som nevnt i forrige avsnitt om risikoanalyse, fungerte de sentrale sikkerhetsgruppene hovedsakelig som rådgivere eller konsulenter for forretningsenhetene, og de hadde derfor generelt ikke mulighet til å diktere informasjonssikkerhetspraksis uavhengig
det er i forrige avsnitt forklart at sentrale sikkerhetsgrupper fungerer som konsulenter eller rådgivere for forretningsenheter
det forrige avsnittet dekket ikke hvordan sentrale sikkerhetsgrupper fungerer som konsulenter eller rådgivere for forretningsenheter