最高情報セキュリティ責任者（CISO）は、外部のサイバーセキュリティコンサルタントとのギャップ分析の結果をレビューしています。ギャップ分析では、すべての手順と技術の管理を確認し、次のことがわかりました。
実装された影響の大きい制御：10のうち6

実装された中程度の影響の制御：472のうち409

実装された影響の少ない制御：1000のうち97

レポートには、各コントロールギャップの費用便益分析が含まれています。分析により、次の情報が得られました。
影響の大きい制御の平均実装コスト：15,000ドル。影響の大きい各コントロールの推定ALE

ギャップ：95,000ドル
中程度の影響を与える制御の平均実装コスト：6,250ドル。中程度の影響ごとの推定ALE

コントロールギャップ：11,000ドル
企業の技術的な構築と構成により、中程度の影響の制御の50％強が完全に実装されるまでに2年かかります。CISOが分析から導き出すことができる結論は次のうちどれですか？