Опять же мое личное ИМХО.

Мелким конторам, штат которых не превышает 200 человек держать отдельно штат асушников и безопасников будет явно накладно. Поэтому, подчиняясь законам рыночной экономики и здравого смысла в качестве и того и другого берут, как правило, одного человека. При небольшом парке компьютеров, у админа  достаточно времени и квалификации для того, чтобы выполнять функции и того и другого. Но когда речь встает о функционировании большой сети (>500 компьютеров), да еще и территориально распределенной - тут возникают проблемы нехватки времени, кадров, квалификации.

Поэтому на первых этапах приглашают сторонних "безопасников", пока до начальства не доходит, что информационная безопасность - это не просто проверка наличия дырок и соответствующих нормативных документов (коих еще может и не быть). Это система, как правило с наличием определенных программно-аппаратных средств (особенно актуальных в свете последних веяний социальной инженерии и пересмотра отношения к внутренним угрозам), установление и проверка выполнения определенных правил, выявления нарушений, реагирование на инциденты, проведение служебных расследований и т.п. Много ли человек из здесь присутствующих хоть раз проводили подобное расследование в своей организации ? А ведь это делать нужно, и мало того, нужно об этом рассказывать, чтобы остальным неповадно было.

Кроме того, на мой взгляд, в большой сети обязательно должен быть интранет-ресурс - сайт, портал, форум, да что угодно, где можно каким-то образом доносить до людей те или иные требования, узнавать их мнение. Обратная связь обязательно должна быть. Кстати, организация тематического форума в стандарте ISO 17799 идет одним из требований. Так что, иногда, стандарты тоже полезно почитать. Там много интересного написано - и что такое безопасность, и зачем вообще все это нужно. Рекомендую.