コストは管理策の実施に当たって既に発生しているが、インシデントが発生した場合もコストが発生する。
- 予防のコスト
- 是正のコスト
- インシデント対応コスト
どのコストについても満足できる形で把握している組織は少ない。何故か？ そのコストを活用する方法論を持っていないからか？、そのコストを把握する方法論を持っていないからか？、またはその両方か？。
どの組織でも、情報システム投資は膨大なレベルに達している。情報セキュリティ投資は情報システム投資の一部が当てられるケースが多い。が、全てではない。CIO(情報担当役員）が統括したシステム投資のほかに、CISO(セキュリティ担当役員）を置いても、予算統括機能にまで踏み込んでいる例は少ないだろうと思われる。分離することの是非も明確でないし、分離する方法論も明確でないからだ。CISOは名誉職・御意見番・コーディネーターの域を超えられない理由でもある。
.*.
想定外コストである、是正のコストとインシデント対応コストについては、経営の意志として把握に努める必要があるだろう。リスク値（期待損失）との対比となるコスト把握はISMSに取り組む意義の検証に供するデータともなるため極めて重要である。
.*.
