Значимость оценки рисков ИБ для защиты конкурентоспособности бизнеса

    Даже не один мой знакомый CISO не боится увольнения отказывается управлять рисками.
Зачем, ведь риски все равно владельцев информационных активов (бизнеса), и если бизнес верно оценит риски то придет сам, а если не верно - будет инцидент, и бизнес все равно придет.
    Конечно, бизнес рано или поздно придет сам. Но из-за транзакционных издержек на управление рисками получится как в цитате из книги Аузана "все рано или поздно устроится более или менее плохо". Ведь пока бизнес будет думать информация будет сливаться, хакеры будут резвиться, а базовые правила нарушаться, тем самым снижая производительность и конкурентоспособность бизнеса.
    И когда бизнес придет вместо планового повышения уровня ИБ придется тушить пожары бежать очень быстро, приплачивая партнерам за скорость и тем самым, опять таки, снижая конкурентоспособность бизнеса.