Сформулировалось тут

Ни одна из компаний, занимающихся консалтингом и аудитом ИБ, конечно, не ставит своей целью повысить уровень информационной безопасности. Ни индустрии в целом, ни кого-нибудь из своих заказчиков в частности.

Но это не их вина. Потому что всегда найдутся молодые люди, которым интересно заниматься техническими исследованиями, да еще и получать за это деньги. И всегда найдутся компании, чей уровень безопасности столь низок, что они захотят воспользоваться услугами таких консультантов.