試験では、CISOが「情報セキュリティに関する経営上の最終責任者であり、経営陣（役員クラス）で構成されるべき役職である」という点がポイントになります。IT部門の長（CIO：最高情報責任者）との役割の違いについても整理しておきましょう。CIOは「IT技術を用いて事業の生産性や利益を最大化する」ことを主眼とするのに対し、CISOは「情報セキュリティリスクを適切に管理・低減してビジネスを守る」ことを目的とします。そのため、CIOとCISOが同一人物であると、ビジネスの利便性（CIOの目的）と安全性の確保（CISOの目的）の間で牽制機能が働かなくなるという問題点があり、試験でも両者の責任を切り離して設置することの重要性や、それぞれが経営陣に対して直接報告を行うルートを持つべきである点が問われます。

CISOに関連する用語には、情報セキュリティの組織全体の計画的仕組みである「ISMS」、セキュリティインシデントの火消し役となる実動組織「CSIRT」、そして企業全体の基本的なセキュリティ方針書である「情報セキュリティポリシー」があります。