Бюджет не будет планироваться изначально, если не будет эффекта от него. Эффект это как раз цена за НЕ возникновение инцидента. То есть, если в случае утечки будут наказывать штрафом в 1-2 % от выручки, то значит сотрудники не получат премию, а значит соседи по отделу сами будут пинать того, кто открыд фишинговую ссылку 😂 Поэтому 1-2% это и есть предельная сумма того, сколько можно тратить на безопасность. Нас всех учат, что стоимость системы защиты не должна быть выше стоимости активов, а вот как подсчитать стоимость пд? Для компании эти пд ничего не стоят - поэтому ценность нулевая или близко к ней, вот поэтому и забивают на безопасность.