예를 들어, 정보보호 정책(A) 4점, 외부자 보안(B) 5점, 임직원 보안(C) 3점, 서버 보안(D) 1점, 네트워크 보안(E) 4점, 웹 사이트 보안(F) 3점이라고 할 때 이 회사의 평균 보안점수는 3.3점이라고 하는 방식이다. 이러한 방법은 회사의 전반적인 보안수준을 이해하는 데에는 도움이 되나, 보안사고가 날 만한 곳을 찾아내어 예방하는 데에는 별 도움이 되지 않는다. 보통 사고는 평균에 크게 못 미치는 D 영역에서 발생하기 때문이다. 따라서 CISO 입장에서는 이 기업의 실제 보안수준은 1점이라고 보는 것이 타당하다. CISO가 가장 시급하게 해야 할 일은 D 영역과 같이 보안수준이 많이 떨어지는 영역을 찾아내 최소한 평균 수준으로 높이는 일이다.
기존의 영역별로 점수를 내 평균 내는 보안점수 산정 방식은 회사의 전반적인 보안 수준을 이해하지 못하므로, CISO는 보안수준이 많이 떨어지는 영역을 최소한 평균 수준으로 높여야 한다.