在這四個選項中，開發信息安全管理系統（ISMS）是最合適，最關鍵的。ISMS從管理承諾和政策開始，這些承諾和政策推動信息安全，以滿足利益相關者（或利益相關方）的保護需求和安全要求。它涵蓋了網絡訪問控制，IT流程以及業務連續性的信息安全方面。
. 實施全面的網絡訪問控制是必要的，但還不夠，也不是優先事項。
. 將安全性集成到IT流程中是必要的，但還不夠。無論CISO向哪個角色報告，他（她）都應確保安全功能支持業務，並將安全集成到“所有”組織流程中，而不僅僅是IT流程中。
. 除非CISO非常了解業務並得到充分授權和委派，否則他或她發起並指導業務連續性計劃不是一個好主意。業務連續性是指持續交付涉及組織流程的產品和服務，而不僅僅是IT，安全或保證流程。首席執行官，首席運營官或委員會更合適。如下圖所示，CISSP考試大綱和ISO 27001甚至都不能滿足所有業務連續性要求。
資料來源： Wentz Wu QOTD-20210224
