Il consiglio di amministrazione è l'organo di governo dell'organizzazione, responsabile della supervisione di strategia, responsabilità e rischio. In ambito di cybersecurity, il consiglio non gestisce quotidianamente i controlli tecnici, ma stabilisce le priorità, approva i budget e decide quanto rischio informatico l'azienda è disposta ad accettare. Un consiglio forte trasforma la sicurezza da semplice attività di reporting in un processo decisionale.
Questo è importante perché gli attaccanti sfruttano le lacune tra gli avvisi tecnici e l'azione esecutiva. Se il consiglio considera il rischio informatico solo come un argomento di presentazione, le correzioni critiche possono essere ritardate, sottofinanziate o ignorate. In difese efficaci, il consiglio pone domande chiare, riceve il rischio in termini aziendali e ritiene la dirigenza responsabile della remediation, dei test e della resilienza. Una buona supervisione del consiglio aiuta a garantire che il CISO possa influenzare la strategia prima che i problemi di sicurezza diventino problemi di business.