CISOが組織の「リスク文化」を変革するために最初に行うべきことはどれか。

現状の意識レベル（なぜルールが守られないのか等）を理解せずに施策を打っても効果が薄いため、まずはアセスメントから始めるのが定石である。