Что мешает ИБ проводить учения? Что мешает ИБ продемонстрировать, что вот я сел, ввел пароль с бумажки и украл твои данные? Т.е. сымитировать проникновение и утечку по вине сотрудника и на примере показать, что вот, смотри как бывает, так больше не делай