産業制御システム（ICS）などの特殊目的情報システムの場合、機密性だけでなく、完全性、可用性も同時に考慮する必要がある。

上水道施設で消毒用に使用する化学薬品の量と濃度を測定し、化学薬品を投入するA情報システムがあると仮定してみよう。

A情報システムが扱う業務情報は、化学薬品の量と濃度に関するデータであり、作業者のミス、機械的エラー、サイバー攻撃などによってこの業務情報が影響を受けると、国民の生命や健康に影響を及ぼす可能性がある。したがって、広い視野で見ると、A情報システムはC（Classified）等級に分類されることが望ましい。N²SFセキュリティガイドラインが提示するC/S/O等分類基準もまた、情報公開法、公共データ法に基づいており、国民の生命や健康に影響を及ぼす場合はC等級に分類することにしている。

これをより細分化して業務情報と情報システムに区分し、それぞれ機密性、完全性、可用性の伝統的なセキュリティ目標レベルで見てみよう。

まず、業務情報について見てみよう。A情報システムが扱う業務情報（すなわち、化学薬品の量と濃度に関するデータ）は、完全性および可用性の観点からはC等級に分類することが望ましい。なぜなら、データが破損すると過大に（または過少に）化学薬品が投入される危険があり、データを読み取れなくなると（すなわち、モニタリングできなくなると）適切なレベルの薬品投入を決定できず、汚染された水道水が供給される危険があるためだ。しかし、業務情報の機密性の観点からは、O（Open）等級に分類し、上水道施設の安全性を国民に知らせ、これを公共データとして活用する方が社会的メリットが大きいと判断することもできる。

今度は、業務情報を処理する情報システムについて見てみよう。A情報システムは、その位置や機械的特性などが外部に知られた場合、攻撃の標的となる危険があるため、機密性の観点からC等級とみなすのが良い。完全性と可用性の観点は上記で説明した通りである。

このように、業務情報に対するC/S/O等級分類と情報システムに対するC/S/O等級分類は、該当する業務情報と情報システムの特性に応じて異なる基準を持つ場合、N²SF適用効果を最大化することができる。

N²SFセキュリティガイドラインが提示する業務情報のC/S/O等級分類基準に加えて、機関独自でより詳細なC/S/O等級分類基準を適用することはできないだろうか。もちろん、この場合は必ずセキュリティ性検討を主管する国家情報院と事前協議を行い、これに対する判断を仰ぐのが良いだろう。