Фишка в том, что за пределами СЦИБ находится ИТ-оборудование. То есть ибешник следит за безопасной эксплуатацией ИТ-систем, следователь расследует инциденты для выявления виновных (ими могут быть и итешники, и ибешники), а аналитик должен подготовить рекомендации для итешников по изменению конфигурации, чтобы сделать её более защищённой. Получаем классический цикл: делаем, смотрим, реагируем, анализируем...