Почему бизнес не инвестирует в безопасность?

Недавно мне в руки попали материалы о защите ресурсов одной очень крупной и успешной компании – интегратора систем информационной безопасности. При анализе её системы защиты у меня возник вопрос: А имеет ли право на существование правило «сапожник без сапог» в области информационной безопасности.
С точки зрения соблюдения требований РД – претензий к компании не может быть. Все выполнено и реализовано. Правда, на базе слегка устаревших решений. Поэтому говорить о защищенности сети и ресурсов можно весьма условно. При этом я видел их решения и результаты работ - вполне прилично и на должном уровне. Так что в отсутствии профессионализма их может объявить только весьма предвзятый конкурент. А причина такого состояния СЗИ вполне тривиальна – отсутствие финансирования. Так чего мы требуем от бизнеса, основная и единственная цель которого зарабатывать деньги?