Информационная безопасность - это просто

Не в том смысле просто, что думать не надо. Ровно наоборот.

Я не раз вел дискуссии с людьми, которые внедряли решение такое или сякое не потому, что оно оптимально для задачи, а потому, что у них, например, есть уже сертифицированный специалист по этому вендору.

Так вот. Гоните их нахер, этих дармоедов, прикрывающихся бумажками. В ИБ нет никакой долбаной ракетной физики. Нужен здравый смысл и некоторое количество общетехнических знаний. Если человек знает один продукт, он точно так же легко выучит другой, будут вопросы - выяснит у коллег или через техподдержку. Если у этого другого продукта (что нечасто, но бывает) есть какие-то уникальные особенности - тем более их следует изучить, если они предоставляют новые и полезные возможности. Никаких технологий, которые нельзя было бы освоить за время меньшее, чем необходимо для полноценного внедрения (а оно все равно делается с помощью консультантов или вендорского пресейла) нет в природе. Никаких стандартов безопасности, которые бы содержали уникальное сакральное знание, достижимое только трехлетней медитацией, кстати, тоже не существует - если ты изучил их три-четыре штуки, ты просто знаешь общие принципы, как они пишутся. Помнить их наизусть - дело стажеров и студентов. Если твой безопасник не в состоянии освоить новый продукт - он просто тупой, не нужно ему платить зарплату.

Только упаси вас Б-же принимать решения, связанные с ИБ, не будучи специалистом в этой области. Никакого парадокса тут нет; просто этот здравый смысл абсолютно не относится к знанию конкретных средств защиты информации и приходит только с опытом, на вендорских курсах ему не научат. Ценятся мозги, а не обезьяньи навыки.