく戦略の一部にすぎない点に注意が必要だ。ほぼリアルタイムで統合ビューを確認できる機能をIT部門とセキュリティ部門が活用することは、経営幹部が本当に必要な可視性を得る上で欠かせない」（ロジーク氏）

　この調査によれば、回答者の25％は自社における情報セキュリティとプライバシー対する主な責任者を把握しておらず、30％は「CEOが責任を担っている」と答え、17％は「最高セキュリティ責任者（CSO）、最高リスク責任者（CRO）または最高コンプライアンス責任者（CCO）」を選んだという。

　Fortinetで戦略プログラミング部門のバイスプレジデントを務めるジョナサン・グエンドイ氏は、ガバナンス、リスク、コンプライアンスに対する認識が薄い一因は、中小企業における経営幹部の構造にあると指摘する。

　グエンドイ氏は次のように話している。「多くの株式非公開の中小企業にはCSOがおらず、株主代表訴訟にさらされることもない。そのため、セキュリティへの関心が限られている。役員会と経営幹部は、会社の事業、顧客のデータ、株主の持ち分という独立しつつも相互につながりのある組織に付随する3つの要素について責任を負っている。ただし、セキュリティに関しては、従来の企業の代表が必ずしも必要な大局観、スキル、知識を備えているとは限らない。事実、目の付け所が間違っていると、未熟な代表者によって、セキュリティがリスク管理の必須要素ではなくコストセンターだと捉えられる最悪の状況に陥ることになる」

　「企業の強さは最も脆弱（ぜいじゃく）なつながりによって決まる。そのため、全てのサプライヤーとパートナー企業を含めた全員が責任を負わなければならない」とロジーク氏は主張する。

　「経営幹部が模範を示して指導することが重要だ。さまざまな理由で適切なセキュリティ慣習に従っていない幹部社員を見てきたが、その多くが企業全体に影響を与えている。“セキュリティとプライバシーは会社の優先事項ではない”というメッセージを会社全体に送っていることに上層部は気付いていない」（ロジーク氏）

　Bromiumの共同創立者でCTOを務めるシモン・クロスビー氏によれば、企業にはガバナンス、リスク、コンプライアンスを監視するCISOが必要だという。

　さらに同氏は次のように語っている。「大企業の大半はCISO職を設けるようにしている。だが、中小企業にとってリソースを見つけて熟練のセキュリティ専門家を雇うのは難しい。最高財務責任者（CFO）またはCEOが責任を負うとしても、CISOが存在しない場合は、企業全体や運用に関わる適切なセキュリティを確保できる管理サービスプロバイダーを探す必要がある」

　さらに、回答者の85％が「セキュリティコンプライアンスの問題によって、業務上のセキュリティが危険にさらされる恐れがある」と考えていなかった点から、経営幹部は個人レベルの責任を過小評価している可能性をLiaison Technologiesは示唆している。

　ただし、ポーグ氏は、この回答率について調査の質問が広義過ぎたのではないかと指摘する。

　「このように広義に解釈できる文面では、著しい怠慢や故意の見過ごしから、単純な見落としや正当な補完的対策の解釈に至るまで、あらゆるものが含まれる。怠慢、故意の無視、不正については、間違いなく経営幹部が責任を負うべきであろう。なぜなら、この領域で過失があるということは、セキュリティ専門家が完璧に保つ必要のある整合性が崩壊していることを示すからだ。だが、補完的対策の解釈や技術的な見落としに起因するミスであれば、その状況は必ずしも最悪の事態だと考える必要はなく、確実に次に生かす機会とすべきだ」（ポーグ氏）

　「そのような状況では幹部社員は解雇のリスクに直面して然るべきである」とクロスビー氏はいい、次のように続ける。「セキュリティはビジネスにおける根本的な約束事でなければならない。顧客は自分のデータを満足に保護していない企業を排除し、消費者は自分たちを守らない企業を見捨てるべきだ。コンプライアンスはセキュリティと同義ではない。セキュリティは追求する必要があるが、コンプライアンスは企業が責任を負っていることを示す最低限度の保証にすぎない」

　「最終的に責任を取るべきは経営幹部だ」とポーグ氏は話す。

　「経営幹部の両肩には、自社の成功だけではなく、社員の幸福と経済的な安定が懸かっている。経営幹部が立ち上がって、企業と企業全体の活動あるいは怠慢に対する最終的な責任を認識してリーダーシップの重責を引き受けなければ、誰がやるというのだろうか」とポーグ氏は語る。