組織が成熟した情報セキュリティ文化を有していることを示す最良の指標は、従業員が意思決定において常にリスクを考慮していることです。組織の従業員が自らの行動に伴うリスクを理解し、リスク情報に基づいた意思決定を行う権限を与えられている場合、それは組織が成熟した情報セキュリティ文化を有していることを示しています。
認定情報セキュリティマネージャー（CISM）学習マニュアルによると、「成熟した情報セキュリティ文化とは、組織内の人々が情報とテクノロジーに関連するリスクを理解し、認識し、それらのリスクを日常的に管理するための措置を講じているときに形成される」とされています。情報セキュリティ研修、文書化された情報セキュリティポリシー、最高情報セキュリティ責任者（CISO）と取締役会との定期的な連携は、いずれも成熟した情報セキュリティ文化の重要な要素ですが、それだけでは十分ではありません。従業員が意思決定において常にリスクを考慮している場合にのみ、組織の情報セキュリティ文化は成熟しているとみなされます。
参照：
認定情報セキュリティマネージャー (CISM) 学習マニュアル、第 15 版、151 ～ 152 ページ。

説明
このような状況において、情報セキュリティ管理者にとって最大の懸念事項は、リモートサイトで作業するサードパーティのサービスプロバイダーによって処理されるデータのセキュリティです。データが不正アクセス、改ざん、盗難から適切に保護されていない可能性があるため、懸念事項となる可能性があります。転送中のデータの機密性と整合性を確保するには、安全な通信プロトコルを使用する必要があります。
さらに、情報セキュリティマネージャーは、サードパーティのサービスプロバイダーが、アクセス制御、エラーチェック、マルウェア対策など、データを保護するための適切なセキュリティ対策を実施していることを確認する必要があります。この情報は、ISACAの認定情報セキュリティマネージャー（CISM）学習マニュアルのセクション5.2に記載されています。