ระดับสูง (chief information security officer : CISO) หรือผู้บริหาร ที่รับผิดชอบใน การ บริหารจัดการความมั่นคงปลอดภัยด้าน IT อย่างน้อย 1 ท่าน โดยมีคุณสมบัติ ขอบเขตอำนาจ และหน้าที่อย่างน้อย ดังนี้ (1) มีความ

IT (system change) (1) มีการประเมินผลกระทบ และจัดลำดับความสำคัญของ การเปลี่ยนแปลง (2) มีกระบวนการขออนุมัติการเปลี่ยนแปลง (change request) โดยต้องได้รับการอนุมัติจากหน่วยงานเจ้าของระบบ (system owner

เท่ากับการควบคุมที่พึงมีที่สำนักงานกำหนดไว้ ผู้ตรวจสอบสามารถใช้ดุลยพินิจ ในการตัดสินใจให้ผลการประเมินเป็น “Yes” ได้ ตัวอย่าง การควบคุมที่พึงมี จัดให้มีผู้บริหารระดับสูง (chief information security officer