Они начинаются раньше.

Когда ИБ уже нашла проблему.

Когда уже написала письмо.

Когда уже предупредила о риске.

Когда получила ответ:

— Сейчас не до этого.
— Система критичная, трогать нельзя.
— Вернёмся в следующем квартале.
— Риск принимаем.

А потом происходит атака.

И внезапно все начинают спрашивать:

— Как это допустили?

Но инцидент допустили не в тот день, когда злоумышленник вошёл в сеть.

Его допустили в тот день, когда известный риск решили оставить жить.

Самая страшная уязвимость — не та, о которой никто не знает.

Самая страшная — та, о которой знают все, но исправлять её некому.