Есть ещё проблемка с чрезмерной самоуверенностью как ИТ-служб, так и безопасников в своей суперкомпетентности и 100% невозможности взломать что либо именно у них на предприятии. И эту инфу они докладывают руководству, а оно делает свои выводы...
А кто у вас админит - средства антивирусной защиты, криптографию + укэп, МСЭ. По факту это базовый набор безопасника, но почему то с которым также ИТ не очень хотят расставаться)