組織はコンプライアンス（法令順守）のためにセキュリティ予算を確保する必要がある。例えば医療機関は、「HIPAA」（米国医療保険の相互運用性と説明責任に関する法令）が規定するデータプライバシーとセキュリティの要件に従わなければいけない。そのためには、個人の医療記録などの健康情報を保護する必要がある。

　法令違反による罰金を避けるには、要件に応じて適切な製品・サービス、技術に予算を割り当てることが重要だ。HIPAAに準拠する必要がある医療機関の場合、データの分類、暗号化、ライフサイクル管理（データの登録から廃棄までの管理）に重点を置くとよい。

分野2．継続的なリスクアセスメント

　CISOは予防的措置として、自組織のセキュリティの有効性を継続的にモニタリングして、攻撃を防がなければならない。組織が定めた基準を上回るリスクが見つかった場合はリスクのアセスメント（評価）が必要だ。その結果を受けてCISOは上層部とリスクについて話し合い、サイバーセキュリティ予算の追加や再配分を検討するか、従来の基準より高いリスクを許容することの同意を得る必要がある。

　継続的なリスクアセスメントのために、CISOが予算を投じるべき製品・サービスの例は以下の通りだ。

• サイバーセキュリティ保険
  • 組織が受けたサイバー攻撃の被害を補償する。
• 侵入（ペネトレーション）テスト
  • 模倣的なサイバー攻撃を実行してセキュリティ対策が十分かどうかを検証する。
• バグ報奨金制度
  • システムのバグを発見した従業員に報酬を与える。
• インシデント対処サービス
  • サイバーセキュリティ事故発生時のインシデント対処を支援する。

分野3．セキュリティトレーニング

　CISOはセキュリティ意識向上のためのトレーニングを継続的に実施し、全ての従業員にトレーニングへの参加を促すとよい。パブリックシェーミング（問題点を公表して辱めること）や不安をあおることで従業員のセキュリティ意識を高めようとしても限界がある。それよりも記憶に残る楽しいセキュリティトレーニングをする方が効果的だ。CISOは将来を見据えて、同僚と協力し、取り組みやすく効果の高いセキュリティトレーニングを実施しなければならない。

分野4．新事業のセキュリティ強化

　組織は新事業を計画する際、自組織と取引先の安全を確保する必要がある。そのためにはCISOが事業計画を評価し、必要に応じてセキュリティ予算を割り当てなければならない。新事業では新しいリスクが生じるため、実施する前にCISOとセキュリティ部門が対策を講じる必要がある。

　それぞれの分野に割り当てるサイバーセキュリティ予算額は、さまざまな要因に左右される。例えば「CCPA」（カリフォルニア州消費者プライバシー法）などの法令の施行によって、特定の年に特定の分野に対する支出が増える場合がある。新しい投資家や新任のCEOによって組織のリスク選好（リスクに対する姿勢の傾向）が変わると、サイバーセキュリティ予算も増減する。その際はCISOが分野ごとに予算を再配分しなければならない場合がある。