Большой бюджет не всегда гарантирует высокий уровень защищенности

Весьма интересная статья появилась на SecurityLab - "Эксперты подсчитали, во сколько компаниям обходится обеспечение ИБ". Там приводятся средние цифры, которые скорее больше ориентированы на европейский рынок (я уверен, что в России цифры значительно меньше). Не вижу смысла их дублировать, кому интересно, можете пройти по ссылке выше. Для меня больше интересен другой тезис из статьи:

По словам авторов исследования, размер суммы, выделяемой на обеспечение кибербезопасности, необязательно пропорционален уровню защищенности. То есть, большой бюджет не всегда гарантирует высокий уровень кибербезопасности.

И я об этом уже писал в своей книге "Практическая безопасность сетей". Также в статье описываются основные критерии способствующие более высокой степени защиты:

Наиболее успешные программы по ИБ характеризуются несколькими основными чертами. Во-первых, заинтересованность в них проявляется на уровне правления. Во-вторых, информация о кибербезопасности не сосредотачивается исключительно у сотрудников IT-отдела, а распространяется по всей организации, благодаря чему ей уделяется больше внимания. Третья основная черта – согласование программы компании по ИБ с ее бизнес-стратегией.

Однако, я считаю, что забыли упомянуть не менее важный фактор - человеческий фактор. Могу с уверенностью сказать, что ИБ в компании начинается с хорошего специалиста, который заинтересован своей работой. Без этого все бюджеты - пустая трата денег. Более того, сами бюджеты зависят от специалиста и его способности обосновать их необходимость. Нужно понимать, что бизнес существует ради прибыли. ИБ это элемент, который должен помогать сохранять и защищать прибыль компании. Безопасность ради безопасности никому не нужна.