2012년 발생한 KT 개인정보 유출사건에 대해 2018년 1월 19일 서울중앙지방법원 민사항소4부는 ‘정보보호 규정 지켰다면, 회사 책임 없다’는 판결을 하였다. 이 판결에 내재 된 함의는 두 가지가 있다. 첫 번째, 정보보호 규정을 지켰다면 회사는 관리·감독상의 부주의가 없다는 의미이다. 두 번째, 정보보호 규정을 지키지 않았다면 회사는 관리·감독상의 부주의가 있다는 의미이다. 따라서 CISO는 이 두 번째 의미를 지혜롭게 활용할 필요가 있다. 예를 들어 정보보호 규정에 연간 정보보호 예산의 비율을 규정해 놓는다든지 아니면 CISO가 요청한 예산에 대해 CFO가 협조하도록 규정을 해 놓는 것이다.
CISO는 정보보호 규정을 지키지 않았다면 회사의 관리, 감독에 부주의했다는 판결에서 연간 정보보호 예산 비율 규정, 요청한 예산에 대한 CFO의 협조 등을 이끌어낼 수 있다.