앞서 말한 것처럼 가능한 범위 내에서 보안 통제를 즉시 적용하지 않고 기다려 주거나 새로운 보안 통제 적용 전에 다른 조직과 지속적인 소통을 하는 이유는, 다른 조직이 보안 통제를 수용할 수 있는 시간을 주기 위함이다. 특히 필자는 이러한 수용이 시간을 보낸 조직과 그렇지 못한 조직이 정보보안 체계 수용하는 수준이 현저하게 다르다는 것을 종종 목격하였다. 따라서 CISO는 법령/정책에서 규정하고 있는 보안 통제를 적용하기 전에는 이 보안 통제를 준수해야 하는 조직에게 일정한 기간까지 충분히 고민하고 생각할 기회를 만들어 줄 필요가 있다. 이렇게 하면 해당 조직 내에서는 일정 기간 동안 내부적으로 회의와 토론 등의 활동을 하게 되는데, 이러한 활동을 통해서 보안 통제를 심리적으로 수용하게 되는 것이다. 필자의 경험에 비추어 볼 때, 이미 보안 컴플라이언스를 위반하고 있지 않은 상황이라면 1주일 정도의 시간이 합리적이라고 생각된다.
통제를 즉시 적용하지 않거나 적용 전 소통을 하는 이유는 통제를 수용할 수 있게끔 하기 위함이므로, CISO는 보안 통제 전에 일정한 기간까지 충분히 고민하고 생각할 기회를 보안 컴플라이언스 위반이 아닌 이상 1주일 정도는 줘야 한다.