사람의 생각은 언제든지 변화할 수 있다는 전제하에 구성원들의 정보보호 인식에 대해서는 주기적으로 평가를 해 보아야 한다. 예를 들면, 부서장급 이상에게 분기 내지는 반기마다 공유하는 부서별 보안지표 현황을 통해서 평가할 수도 있다. 또한, 앞서 본 것처럼 보안시스템 내에 누적되어있는 간접지표를 통해서도 평가할 수 있으며, 보안 점검의 결과나 정보보안 체계에 대한 불만 제기 등을 통해서도 평가할 수 있다. 따라서 CISO는 보안지표 평가, 간접지표 평가, 보안 점검, 보안 불만 내용 집계 등의 과정을 통해서 구성원들의 정보보호 인식을 주기적으로 평가하여야 한다.
생각은 가변적이므로 CISO는 보안지표 평가와 간접지표 평가, 보안 점검과 보안 불만 내용 집계 등의 과정으로 구성원들의 정보보호 인식을 주기적으로 평가해야 한다.