組織の「リスク選好」と実際の「セキュリティ態勢」のギャップを埋める責任は誰にあるか。

最終的にどの程度のリスクを取るかを決定し、それに見合う資源を提供して態勢を整える責任は、ガバナンスを司る経営層にある。