自組織が備える機能を徹底的に評価するだけの時間とリソースがありません。多くの組織にとって、日々のセキュリティ運用だけで手いっぱいで、限られたリソースと予算が圧迫されています。

機能を客観的かつ詳細に評価できる専門知識と経験がありません。スタッフが最新の脅威の状況を完全に把握できていないことがあります。また、スタッフが発見した事象を正しいものとして受け入れる判断にも、外部専門家のサポートを必要とする組織も多く存在します。

組織が直面する脅威や、展開されているセキュリティツールおよびテクノロジーの変化をプレイブックやその他のドキュメントが反映しきれておらず、最新の内容となっていないため、既存の社内ドキュメントやプロセスが現実に即していない可能性があります。

経営陣や取締役は、サイバー脅威を組織が直面する最大のリスクとして認識していたとしても、そのことが持つ意味を深く理解できていないことがよくあります。脅威やその影響にはさまざまなものがあり、リスクを認識している組織であっても、際限なく続く監査やコンプライアンス対応に苦闘しているケースがあります。これは木を見て森を見ないことによるものです。