Para comunicar o risco de perda de dados a um público de nível executivo ou de diretoria, as conversas e os cálculos precisam ir além da probabilidade de ocorrência de um incidente. Os CISOs precisam avaliar efetivamente o custo potencial e o impacto na reputação de um incidente, usando dados e termos em que o conselho é versado. No entanto, embora essa ideologia não seja nova, há muitos bons motivos pelos quais pouco progresso foi feito para ir além da retórica e estabelecer uma metodologia utilizável para avaliar o impacto da perda de dados.