董事会/理事会

保护股东利益是高级管理层的基本职责。这需要高级管理层理解业务风险并从治理角度给予充分的关注。要想有成效就要管理风险，其中包括信息安全风险，因此需要将信息安全治理集成到整个组织的企业治理框架中。

信息安全治理要在战略上给予方向牵引和推动。要给予信息安全管理以承诺、资源和责任分配，以及让董事会判断他们的想法是否得以实现的方法。经验显示，有效的信息安全治理依赖于高级管理层介入政策审定的程度，以及监控和汇报、趋势分析指标的适当。

董事会成员需要知道组织信息资产和它们对业务持续运作的紧要程度。这通过定期向董事会提供全面的风险评估和业务影响分析的概要结果来实现。也可通过信息资源的业务依赖性分析来实现。这些活动还应包括董事会成员确认/认可他们想保护的关键资产清单，确认保护水平和处置优先级与已经认可的关注标准相比是适当的。

高层的声音必须有利于有效的安全治理。期望底层员工遵守高层不遵守的安全政策，是不合理的。董事会成员定期可见的签发安全政策提供了保证安全期望在企业各层得到满足的基础。对不遵从行为的处罚必须定义，从上至下的沟通和贯彻执行。

执行官

实施有效的安全治理和定义组织安全战略目标是复杂、艰巨的任务。它们需要执行管理层的领导力和持续支持才能获得成功。开发一个有效的信息安全战略需要业务单元经理和流程所有者的联合与合作。成功的输出是信息安全活动与其所支持的组织目标相一致。它实现的程度决定信息安全程序达成预期目标的效果。预期目标本身为业务过程提供了一个事先定义的可预计的管理保证水平，以及针对负面事件可以接受的影响水平。

例如美国联邦政府计算机安全研究基金会，它要求为安全分配清晰明确的权利和职责，要求为履行这些职责承担正式的责任，要求将安全需求集成到预算和资金计划过程中。

筹划指导委员会

信息安全影响组织的所有方面。为了保证受到安全考虑影响的所有相关方能够介入，应该成立一个执行筹划指导委员会。除了其他人，这个委员会应该包括CEO或其授权人、业务单元执行官、CFO、CIO/IT总监、CSO、CISO、人力资源、法务、风险管理、审计、运作和公共关系等人员在内。筹划指导委员会作为一个有效沟通管理层目标方向的渠道而存在，提供一个持续保证安全程序和组织目标一致的平台。它也有助于促进员工行为朝着优良安全实践和政策遵循的方向转变。

首席信息安全官

不管是不是这个头衔，所有组织都有首席信息安全官。实际上，即使有信息安全官或信息安全总监存在，它也可能是CIO、CSO、CFO，在某些情况下，是CEO，在承担这个角色。信息安全的内涵和外延决定它所需要的权利和承担的责任不可避免的终结在首席级别的官员或执行管理者身上。法律责任在组织的权力结构中向上延伸，缺省的，最终落到高级管理者和董事会身上。识别不足以及适当治理框架的缺失会导致高层管理者无法获知这一职责及其义务。这通常会造成安全活动和组织目标缺乏有效匹配。

当组织开始认识到它们对信息的依赖以及针对信息的威胁正在持续增长时，信息安全官员的地位正在被谨慎的逐渐提高到公司首席级别或执行层上。管理者和董事会通过保证这个岗位的存在，分配职责、权利和所需资源来证明其对合理信息安全治理的认知和承诺。