По своему опыту скажу: описанная автором ситуация особенно встречается в госучреждениях, в первую очередь в провинции. При проверке безопасники проверяют только (!) наличие нужной документации, соответствие используемого ПО (но на самом ли деле используемого?) ГОСТам и прочее. На бумаге все должно быть идеально. Что на самом деле — никого не волнует.
Вот и получается, что легче посадить человека за кражу информации, относящейся к коммерческой или государственной тайне, нежели чем предотвратить данную кражу. Но чтобы посадить человека, нужно его еще поймать…