> Это "динамическая" безопасность -- новомодный подход, приводящий к необходимости постоянной траты ресурсов на "безопасность".

И какой же он новомодный? Шнайер ещё в 1999 году писал: The mantra of any good security engineer is: "Security is a not a product, but a process." Вот подтверждение: https://www.schneier.com/essays/archives/1999/10/risks_of_re...

Хорошо, что ребята и опёнка это понимают и не ограничиваются проактивной защитой. Она тоже полезна, но не отменяет того, что безопасность — это процесс, а не результат.

А вот дубы из сертифицирующих органов это не очень понимают. Есть бумажка — значит безопасно указанный в ней срок, а это обычно несколько лет. Ну хоть CVE стали требовать закрывать, а то совсем смешно было. Хотя вот интересная информация для размышления: чем выше степень защиты и сертификации или аттестации, тем дольше она проходит, тем старее там софт, тем больше в нём дыр, тем слабее защита. А по бумажкам всё наоборот.