Сферические тесты по ИБ в вакууме полезны только для работы в такойже сферической в вакууме фирмы. В реальности нужно оценить риски, вероятности, административно организационные процессы и тд. Ведь ИБ это не только тех часть но и организационная тоже (процессы создания учетных записей для работников, выдача нужных полномочий и тд. хранение данных - в том числе на столах и в тумбочах, пароли от компа под клавиатурой) это все тоже ИБ.