РПшники тоже ошибаются / Comments / Habr

Идея, что можно "сначала составить модель угроз, а потом внедрить контрольные меры", выглядит наивно. Например, пентест — это скорее способ проверки эффективности уже внедренных мер , а не основа для стратегии. Стратегия ИБ требует постоянного циклического процесса: риск-анализ → выбор контрольных мер → реализация → мониторинг → пересмотр. Это не линейный процесс.
Здесь представлено поверхностное понимание управления ИБ внутри организаций, смешивая внешние проекты внедрения решений с построением комплексной системы безопасности. Для реальной помощи руководителям проектов нужно глубже погружаться в управление киберрисками, интеграцию ИБ в бизнес и работу с фреймворками и стандартами.

Но в принципе все понимают для чего эта статья :)