ระดับสูง (chief information security officer : CISO) หรือผู้บริหาร ที่รับผิดชอบใน การ บริหารจัดการความมั่นคงปลอดภัยด้าน IT อย่างน้อย 1 ท่าน โดยมีคุณสมบัติ ขอบเขตอำนาจ และหน้าที่อย่างน้อย ดังนี้ (1) มีความ

เท่ากับการควบคุมที่พึงมีที่สำนักงานกำหนดไว้ ผู้ตรวจสอบสามารถใช้ดุลยพินิจ ในการตัดสินใจให้ผลการประเมินเป็น “Yes” ได้ ตัวอย่าง การควบคุมที่พึงมี จัดให้มีผู้บริหารระดับสูง (chief information security officer

สารสนเทศ “MFA” การยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication) “non-disclosure agreement” ข้อตกลงในการไม่เปิดเผยข้อมูล “privileged user” ผู้ใช้งานที่ได้รับสิทธิในการใช้งานในระดับสูง

ทำความเข้าใจ รับทราบ และลงนามยอมรับ ในเรื่องดังนี้ (2.1) บทบาทหน้าที่และความรับผิดชอบของบุคลากรดังกล่าวเกี่ยวกับการรักษาความมั่นคงปลอดภัยด้าน IT (2.2) non-disclosure agreement (3) สร้างความตระหนักรู้ถึง